了解访问控制列表

访问控制列表ACL（Access Control List）可以定义一系列不同的规则，设备根据这些规则对数据包进行分类，并针对不同类型的报文进行不同的处理，从而可以实现对网络访问行为的控制、限制网络流量、提高网络性能、防止网络攻击等。

ACL可以通过定义规则来允许或拒绝流量的通过，可以根据需求来定义过滤的条件以及匹配条件后所执行的动作。最常见的三种分类是基本ACL、高级ACL和二层ACL。

基本ACL可以使用报文的源IP地址、分片标记和时间段信息来匹配报文，其编号取值范围是2000-2999。
高级ACL可以使用报文的源/目的IP地址、源/目的端口号以及协议类型等信息来匹配报文。高级ACL可以定义比基本ACL更准确、更丰富、更灵活的规则，其编号取值范围是3000-3999。
二层ACL可以使用源/目的MAC地址以及二层协议类型等二层信息来匹配报文，其编号取值范围是4000-4999。

ACL实验及配置：

基本ACL：
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip add 192.168.1.254 24
[R1-GigabitEthernet0/0/0]int g0/0/1
[R1-GigabitEthernet0/0/1]ip add 192.168.2.254 24
[R1-GigabitEthernet0/0/1]int g0/0/2
[R1-GigabitEthernet0/0/2]ip add 10.1.1.254 24
[R1-GigabitEthernet0/0/2]q
[R1]acl 2000
[R1-acl-basic-2000]rule 5 deny source 192.168.1.0 0.0.0.255
[R1-GigabitEthernet0/0/0]int g0/0/2
[R1-GigabitEthernet0/0/2]traffic-filter outbound acl 2000

高级ACL：

[R2]INT G0/0/1
[R2-GigabitEthernet0/0/1]IP ADD 172.16.10.254 24
[R2-GigabitEthernet0/0/1]INT G0/0/0.10
[R2-GigabitEthernet0/0/0.10]IP ADD 192.168.1.254 24
[R2-GigabitEthernet0/0/0.10]dot1q  termination vid 10
[R2-GigabitEthernet0/0/0.10]ARP broadcast enable
[R2-GigabitEthernet0/0/0.10]INT G0/0/0.20
[R2-GigabitEthernet0/0/0.20]IP ADD 192.168.2.254 24
[R2-GigabitEthernet0/0/0.20]dot1q termination vid 20
[R2-GigabitEthernet0/0/0.20]ARP broadcast enable
[R2-GigabitEthernet0/0/0.20]Q
[R2]ACL 3000
[R2-acl-adv-3000]rule 5 deny TCP source 192.168.1.0 0.0.0.255 destination 172.16
.10.1 0.0.0.0 destination-port EQ 21
[R2-acl-adv-3000]rule 5 deny tcp source 192.168.2.0 0.0.0.255 destination 172.16
.10.2 0.0.0.0
[R2-acl-adv-3000]Q
[R2]INT G0/0/1
[R2-GigabitEthernet0/0/1]traffic-filter outbound ACL 3000
[R2-GigabitEthernet0/0/1]Q
[R2]DIS ACL 3000

注：0.0.0.255----通配符
0表示精准匹配、1表示随意匹配