ACL和配置命令
文章目录
一、ACL访问控制列表
1.访问控制列表（acl）
读取第三层，第四层包头信息 根据预先定义好的规则对包进行过滤 （防火墙的功
能）
第三层传输层 —— 数据段——源端口、目的端口 —————————————————————— 通信四元组 第四层网络层 —— 数据包——源IP、目的IP
2.访问控制列表在接口应用的方向
出： 已经过路由器的处理，正离开路由器接口的数据包。 入：已到达路由器接口的
数据包，即将被被处理。
数据是有去又回的，进去的时候是进口，回来的时候就是出口，出去的时候是出
口，回来的时候就是进口。
列表应用到接口的方向与数据方向有关
二、访问控制列表的处理过程
1.ACL工作原理
当数据包从接口经过时，由于接口启用acl，此时路由器会对报文进行检查，然后
扫描二维码关注公众号，回复：
12891000 查看本文章
做出相应的处理
2.ACL两种作用
1.用来对数据包做访问控制 2.结合其他协议，用来匹配范围
3.ACL种类
1.基本acl（2000-2999）：只能匹配源IP地址
2.高级acl（3000-3999）：可以匹配源IP、目标IP、源端口、目标端口等三层和四
层的字段。
3.二层acl（4000-4999）：根据数据包的源MAC地址、目的MAC地址、802.1q优
先级、二层协议类
型等二层信息制定规则（仅作了解）
4.ACL的应用原则
基本acl，尽量用在靠近目的点 高级acl，尽量用在靠近源的地方（用来保护带宽和
其他资源）
（1）ACL的应用规则
1.一个接口的同一个方向，只能调用一个acl
2.一个acl里面可以有多个rule规则，按照规则ID从小到大排序，从上往下依次执行
3.数据包一旦被某个rule匹配，就不再继续向下匹配
4.用来做数据包访问控制时，默认隐含放过所有（华为设备）
三、ACL华为命令
1、基本ACL配置
[Huawei]acl number 2000
###创建acl 2000
[Huawei-acl-basic-2000]rule 5 deny source 192.168.1.1 0
###拒绝源地址为192.168.10.1的流量，0代表仅此一台，5是这条规则的序号(可不加)
[Huawei] interface GigabitEthernet 0/0/1
[ Huawei-GigabitEthernet0/0/1]ip address 192.168.2.254 24
[Huawei-GigabitEthernet0/0/1]traffic-filter outbound acl 2000
###接口出方向调用acl2000， outbound代表出方向，inbound代表进入方向
[Huawei -GigabitEthernet0/0/1]undo sh
[Huawei]acl number 2001
###进入acl 2000列表
[Huawei -acl -basic- 2001]rule permit source 192.168.1.0 0.0.0.255
###permit代表允许，source代表来源，掩码部分为反掩码
[Huawei-acl-basic-2001] rule deny source any
###拒绝所有访问，any代表所有0.0.0.0 255.255.255.255或者rule deny
[Huawei] interface GigabitEthernet 0/0/1 ##进入出口接口
[Huawei -GigabitEthernet0/0/1]ip address 192.168.2.254 24
[Huawei -GigabitEthernet0/0/1]traffic-filter outbound acl 20012、高级ACL配置
[Huawei]acl nmuber 3000
#拒绝tcp为高级控制,所以3000起
[ Huawei-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 destination 192.168.3.1 0
###拒绝Ping
[Huawei-acl-adv-3000]rule permit tcp source 192.168.1.3 0 destination 192.168.3.1 0 destination-port eq 80###destination代表目的地址，destination-port代表目的端口号，80可用www代替
[Huawei-acl-adv- 3000] rule deny tcp source any destination 192.168.3.1 0 destination-port eq 80
[Huawei-acl-adv-3000] rule deny tcp source 192.168.10.0 0.0.0.255 destination 12.0.0.2 destination-port eq 21###拒绝源地址192.168.10.0网段访问FTP服务器12.0.0.2
[Huawei-acl-adv-3000]dis this
###查看当前ACL配置是否配置成功
[Huawei]interface g0/0/0
[Huawei-GigabitEthernet0/0/1] ip address 192.168.2.254 24
[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl 3000
###在接口入方向应用acl
[Huawei -Gigabi tEthernet0/0/1]undo traffic- filter inbound
###在接口上取消ac1的应用
[Huawei] display acl 3000
###显示acl配置
[Huawei] acl nmuber 3000
[Huawei -acl-adv-3000]dis this
###查看规则序号
[Huawei-acl-adv- 3000]undo rule
###删除一条acl语句
[Huawei]undo acl number 3000
###删除整个ACL