网络入门-访问控制列表ACL

200、ACL：访问控制列表：

基本的ACL（2000-2999）：只能匹配源IP地址 ；

高级的ACL（3000-3999）：可以匹配源IP地址、目标IP地址、源端口、目的端口、等三层四层字段；

实验一：ACL的配置：

实验topo：

给PC、路由的各个接口配置上IP地址：

测试两个网段之间是否能够通信：

201、实例一：禁止192.168.1.2 访问172.16.1.x 网段：

配置如下：

acl number 2001    配置一个编号为2001 的ACL；

 rule 5 deny source 192.168.1.2 0.0.0.0  配置一个拒绝192.168.1.2 访问的规则

tips:（0.0.0.0 表示精确匹配）

 tips：5为自动生成的序号：

intG0/0/1

traffic-filter inbound acl 2001：在G0/0/1引用ACL2001

测试192.168.1.2 能否与172.16.1.0/24网段通信：

202、高级的ACL：

实例二:拒绝192.168.1.0 /24 ping SERVER1 ，但是允许http服务访问：

tips:华为，H3的设备默认开启通过所有；

配置如下：

R2 ：

ACL 3000

rule 5 deny icmp source 192.168.1.0 0.0.0.255 destination 172.16.1.2  0.0.0.0

拒绝源地址为192.168.1.0 网段的ICMP服务访问172.16.1.2

由于华为的设备默认全开，所以就不用配置允许http 的策略；

在G0/0/1口引用策略：

int g0/0/1

traffic-filter inbound acl 3000

查看是否能ping:

查看是否能访问http服务：

 203 、拒绝源IP地址为192.168.1.2 的PC Telnet访问路由器R1；

由于Telnet访问的时候，使用的是192.168.1.254 ，所以ACL应该配置在R1上，方向为inbound ,端口为G0/0/0；

配置：

配置路由器R1的Telnet：

 acl number 3000   申明一个ACL 3000

 rule 5 deny tcp source 192.168.1.0 0.0.0.255 destination 192.168.1.254 0 destin

ation-port eq telnet

     拒绝源IP地址为192.168.1.0 网段的PCTelnet访问192.168.1.254

在接口上调用ACL：

int G0/0/0

traffic-filter inbound acl 3000

查看结果：

204 、tips：

一个接口的同一个方向，只能调用一个ACL；

一个ACL里面可以有多个rule ,从上往下依次执行；

数据包一旦被前面的RULE匹配，就不能再往下匹配了；

默认隐藏放过所有（华为的ACL用来拒绝数据包时）