eNSP模拟ACL

拓扑图

实验要求

在129.38.1.0这个网络中，只有129.38.1.4以及三个服务器可以与外网进行联系，而其他的网络不行，同时只有202.39.2.3这个网络可以访问129.38.1.0网络，而其他的网络不行，将路由器AR6的G0/0/0端口部署为telnet server。

初始化

server1和server2的配置：

PC1和PC2的配置：

对AR2的初始化配置：

<Huawei>sys
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip ad 129.38.1.5 24
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip ad 202.38.160.1 24
[Huawei-GigabitEthernet0/0/1]rip
[Huawei-rip-1]version 2
[Huawei-rip-1]network 129.38.0.0
[Huawei-rip-1]network 202.38.160.0

对AR3的初始化配置：

<Huawei>sys
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip ad 202.38.160.2 24
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip ad 202.39.2.2 24
[Huawei-rip-1]version 2
[Huawei-rip-1]network 202.38.160.0
[Huawei-rip-1]network 202.39.2.0

对AR6的初始化配置：

<Huawei>sys
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip ad 129.38.1.2 24
[Huawei]rip
[Huawei-rip-1]version 2
[Huawei-rip-1]network 129.38.0.0

验证网络

可以看到，除了PC1以外，其他的设备也可以ping通PC2，同时PC2也可以ping通129.38.1.0网络下的设备。

配置telnet server

将AR6配置为telnet server：

[Huawei]user-interface vty 0 4  配置有多少个用户可以同时登录到Telnet服务端
[Huawei-ui-vty0-4]authentication-mode aaa  //验证方式设置为aaa验证
[Huawei-ui-vty0-4]q
[Huawei]aaa
[Huawei-aaa]local-user admin password cipher 123 privilege level 3  //设置登录的用户名以及密码，然后在设置这个用户对设备的操作级别 
[Huawei-aaa]local-user admin service-type telnet  //将这个用户应用于Telnet远程登录

然后进入到客户模式：

<Huawei>telnet 129.38.1.2  //输入telnet服务器的ip地址

就可以得到如下图：

ACL的分类

基本ACL配置（2000-2999）	根据源地址来进行访问控制
高级ACL配置（3000-3999）	可以根据源地址、目标地址、源端口号等来进行访问控制

配置ACL访问控制

首先控制129.38.1.0网络下只有129.38.1.4这个PC1主机可以与外网进行通信：

[Huawei]acl 2000
[Huawei-acl-basic-2000]rule permit source 129.38.1.4 0
[Huawei-acl-basic-2000]rule permit source 129.38.1.1 0
[Huawei-acl-basic-2000]rule permit source 129.38.1.2 0
[Huawei-acl-basic-2000]rule permit source 129.38.1.3 0
[Huawei-acl-basic-2000]rule deny source 129.38.1.0 0.0.0.255
[Huawei-acl-basic-2000]q
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl 2000  //设置在AR2的G0/0/0的in端口上

然后再配置外网只有202.39.2.3的主机PC2能够连通129.38.1.0网络下的telnet服务器：

[Huawei]acl 3000
[Huawei-acl-adv-3000]rule permit tcp source 202.39.2.3 0 destination 129.38.1.2 
0 destination-port eq 23
[Huawei-acl-adv-3000]rule deny tcp source 0.0.0.0 255.255.255.255 destination 12
9.38.1.2 0 destination-port eq 23
[Huawei-acl-adv-3000]q
[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]traffic-filter inbound acl 3000  //设置在AR2的G0/0/1的in端口上

但是，我们可以看到，PC2却无法连接telnet服务器，上面提示“invalid command”，然后我在华为的官方论坛中看到，有人说是因为华为的eNSP本身不支持用PC来进行telnet连接，而只支持路由器和交换机进行telnet连接，网址链接如下：

https://forum.huawei.com/enterprise/zh/thread-410783.html
但可以将PC2改成客户端或路由器来进行测试，而这里就不再详述。

总结

配置ACL相关的命令：

acl 2000  //创建acl
dis acl all  //查看当前路由器中的所有acl
rule permit source 129.38.1.4 0  //基础配置的模型
rule deny tcp source 0.0.0.0 255.255.255.255 destination 129.38.1.2 0 destination-port eq 23  //高级配置的模型
traffic-filter inbound acl 2000  //在指定端口输入开启acl，指定acl的编号和类型
undo traffic-filter inbound  //取消当前端口的in类型的acl
undo acl 2000  //删除acl

对于eq 23
还有如下表示（与端口做对比，如等于23）
eq   等于
gt   大于
lt   小于
range  两者之间

配置telnet的相关命令：

user-interface vty 0 4

//使用password方式，需要提供密码
authentication-mode password  //输入之后下面会提示输入密码

//使用aaa方式，需要提供账号和密码
authentication-mode aaa
aaa  //在系统界面[]下输入
lacal-user name password cipher passwd  //name和passwd分别为账号名和密码