实验：华为ACL配置

ACL分为基本ACL和高级ACL。

基本ACL只能基于数据包的源地址、报文分片标记和时间段来定义规则。

高级ACL可以根据数据包的源IP地址、目标IP地址、目标端口、源端口、数据包的长度值来定义规则

基本ACL
需求:

• 不允许vlan 30 访问 Internet区域
• vlan10 周一至周五9点至17点能访问Internet
• vlan 10在周六、周日不允许访问Internet
• vlan 20允许访问Internet区域

拓扑图

先调通网络的连通性：

R1# ip route-static 0.0.0.0 0.0.0.0 10.1.1.2
R2# ip route-static 0.0.0.0 0.0.0.0 10.1.1.1

配置基本ACL

基本ACL的编号范围为2000-2999

定义时间段

[R1]time-range vlan10-1 9:00 to 17:00 working-day
//vlan10-1是时间段的命名，由自己定义；这条命令表示周一至周五的9点-17点

[R1]time-range vlan10-2 00:00 to 23:59 off-day
//这条命令表示周六周天，全天的时间

创建基本ACL

acl number 2000     //自定义编号（范围为2000-2999）
 rule 10 deny source 13.1.1.10 0 
 rule 20 permit source 11.1.1.10 0 time-range vlan10-1
 rule 30 permit source 11.1.1.10 0 time-range vlan10-2
 rule 40 permit source 12.1.1.10 0 
 rule 50 deny

应用在R1的outbound方向上

interface GigabitEthernet0/0/0
 ip address 10.1.1.1 255.255.255.0 
 traffic-filter outbound acl 2000

验证ACL
修改路由时间和日期，测试时间规则是否生效

用户模式下：
* clock datetime 18:00:00 2019-7-25 （周五18点0分0秒）

---

高级ACL

高级ACL的编号范围为3000-3999,

需求

• 允许VLAN20访问Internet的80端口

拓扑图

创建高级ACL

acl number 3001  
 rule 10 permit ip source 12.1.1.10 0 destination 13.1.1.10 0 
 rule 25 permit tcp source 12.1.1.11 0 destination 21.1.1.10 0 destination-port  eq www 
 rule 50 deny ip 

应用在vlan 20 的 inbound 方向上

interface Vlanif20
ip address 12.1.1.1 255.255.255.0 
traffic-filter inbound acl 3001