高级的访问控制列表

基本的ACL只能用于匹配源IP地址，而在实际应用当中往往需要针对数据包的其它参数进行匹配，比如目的IP地址、协议号、端口号等，所以基本的ACL由于匹配的局限性而无法实现更多功能，所以就需要使用高级的访问控制列表。
高级的访问控制列表在匹配项上做了扩展，编号范围为3000~3999，既可以使用报文的源IP地址，也可以使用目的地址、IP优先级、IP协议类型、ICMP类型、TCP源端口/目的端口、UDP源端口/目的端口号等信息来定义规则。

R1为分支机构A管理员所在的IT部门的网关，R2为分支机构A用户部门的网关，R3为分支机构A去往总部出口的网关设备，R4为总部核心路由。要求R1可以访问R4，其它设备均不能访问。要求只能管理R4上的4.4.4.4这台服务器，另一台同样直连R4的服务器40.40.40.40不能被管理（PC使用环回接口模拟）。

//运行OSPF协议，通告相应网段至区域0。
[R1]ospf 1
[R1-ospf-1]area 0
[R1-ospf-1-area-0.0.0.0]network 10.0.13.0 0.0.0.255
[R1-ospf-1-area-0.0.0.0]network 1.1.1.1 0.0.0.0

[R2]ospf 1
[R2-ospf-1]area 0
[R2-ospf-1-area-0.0.0.0]network 10.0.23.0 0.0.0.255

[R3]ospf 1
[R3-ospf-1]area 0
[R3-ospf-1-area-0.0.0.0]network 3.3.3.3 0.0.0.0
[R3-ospf-1-area-0.0.0.0]network 10.0.13.0 0.0.0.255
[R3-ospf-1-area-0.0.0.0]network 10.0.23.0 0.0.0.255
[R3-ospf-1-area-0.0.0.0]network 10.0.34.0 0.0.0.255

[R4]ospf 1
[R4-ospf-1]area 0
[R4-ospf-1-area-0.0.0.0]network 4.4.4.4 0.0.0.0
[R4-ospf-1-area-0.0.0.0]network 10.0.34.0 0.0.0.255
[R4-ospf-1-area-0.0.0.0]network 40.40.40.40 0.0.0.0

//在R1上查看OSPF路由信息。
dis ip routing-table protocol ospf
Route Flags: R - relay, D - download to fib

Public routing table : OSPF
Destinations : 5 Routes : 5

OSPF routing table status :
Destinations : 5 Routes : 5

Destination/Mask Proto Pre Cost Flags NextHop Interface

3.3.3.3/32 OSPF 10 1 D 10.0.13.3 GigabitEthernet0/0/0
4.4.4.4/32 OSPF 10 2 D 10.0.13.3 GigabitEthernet0/0/0
10.0.23.0/24 OSPF 10 2 D 10.0.13.3 GigabitEthernet0/0/0
10.0.34.0/24 OSPF 10 2 D 10.0.13.3 GigabitEthernet0/0/0
40.40.40.40/32 OSPF 10 2 D 10.0.13.3 GigabitEthernet0/0/0

OSPF routing table status :
Destinations : 0 Routes : 0
//R1已经学习到了相关的路由条目。

//接下来在核心路由R4上配置Telnet，密码为huawei
[R4]aaa
[R4-aaa]local-user admin password cipher huawei privilege leve 3
[R4-aaa]local-user admin service-type telnet
[R4-aaa]q
[R4]user-int vty 0 4
[R4-ui-vty0-4]authentication-mode aaa

//尝试在R1上建立与R4的环回接口1的IP地址的Telnet连接。
telnet -a 1.1.1.1 40.40.40.40
Press CTRL_] to quit telnet mode
Trying 40.40.40.40 …
Connected to 40.40.40.40 …

Login authentication

Username:admin
Password:

User last login information:

Access Type: Telnet
IP-Address : 1.1.1.1
Time : 2020-09-27 14:51:23-08:00

**//可以看到能成功登录。**

//配置高级的ACL，在R4上使用 acl 命令创建高级 acl 3000、
//在acl视图中，使用rule命令配置ACL规则，ip为协议类型，允许源地址为1.1.1.1、目的地址为4.4.4.4的数据包通过。
//将ACL调用在VTY下，使用inbound参数，即在R4的数据入方向调用。
[R4]acl 3000
[R4-acl-adv-3000]rule permit ip source 1.1.1.1 0 destination 4.4.4.4 0
[R4-acl-adv-3000]q
[R4]user-int vty 0 4
[R4-ui-vty0-4]acl 3000 inbound

//查看ACL配置信息
[R4]dis acl all
Total quantity of nonempty ACL number is 1

Advanced ACL 3000, 1 rule
Acl’s step is 5
rule 5 permit ip source 1.1.1.1 0 destination 4.4.4.4 0
//可以看到在不指定规则的情况下，默认步长为5，第一条规则的规则ID即为5

//再次在R1上使用环回口地址尝试访问40.40.40.40
telnet -a 1.1.1.1 40.40.40.40
Press CTRL_] to quit telnet mode
Trying 40.40.40.40 …
//R1不能使用环回口地址访问40.40.40.40