ENSP 配置访问控制列表ACL

访问控制列表ACL是由permit或deny语句组成的一系列有顺序的规则集合，这些规则根据数据包的源地址、目的地址、源端口、目的端口等信息来描述。ACL规则通过匹配报文中的信息对数据包进行分类，路由设备根据这些规则判断哪些数据包可以通过，哪些数据包需要拒绝。

 按照访问控制列表的用途，可以分为基本的访问控制列表和高级的访问控制列表.

基本ACL可以使用报文的源IP地址、时间段信息来定义规则，编号范围为2000-2999。

高级ACL在匹配项上做了扩展，编号范围为3000-3999，既可使用报文的源IP，也可使用目的IP、IP优先级、IP协议类型、ICMP类型、TCP源/目端口、UDP源/目端口等信息来定义规则。

一个ACL可以由多条“deny/permit”语句组成，每一条语句描述一条规则，每条规则有一个rule-ID。Rule-ID可以由用户进行配置，也可以由系统自动根据步长生成，默认步长为5，Rule-ID默认按照配置先后顺序分配5、10、15等，匹配顺序按照ACL的Rule-ID的顺序，从小到大进行匹配。

AR1配置

<Huawei>sy
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 10.0.13.1 24
[Huawei-GigabitEthernet0/0/0]int loopback0
[Huawei-LoopBack0]ip add 1.1.1.1 32
[Huawei-LoopBack0]q
[Huawei]ospf 1
[Huawei-ospf-1]area 0
[Huawei-ospf-1-area-0.0.0.0]network 10.0.13.0 0.0.0.255

[Huawei-ospf-1-area-0.0.0.0]network 1.1.1.1 0.0.0.0

AR2配置

 <Huawei>sy
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 10.0.23.2 24
[Huawei]ospf 1
[Huawei-ospf-1]area 0
[Huawei-ospf-1-area-0.0.0.0]network 10.0.23.0 0.0.0.255

AR3配置

 <Huawei>sy
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 10.0.13.3 24
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 10.0.23.3 24
[Huawei-GigabitEthernet0/0/1]int g0/0/2
[Huawei-GigabitEthernet0/0/2]ip address 10.0.34.3 24
[Huawei-GigabitEthernet0/0/2]int loopback0
[Huawei-LoopBack0]ip address 3.3.3.3 32

[Huawei-LoopBack0]q

[Huawei]ospf 1
[Huawei-ospf-1]area 0
[Huawei-ospf-1-area-0.0.0.0]network 10.0.13.0 0.0.0.255
[Huawei-ospf-1-area-0.0.0.0]network 10.0.23.0 0.0.0.255
[Huawei-ospf-1-area-0.0.0.0]network 10.0.34.0 0.0.0.255

[Huawei-ospf-1-area-0.0.0.0]network 3.3.3.3 0.0.0.0

AR4配置

<Huawei>sy
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 10.0.34.4 24
[Huawei-GigabitEthernet0/0/0]q
[Huawei]int loopback0
[Huawei-LoopBack0]ip address 4.4.4.4 32
[Huawei-LoopBack0]int loopback1
[Huawei-LoopBack1]ip address 40.40.40.40 32 

[Huawei-LoopBack1]q

[Huawei]ospf 1
[Huawei-ospf-1]area 0
[Huawei-ospf-1-area-0.0.0.0]network 10.0.34.0 0.0.0.255

[Huawei-ospf-1-area-0.0.0.0]network 4.4.4.4 0.0.0.0
[Huawei-ospf-1-area-0.0.0.0]network 40.40.40.40 0.0.0.0

测试R1的环回口于R4的环回口之间的连通性

R4上配置Telnet，并且使用密码：zhangsan

R4配置

<Huawei>sy
[Huawei]user-in    
[Huawei]user-interface vty 0 4 //允许0-4个用户访问
[Huawei-ui-vty0-4]authentication-mode pass    
[Huawei-ui-vty0-4]authentication-mode password         //设置登录telnet的模式 密码登录
Please configure the login password (maximum length 16):zhangsan

建立R1到R4之间的Telnet连接

成功

 建立R2到R4之间的Telnet连接

成功

配置基本ACL，仅允许1.1.1.1访问4.4.4.4

R4配置

<R4>sy
Enter system view, return user view with Ctrl+Z.
[R4]acl 2000
[R4-acl-basic-2000]rule 5 permit source 1.1.1.1 0
[R4-acl-basic-2000]rule 10 deny source any
[R4-acl-basic-2000]q
[R4]user-interface vty 0 4
[R4-ui-vty0-4]acl 2000 inbound

使用R1的环回口地址1.1.1.1测试telnet访问4.4.4.4的连通性

尝试在R2上远程登录R4，无法登录，说明ACL配置已经生效

需要R3能够使用其环回口3.3.3.3访问R4

R4配置

[R4]acl 2000
[R4-acl-basic-2000]rule 6 permit source 3.3.3.3 0
[R4-acl-basic-2000]q
[R4]user-interface vty 0 4
[R4-ui-vty0-4]acl 2000 inbound

测试连通性

用高级ACL设置R1的环回接口1.1.1.1只能访问R4的环回接口0地址4.4.4.4，而不能访问R4的环回接口1地址40.40.40.40 

R4配置

[R4]acl 3000
[R4-acl-adv-3000]rule permit ip source 1.1.1.1 0 destination 4.4.4.4 0
[R4-acl-adv-3000]q
[R4]user-interface vty 0 4
[R4-ui-vty0-4]acl 3000 inbound

测试连通性

1.1.1.1 访问 4.4.4.4 成功

 1.1.1.1 访问 40.40.40.40

 依旧可以使用ICMP协议与4.4.4.4和40.40.40.40通信

在R4 G0/0/0端口上应用ACL，只能由R1所连的PC（本实验使用环回接口模拟）ping通R4，其他设备均不能ping通。

R4配置

[R4]acl 3002
[R4-acl-adv-3002]rule 5 permit ip source 1.1.1.1 0 destination 4.4.4.4 0
[R4-acl-adv-3002]rule 10 permit ip source 1.1.1.1 0 destination 40.40.40.40 0
[R4-acl-adv-3002]q
[R4]int g0/0/0
[R4-GigabitEthernet0/0/0]traffic-filter inbound acl 3002

测试连通性

测试R3与R4的连通性        无法访问

R1所连PC只能ping通R4上的4.4.4.4这台服务器，R4上的另一台40.40.40.40这台服务器不能被ping通。

R4配置

[R4]acl 3003
[R4-acl-adv-3003]rule 5 permit ip source 1.1.1.1 0 destination 4.4.4.4 0
[R4-acl-adv-3003]rule 10 deny ip source any
[R4-acl-adv-3003]q
[R4]int g0/0/0
[R4-GigabitEthernet0/0/0]undo traffic-filter inbound         //注销原本的规则
[R4-GigabitEthernet0/0/0]traffic-filter inbound acl 3003

测试连通性