华为eNSP实验：基本ACL

最新推荐文章于 2024-09-16 13:57:24 发布

23zhgjx-zgx

最新推荐文章于 2024-09-16 13:57:24 发布

阅读量2.5k

点赞数 52

文章标签：华为网络服务器

本文链接：https://blog.csdn.net/fanshizhiren/article/details/139748336

版权

ACL的介绍

ACL的基本概念与分类
- 定义：ACL是由一系列规则组成的过滤器，这些规则基于数据包的特征信息如源地址、目的地址等来允许或拒绝数据包的通过。
- 类型：根据规则功能的不同，ACL分为基本ACL、高级ACL、二层ACL和用户ACL等类型，其中基本ACL主要针对IP报文的源IP地址进行匹配
工作原理：ACL通过检查经过路由器或交换机的数据包，并根据设定的规则决定是放行还是丢弃这些数据包，以此实现对网络访问的控制。简单来说，就是一个过筛沙子和石头的网，大小合适就筛下去，不合适就阻拦在外面。

应用场景与作用
- 提高安全性：通过限制特定IP地址的访问，基本ACL有助于防止未经授权的访问和网络攻击。
- 流量管理：基本ACL可以实现对网络流量的管理和优化，比如阻止某些不必要的流量进入网络，从而减轻网络拥塞
ACL的术语
(1)通配符掩码:一个32位的数字字符串。它规定了当一个P地址与其他的IP地址进行比较时，该P地址中哪些位应该被忽略。通配符掩码中的1表示忽略P地址中对应的位，0表示该位必须匹配。两种特殊的通配符掩码是255.255.255.255和0.0.0.0，前者等价于关键字any，后者等价于关键字 host。如：
(2)Inbound 和 Outbound:当在接口上应用ACL时，用户要指明 ACL是应用于流入数据，还是应用于流出数据。

基本ACL

1.基本ACL最简单，主要通过使用IP包中的源IP地址进行过滤，表号范围位2000~2999.

实验拓扑：

实验需求：在R1上做配置拒绝PC2所在的网段访问服务器

实验可能出现的问题：

在进行到acl的配置之时无法使用traffic-filter inbound acl 2000 是因为路由器不支持，我们可以换个路由器

带有这个设备的接口就可以，这里我用的是AR1220的设备

实验开始：

pc1、pc2、server1的配置

LSW1的配置：

创建vlan10 20，并划分给pc1和pc2

<Huawei>sys              //进入系统视图
[Huawei]undo info-center enable    // 关闭信息
[Huawei]sys LSW1         //命名
[LSW1]vlan batch 10 20     //创建vlan10 20
[LSW1]int g0/0/1           //进入g0/0/1
[LSW1-GigabitEthernet0/0/1]port link-t access     //设置接口类型
[LSW1-GigabitEthernet0/0/1]port default vlan 10    //将接口划入vlan10
[LSW1-GigabitEthernet0/0/1]quit
[LSW1]int g0/0/2
[LSW1-GigabitEthernet0/0/2]port link-t access
[LSW1-GigabitEthernet0/0/2]port default vlan 20
[LSW1-GigabitEthernet0/0/2]int g0/0/3
[LSW1-GigabitEthernet0/0/3]port link-t trunk      //设置接口类型
[LSW1-GigabitEthernet0/0/3]port trunk allow-pass vlan 10 20    //允许vlan 10 20通过

R1的配置

给接口设置IP地址，创建单臂路由，解决VALN间的三层通信

<Huawei>sys
[Huawei]undo info-center enable
[Huawei]sys R1
[R1]int g0/0/1
[R1-GigabitEthernet0/0/1]undo shutdown //打开接口
[R1]int g0/0/1.10 //创建单臂路由
[R1-GigabitEthernet0/0/1.10]dot1q termination vid 10
[R1-GigabitEthernet0/0/1.10]ip add 192.168.10.254 24
[R1-GigabitEthernet0/0/1.10]arp broadcast enable //开启ARP（地址解析协议）广播功能
[R1]int g0/0/1.20
[R1-GigabitEthernet0/0/1.20]dot1q termination vid 20
[R1-GigabitEthernet0/0/1.20]ip add 192.168.20.254 24
[R1-GigabitEthernet0/0/1.20]arp broadcast enable
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip add 10.1.1.254 24
[R1-GigabitEthernet0/0/0]undo shutdown

将IP地址设置完后进行连通性的测试

pc1 ping server1，pc2 ping server1

连通性测试过了就可以开始进行基本acl的配置

ACL的配置

[R1]acl 2000         //创建acl，编号位2000
[R1-acl-basic-2000]rule 10 deny source 192.168.20.0 0.0.0.255    //拒绝192.168.20.0 的网段
[R1-acl-basic-2000]q
[R1]int g0/0/1
[R1-GigabitEthernet0/0/1]traffic-filter inbound acl 2000        //在接口的入方向配置流量过滤，一旦匹配到ACL 2000的流量时，就会将执行相应的过滤动作，这里就是禁止192.168.20.0的网段通过
[R1-GigabitEthernet0/0/1]q