见习网工之ACL协议

ACL简介

Access Control List ，访问控制列表。一是可以用于限制报文传送，二是结合其他协议来匹配范围.

ACL的分类

基本acl（2000-2999）：只能匹配源ip地址。
高级acl（3000-3999）：可以匹配源IP、目的IP、源端口和目标端口等字段
二层acl（4000-4999）：可以匹配源MAC地址、目的MAC地址、以太帧协议类型

ACL配置命令

---

在路由器R2上配置

需求一：禁止192.168.1.2访问整个192.168.2.0/24网络

acl number 2000
rule 5 deny source 192.168.1.2 0.0.0.0
int gi0/0/1
traffic-filter outbound acl 2000

---

需求二：需求：在R2上配置高级acl 拒绝PC1和PC2 ping server,但是允许其HTTP 访问server

acl number 3002
rule 5 deny icmp source 192.168.1.0 0.0.0.255 destination 192.168.3.2 0
int gi0/0/2
traffic-filter outbound acl 3002

---

需求三：拒绝源地址192.168.1.2 telnet 访问 12.1.1.2

acl 3003
rule 5 deny tcp source 192.1.1.2 0 destination 12.1.1.2 0 destination-port eq telnet
int gi0/0/0
traffic-filter inbound acl 3003

---

需求四：允许源地址192.168.1.2访问192.168.3.2 其他剩下的报文全部被拒绝

acl 3004
rule 5 permit ip source 192.168.1.2 0 destination 192.168.3.1 0
rule 10 deny ip
int gi0/0/2
traffic-filter outbound acl 3004

---

需求五：拒绝源地址192.168.1.2 在8:00-12:00 和14:00-20:00 周内访问网页，但允许其访问QQ

time-range web 08:00 to 12:00 working-day
time-range web 14:00 to 20:00 working-day
acl number 3005
rule 5 deny tcp source 192.168.1.2 0 destination-port eq www time-range web
int gi0/0/2
traffic-filter outbound acl 3005

---

需求六：拒绝任何人上QQ ：传输层 UDP 8000

acl nmuber 3006
rule 5 deny udp destination-port eq 8000
int gi0/0/2
traffic-filter outbound acl 3006

---

需求七：只允许192.168.1.2远程R2（ACL控制允许telnet的网段或IP）

配置Telnet的步骤可以查看我的另一篇文章《见习网工之DHCP、Telnet、SSH协议》
acl number 2007
rule 5 permit source 192.168.1.2 0
rule 10 deny
user-interface vty 0 4
acl 2007 inbound

---

需求八：ACL 用于多层交换机

int Gi0/0/2
port link-type trunk
port trunk allow-pass vlan 2 to 4094
traffic-filter outbound acl 3006

---

需求九：多层交换机调用acl

全局：traffic-filter vlan 10 inbound acl 2000

ACL补充事项

1：一个接口的同一个方向，只能调用一个acl
2：一个acl里面可以有多个rule 规则，从上往下依次执行
3：数据包一旦被某rule匹配，就不再继续向下匹配
4: 用来做数据包访问控制时，默认隐含放过所有（华为设备）