基本ACL原理與配置主講教師：劉曉君數(shù)據(jù)網(wǎng)組建與維護(hù)1基本ACL的原理2基本ACL的命令格式3典型案例應(yīng)用4案例配置過程CONTENTS目錄基本ACL的原理基本ACL只能基于IP報(bào)文的源IP地址、報(bào)文分片標(biāo)記和時(shí)間段信息來定義規(guī)則?；続CL的編號(hào)范圍是2000～2999IP頭部TCP/UDP頭部數(shù)據(jù)源IP地址基本ACL的命令格式[Huawei]acl[number]acl-number[match-orderconfig]創(chuàng)建基本ACLacl-number：指定訪問控制列表的編號(hào)。基本ACL編號(hào)范圍：2000～2999。match-orderconfig：指定ACL規(guī)則的匹配順序，config表示配置順序。基本ACL的命令格式[Huawei-acl-basic-2000]rule[rule-id]{deny|permit}[source{source-addresssource-wildcard|any}|time-range

time-name]配置基本ACL的規(guī)則Rule：表示這是一條規(guī)則。rule-id：表示這條規(guī)則的編號(hào)。permit|deny：是一個(gè)“二選一”選項(xiàng)，表示與這條規(guī)則相關(guān)聯(lián)的處理動(dòng)作。用deny命令表示“拒絕”；用permit命令表示“允許”。Source：表示源IP地址信息。source-address表示具體的源IP地址。source-wildcard：表示與source-address相對(duì)應(yīng)的通配符。any：表示源IP地址可以是任何地址。time-rangetime-name：指定ACL規(guī)則生效的時(shí)間段。其中，time-name表示ACL規(guī)則生效時(shí)間段名稱。如果不指定時(shí)間段，表示任何時(shí)間都生效?；続CL的命令格式traffic-filter{inbound|outbound}acl{acl-number|nameacl-name}3.traffic-filter命令：用來在接口上配置基于ACL對(duì)報(bào)文進(jìn)行過濾。inbound：指定在接口入方向上配置報(bào)文過濾。outbound：指定在接口出方向上配置報(bào)文過濾。acl：指定基于IPv4ACL對(duì)報(bào)文進(jìn)行過濾。典型案例應(yīng)用案例背景與要求：某公司網(wǎng)絡(luò)包含了研發(fā)部門辦公區(qū)、總裁辦公室和財(cái)務(wù)部辦公區(qū)域。出于信息安全方面的考慮，我們需要禁止研發(fā)部門訪問財(cái)務(wù)部服務(wù)器?？偛棉k公室192.168.1.1/24研發(fā)部門192.168.2.1/24財(cái)務(wù)部服務(wù)器192.168.3.1/24G0/0/1G0/0/2G0/0/0R1PC2PC1案例配置過程1.R1已完成IP地址的相關(guān)配置[Router]acl2000[Router-acl-basic-2000]ruledenysource192.168.2.00.0.0.2552.在R1上創(chuàng)建基本ACL，禁止192.168.2.0/24網(wǎng)段訪問服務(wù)器網(wǎng)絡(luò)：[Router]interfaceGigabitEthernet0/0/0[Router-GigabitEthernet0/0/1]traffic-filteroutboundacl2000[Router-GigabitEthernet0/0/1]quit3.由于從接口GE0/0/0離開R1，所以在接口GE0/0/0的出方向配置流量過濾：案例配置驗(yàn)證1.在PC1上執(zhí)行【ping192.168.3.1】命令PC>ping192.168.3.1Ping192.168.3.1:32databytes,PressCtrl_CtobreakFrom192.168.3.1:bytes=32seq=1ttl=127time<1msFrom192.168.3.1:bytes=32seq=2ttl=127time<1msFrom192.168.3.1:bytes=32seq=3ttl=127time<1msFrom192.168.3.1:bytes=32seq=4ttl=127time<1msFrom192.168.3.1:bytes=32seq=5ttl=127time<1ms---192.168.3.1pingstatistics---5packet(s)transmitted5packet(s)received0.00%packetloss2.在PC2上執(zhí)行【ping192.168.3.1】命令PC>ping192.168.3.1Ping192.168.3.1:32databytes,PressCtrl_CtobreakRequesttimeout!Requesttimeout!Requesttimeout!Requesttimeout!Requesttimeout!---192.168.3.1pingstatistics---5packet(s)transmitted