ACL访问控制列表及命令配置
一、访问控制列表
（一）概述
1.读取第三层、第四层包头信息
根据预先定义好的规则对包进行过滤
IP报头：源地址、目的地址
TCP报头：源端口、目的端口
数据：
2.访问控制列表工作原理
（1）访问控制列表在接口应用的方向
出：已经过路由器的处理，正离开路由器接口的数据包
入：已到达路由器接口的数据包，将被路由器处理
（2）到达访问控制组接口的数据包
华为默认隐含放过所有
（3）acl工作原理当数据包从接口经过时，由于接口启用了acl此时路由器会对报文进行检查，然后做出相应的处理
（二)ACL的作用
（1）用来对数据包做访问处理
（2）结合其他协议，用来匹配范围
（三）acl种类
基本ACL（2000~2999）：只能匹配源IP地址
高级ACL（3000~3999）：可以匹配源IP、目标IP、源端口、目标端口等三层和四层的字段
二层ACL（4000~4999）：根据数据包的源MAC地址、目的MAC地址、802.1q优先级、二层协议等二层信息制定规则
（四）acl的应用原则
基本ACL：尽量用在靠近目的点
高级ACL：尽量用在靠近源的地方（可以保护带宽和其他资源）
（五）acl应用规则
1.一个接口的同一个方向，只能调用一个ACL
2.一个ACL里面可以有多个rule规则，按照规则ID从小到大排序，从上往下依次执行
3.数据包一旦被某rule匹配，就不再继续向下匹配
4.用来做数据包访问控制时，默认隐含放过所有（华为设备）
二、配置命令
（一）路由器配置
[Huawei]sysname r1
[r1]user-interface console 0
[r1-ui-console0]idle-timeout 0 0
[r1-ui-console0]q
[r1]undo info-center enable
[r1]int g0/0/0
[r1-GigabitEthernet0/0/0]ip add 192.168.1.254 24
[r1-GigabitEthernet0/0/0]undo shutdown
Info: Interface GigabitEthernet0/0/0 is not shutdown.
[r1-GigabitEthernet0/0/0]int g0/0/2
[r1-GigabitEthernet0/0/2]ip add 192.168.2.1 24
[r1-GigabitEthernet0/0/2]undo shut
[r1-GigabitEthernet0/0/2]undo shutdown
Info: Interface GigabitEthernet0/0/2 is not shutdown.
[r1-GigabitEthernet0/0/2]int g0/0/1
[r1-GigabitEthernet0/0/1]ip add 192.168.3.254 24
[r1-GigabitEthernet0/0/1]undo shutdown
Info: Interface GigabitEthernet0/0/1 is not shutdown.
[r1-GigabitEthernet0/0/1]undo shutdown
Info: Interface GigabitEthernet0/0/1 is not shutdown.
[r1-GigabitEthernet0/0/1]q
[r1]acl number 2000
[r1-acl-basic-2000]rule permit s
[r1-acl-basic-2000]rule permit source 192.168.1.1 0 ###允许pc1的ip通过因为是一台主机可以使用0 如果是允许某一网段用反掩码
[r1-acl-basic-2000]rule deny
[r1-acl-basic-2000]dis this
[V200R003C00]
acl number 2000
rule 5 permit source 192.168.1.1 0
rule 10 deny
return
[r1]int g0/0/2
[r1-GigabitEthernet0/0/2]traffic-filter outbound acl 2000
[r1-GigabitEthernet0/0/2]acl 3000
[r1-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 destination 192.168.3.1 0 ###禁止192.168.1.0网段ping
[r1-acl-adv-3000]rule permit tcp source 192.168.1.3 0 destination 192.168.3.1 0 destination-port eq 80
[r1-acl-adv-3000]rule deny tcp source any destination 192.168.3.1 0 destination-port eq 80
[r1-acl-adv-3000]int g0/0/0
[r1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000
[r1-GigabitEthernet0/0/0]
查看acl配置 [r1] display acl 3000
查看规则序号 [r1-acl-adv-3000] dis this
删除一条acl语句 [r1-acl-adv-3000]undo rule 5
删除整个acl [r1]undo acl number 3000