基本ACL

小李爱学网

已于 2025-05-12 21:57:13 修改

阅读量399

点赞数 12

文章标签：智能路由器网络运维网络协议

于 2025-05-12 21:55:26 首次发布

本文链接：https://blog.csdn.net/li050826/article/details/147903299

版权

1.ACL是由一条或者多条组成的集合；规则则是描述报文匹配条件的判断语句；条件可以是端口号、目的地址；端口号；ACL本质上是一种保文过滤器

2.ACL组成：由若干条permit（允许）和deny（拒绝）组成；

3.通配符掩码：匹配规则：0表示严格匹配，1表示任意；

与反掩码的关系：通配符掩码本质上是子网掩码的按位取反，但用途不同

4.ACL分类：基本ACL、高级ACL

基本ACL：是通过匹配报文中的源 IP 地址、分片标志、时间范围等信息来对流量进行过滤的规则集合。编号范围一般为 2000 – 2999，

高级ACL：高级访问控制列表，能基于源 IP 地址、目的 IP 地址、IP 协议类型（如 TCP、UDP、ICMP 等）、源端口、目的端口、IP 优先级、服务类型（ToS）、差分服务代码点（DSCP）优先级等多层信息进行报文匹配和过滤。编号范围一般为：3000 – 3999

对于这一篇文章的话就是讲解基本ACL和高级ACL

工具的话还是ENSP

下面是实验环境

然后进入PC和路由器进行配置

SW1：

<Huawei>system-view                                     //进入系统视图
[Huawei]un in en                                        //关闭信息中心
[Huawei]sysname SW1                                     //将设备名称设置为 Sw1 
[SW1]vlan batch 10 20                                   //创建vlan10 20
[SW1]int g0/0/1                                         //进入接口g0/0/1
[SW1-GigabitEthernet0/0/1]port link-type access         //将接口类型设置为access
[SW1-GigabitEthernet0/0/1]port default vlan 10          //将此接入模式接口划分到 VLAN 10
[SW1-GigabitEthernet0/0/1]int g0/0/2                    //进入接口g0/0/2
[SW1-GigabitEthernet0/0/2]port link-type access         //将接口类型设置为access
[SW1-GigabitEthernet0/0/2]port default vlan 20          //将此接入模式接口划分到 VLAN 20
[SW1-GigabitEthernet0/0/2]int e0/0/1                    //进入接口e0/0/2
[SW1-Ethernet0/0/1]port link-type trunk                 //将接口链路类型设置为trunk模式
[SW1-Ethernet0/0/1]port trunk allow-pass vlan 10 20     //接口允许VLAN10和VLAN20的数据通过
[SW1-Ethernet0/0/1]quit                                 //退出
[SW1]display vlan                                       //查看当前交换机上的 VLAN 配置情况
The total number of vlans is : 3
--------------------------------------------------------------------------------
U: Up;         D: Down;         TG: Tagged;         UT: Untagged;
MP: Vlan-mapping;               ST: Vlan-stacking;
#: ProtocolTransparent-vlan;    *: Management-vlan;
--------------------------------------------------------------------------------

VID  Type    Ports                                                          
--------------------------------------------------------------------------------
1    common  UT:Eth0/0/1(U)     Eth0/0/2(D)     Eth0/0/3(D)     Eth0/0/4(D)     
                Eth0/0/5(D)     Eth0/0/6(D)     Eth0/0/7(D)     Eth0/0/8(D)     
                Eth0/0/9(D)     Eth0/0/10(D)    Eth0/0/11(D)    Eth0/0/12(D)    
                Eth0/0/13(D)    Eth0/0/14(D)    Eth0/0/15(D)    Eth0/0/16(D)    
                Eth0/0/17(D)    Eth0/0/18(D)    Eth0/0/19(D)    Eth0/0/20(D)    
                Eth0/0/21(D)    Eth0/0/22(D)                                    

10   common  UT:GE0/0/1(U)                                                      
             TG:Eth0/0/1(U)                                                     

20   common  UT:GE0/0/2(U)                                                      

             TG:Eth0/0/1(U)                                                     


VID  Status  Property      MAC-LRN Statistics Description      
--------------------------------------------------------------------------------

1    enable  default       enable  disable    VLAN 0001                         
10   enable  default       enable  disable    VLAN 0010                         
20   enable  default       enable  disable    VLAN 0020                         
[SW1]

这里创建vlan的目的是为 ACL 规则制定提供了清晰的对象依据。可以基于 VLAN ID 来编写 ACL 规则。还有就是由于我们PC连接的是交换机所以需要使用VLAN来配置接口IP，主要这种在生活中可能比较常见。

然后开始配置R1

<Huawei>system-view                                           //进入系统视图
[Huawei]un in en                                              //关闭信息中心
[Huawei]sysname R1                                            //将设备名称设置为R1
[R1]int g0/0/0                                                //进入g0/0/0进行配置
[R1-GigabitEthernet0/0/0]ip add 192.168.3.2 24                //在该接口配置IP地址
[R1-GigabitEthernet0/0/0]int g0/0/1.10                        //进入子接口配置模式
[R1-GigabitEthernet0/0/1.10]dot1q termination vid 10          //配置802.1Q终结，指定处理VLAN
                                                                ID为10的流量
[R1-GigabitEthernet0/0/1.10]ip add 192.168.1.254 24           //配置接口IP
[R1-GigabitEthernet0/0/1.10]arp broadcast enable              //在该子接口启用ARP广播功能
[R1-GigabitEthernet0/0/0.10]int g0/0/1.20
[R2-GigabitEthernet0/0/1.20]dot1q termination vid 20
[R2-GigabitEthernet0/0/1.20]ip add 192.168.2.254 24
[R2-GigabitEthernet0/0/1.20]arp broadcast enable
[R2-GigabitEthernet0/0/1.20]quit

配置到这里其实准备工作已经准备完成了可以试着使用PC进行ping命令ping 192.168.3.1

到这里只要配置的都是正确的那么是可以ping通的

PC2也一样

然后下面就开始进行ACL配置，我们需要知道ACL本质上就是一组规则的集合所以有permit（允许）和deny（拒绝）

那么看一下他的命令怎么使用

rule [动作] source [源IP地址] [通配符掩码] [time-range 时间段名称]

这里的动作就是permit和deny

通配符上面有介绍

[time-range 时间段名称]：是用于指定 ACL 规则生效时间段的配置项，作用是让 ACL 规则在特定时间范围内起作用，不在该时间段内时，规则不生效。

ok开始进行案例

[R1]acl 2000                    //创建编号为2000的acl

//这里创建2000是因为基本ACL编号范围一般为 2000 – 2999

[R1-acl-basic-2000]rule 10 deny source 192.168.2.0 0.0.0.255        //创建规则

//rule 是用于添加规则的关键字
//10是规则编号。ACL 规则按编号从小到大顺序匹配，编号越小优先级越高 。
//deny 是动作，表示拒绝
//source 表示源 IP 地址相关匹配条件
[R1-acl-basic-2000]quit
[R1]int g0/0/1
[R1-GigabitEthernet0/0/1]traffic-filter inbound acl 2000        //在g0/0/口的入方向配置流量过 
                                                                  滤，当匹配到acl2000流量则执
                                                                  行相应的过滤掉动作

好了，这里看懂之后就应该知道配置完之后PC2就ping不通192.168.3.1了就是因为被拒绝了

我们看一下规则

[R1-acl-basic-2000]display acl 2000
Basic ACL 2000, 1 rule
Acl's step is 5
 rule 10 deny source 192.168.2.0 0.0.0.255 (6 matches)

[R1-acl-basic-2000]

可以看到规则10是拒绝的然后我们前面说了规则越靠前就越优先那么我们可以测一下

[R1-acl-basic-2000]display acl 2000
Basic ACL 2000, 2 rules
Acl's step is 5
 rule 5 permit source 192.168.2.0 0.0.0.255         //允许
 rule 10 deny source 192.168.2.0 0.0.0.255          //拒绝

可以看到规则编号越小越优先

当然想取消规则则使用

[R1-acl-basic-2000]un rule 5
[R1-acl-basic-2000]display acl 2000
Basic ACL 2000, 1 rule
Acl's step is 5
 rule 10 deny source 192.168.2.0 0.0.0.255

然后PC2就ping不通了

好啦基本ACL到这就结束了，下一篇说高级ACL。