华为---配置基本的访问控制列表（ACL）

11、访问控制列表（ACL）

11.1 配置基本的访问控制列表

11.1.1 原理概述

访问控制列表ACL(Access Control List)是由permit或deny语句组成的一系列有顺序的规则集合，这些规则根据数据包的源地址、目的地址、源端口、目的端口等信息来描述。ACL规则通过匹配报文中的信息对数据包进行分类，路由设备根据这些规则判断哪些数据包可以通过，哪些数据包需要拒绝。

按照访问控制列表的用途，可以分为基本的访问控制列表和高级的访问控制列表，基本ACL可使用报文的源IP地址、时间段信息来定义规则，编号范围为2000～2999。一个ACL可以由多条“deny/permit”语句组成，每一条语句描述一条规则，每条规则有一个Rule-ID。Rule-ID可以由用户进行配置，也可以由系统自动根据步长生成，默认步长为5,Rule-ID默认按照配置先后顺序分配0、5、10、15等，匹配顺序按照ACL的Rule-ID的顺序，从小到大进行匹配。

11.1.2 实验内容

本实验模拟企业网络环境，R1为分支机构A管理员所在IT部门的网关，R2为分支机构A用户部门的网关，R3为分支机构A去往总部出口的网关设备，R4为总部核心路由器设备。整网运行OSPF协议，并在区域0内。企业设计通过远程方式管理核心网路由器R4,要求只能由R1所连的PC访问R4,其他设备均不能访问。

11.1.3 实验拓扑

11.1.4 实验编址

设备	接口	IP地址	子网掩码	默认网关
AR1(AR2220)	GE 0/0/0	172.16.1.1	255.255.255.252	N/A
AR1(AR2220)	GE 0/0/2	192.168.10.254	255.255.255.0	N/A
AR2(AR2220)	GE 0/0/1	172.16.2.1	255.255.255.252	N/A
AR2(AR2220)	GE 0/0/2	192.168.20.254	255.255.255.0	N/A
AR3(AR2220)	GE 0/0/0	172.16.1.2	255.255.255.252	N/A
AR3(AR2220)	GE 0/0/1	172.16.2.2	255.255.255.252	N/A
AR3(AR2220)	GE 0/0/2	172.16.3.2	255.255.255.252	N/A
AR4(AR2220)	GE 0/0/2	172.16.3.1	255.255.255.252	N/A
PC1	Ethernet 0/0/1	192.168.10.1	255.255.255.0	192.168.10.254
PC2	Ethernet 0/0/1	192.168.20.1	255.255.255.0	192.168.20.254

11.1.5 实验步骤

1、基本配置

根据实验编址表进行基本的IP地址配置和OSPF配置。

[AR1]interface GigabitEthernet 0/0/0
[AR1-GigabitEthernet0/0/0]ip address 172.16.1.1 30
[AR1-GigabitEthernet0/0/0]interface GigabitEthernet 0/0/2
[AR1-GigabitEthernet0/0/2]ip address 192.168.10.254 24
[AR1-GigabitEthernet0/0/2]ospf 1
[AR1-ospf-1]area 0
[AR1-ospf-