华为eNSP：基本ACL

一、什么是ACL

1、ACL是Access Control List（访问控制列表）的缩写，它用于控制网络设备或系统的访问权限。ACL可以允许或禁止特定用户、特定IP地址或特定网络中的主机对网络服务或资源进行访问。ACL通常在路由器、交换机、防火墙等网络设备上配置，用于保护网络中的资源安全，防止未经授权的访问或攻击。

二、ACL的作用

ACL（Access Control List）是一种用于控制网络设备或计算机系统中访问权限的列表。ACL的作用是根据预先定义的规则，控制用户或网络流量对系统资源的访问。具体来说，ACL可以用来：

1. 限制用户对系统资源的访问：ACL可以根据用户或用户组的标识，限制其对文件、文件夹、数据库等资源的访问权限。通过ACL，管理员可以控制哪些用户可以读取、写入或删除特定的资源。

2. 控制网络流量：ACL可以根据源IP地址、目的IP地址、协议类型、端口号等条件，限制网络流量的传入或传出。通过ACL，管理员可以实现诸如防火墙规则、网络地址转换（NAT）等功能，提供网络安全和流量控制。

3. 保护敏感数据：ACL可以限制特定用户或用户组对敏感数据的访问。例如，对于医疗记录或财务数据等敏感信息，通过ACL可以限制只有授权人员才能访问。

4. 防止未授权访问和滥用：ACL可以防止未经授权的用户访问系统资源，从而保护系统的安全性。通过ACL，管理员可以限制用户对敏感操作（如更改配置、安装软件等）的执行。

三、基本ACL的配置命令与实验步骤

1、拓扑图

提示：在华为eNSP中做ACL实验应用到这个路由器AR3260。

2、终端IP地址

3、配置命令

路由器：
<Huawei>sys
[Huawei]undo info-center enable
[Huawei]sys R1
[R1]int g0/0/1
[R1-GigabitEthernet0/0/1]undo shutdown        //打开接口
[R1-GigabitEthernet0/0/1]quit
[R1]int g0/0/1.1         //设置子接口G0/0/1.1
[R1-GigabitEthernet0/0/1.1]dot1q termination vid 10         //配置Dot1q终结VLAN 10，配置此命令后，该子接口哭晕剥离Tag标签为vlan 10的数据帧，并且发送数据帧时会打上vlan 10 的Tag标签
[R1-GigabitEthernet0/0/1.1]ip address 192.168.10.254 24 
[R1-GigabitEthernet0/0/1.1]arp broadcast enable      //开启arp
[R1-GigabitEthernet0/0/1.1]int g0/0/1.2        //设置子接口G0/0/1.2
[R1-GigabitEthernet0/0/1.2]dot1q termination vid 20       //配置Dot1q终结VLAN 20，配置此命令后，该子接口哭晕剥离Tag标签为vlan 20的数据帧，并且发送数据帧时会打上vlan 20 的Tag标签
[R1-GigabitEthernet0/0/1.2]ip address 192.168.20.254 24     
[R1-GigabitEthernet0/0/1.2]arp broadcast enable     //开启arp
[R1-GigabitEthernet0/0/1.2]int g0/0/0
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip address 10.1.1.254 24
[R1-GigabitEthernet0/0/0]quit
[R1]acl 2000   //创建acl 编号为2000
[R1-acl-basic-2000]rule 10 deny source 192.168.20.0 0.0.0.255    //拒绝192.168.20.0网段
[R1-acl-basic-2000]int g0/0/1
[R1-GigabitEthernet0/0/1]traffic-filter inbound acl 2000       //在接口的入方向配置流量过滤，
当匹配到ACL 2000 流量时，执行相应的过滤动作

交换机命令：

[Huawei]sys
[Huawei]undo info-center enable
[Huawei]sys LSW1
[LSW1]vlan batch 10 20           //创建VLAN
[LSW1]int g0/0/1
[LSW1-GigabitEthernet0/0/1]port link-type access          //设置接口模式为access
[LSW1-GigabitEthernet0/0/1]port default vlan 10            //划分VLAN10到此接口
[LSW1-GigabitEthernet0/0/1]int g0/0/2             
[LSW1-GigabitEthernet0/0/2]port link-type access         //设置接口模式为access
[LSW1-GigabitEthernet0/0/2]port default vlan 20          //划分VLAN20到此接口
[LSW1-GigabitEthernet0/0/2]int g0/0/3
[LSW1-GigabitEthernet0/0/3]port link-type trunk         //设置接口模式为trunk
[LSW1-GigabitEthernet0/0/3]port trunk allow-pass vlan 10 20            //允许VLAN10与VLAN20通过此接口

4、测试

pc1使用ping命令ping pc2测试连通性，下图可看出发出的5个包都丢包了说明实验成功。

四、总结

ACL提供了一种灵活而精细的权限控制机制，帮助管理员在计算机系统中实现对资源的访问控制和用户权限管理，以提高系统的安全性和可管理性。