华为eNSP-ACl访问控制列表

访问控制列表：是一种基于包过滤的访问控制技术，它可以根据设定的条件对接口上的数据进行控制，允许其通过或丢弃。

访问控制列表广泛应用于路由器和三层交换机，可以有效控制用户对网络的访问，从而保障网络安全。但是会影响转发速度，产生CPU和内存的消耗。

ACL分类

要求：

使用基本ACL只允许PC1 访问 PC3

使用高级ACL只允许PC1 访问 PC2 

只允许R2 的 loopback接口 telnet R1 的loopback接口

拓扑：

基本配置 --- 首先全网互通

PC1

PC2

PC3

AR2

[R2]int g0/0/1
[R2-GigabitEthernet0/0/1]ip address 192.168.10.254 24
[R2-GigabitEthernet0/0/1]int g0/0/2
[R2-GigabitEthernet0/0/2]ip address 192.168.20.254 24
[R2-GigabitEthernet0/0/2]int g0/0/0
[R2-GigabitEthernet0/0/0]ip address  10.1.2.2 24

[R2]int LoopBack 1  
[R2-LoopBack1]ip address 2.2.2.2 32

[R2]ospf 1 
[R2-ospf-1]area 0
[R2-ospf-1-area-0.0.0.0]network 2.2.2.2 0.0.0.0
[R2-ospf-1-area-0.0.0.0]network 192.168.10.0 0.0.0.255 
[R2-ospf-1-area-0.0.0.0]network 192.168.20.0 0.0.0.255
[R2-ospf-1-area-0.0.0.0]network 10.1.2.0 0.0.0.255

AR1

[R1]int g0/0/0 
[R1-GigabitEthernet0/0/0]ip address  10.1.2.0 0.0.0.255
[R1-GigabitEthernet0/0/0]int g0/0/1
[R1-GigabitEthernet0/0/1]ip address  10.1.3.0 0.0.0.255
[R1-GigabitEthernet0/0/1]int lo 1
[R1-LoopBack1]ip address 1.1.1.1 32

[R1]ospf 1 
[R1-ospf-1]area 0
[R1-ospf-1-area-0.0.0.0]network  1.1.1.1 0.0.0.0
[R1-ospf-1-area-0.0.0.0]network  10.1.2.0 0.0.0.255
[R1-ospf-1-area-0.0.0.0]network  10.1.3.0 0.0.0.255

AR3

[R3]int g0/0/0
[R3-GigabitEthernet0/0/0]ip address 10.1.3.3 24
[R3-GigabitEthernet0/0/0]int g 0/0/1
[R3-GigabitEthernet0/0/1]ip address 192.168.30.254 24
[R3-GigabitEthernet0/0/1]int lo 1
[R3-LoopBack1]ip address 3.3.3.3 32

[R3]ospf 1 
[R3-ospf-1]area 0
[R3-ospf-1-area-0.0.0.0]network 3.3.3.3 0.0.0.0
[R3-ospf-1-area-0.0.0.0]network 192.168.30.0 0.0.0.255
[R3-ospf-1-area-0.0.0.0]network 10.1.3.0 0.0.0.255

此时 PC1、PC2 都可以 Ping 通 PC3

1. 使用基本ACL只允许PC1 访问 PC3

[R3]acl 2000
[R3-acl-basic-2000]rule permit source 192.168.10.1 0

[R3-acl-basic-2000]rule deny source any 

[R3]int g0/0/1

[R3-GigabitEthernet0/0/1]traffic-filter outbound acl 2000

此时PC1 可以 ping 通 PC3，但是 PC2 无法ping 通PC3

2. 使用高级ACL只允许PC1 访问 PC2 

[R2]acl 3000
[R2-acl-adv-3000]rule permit ip source 192.168.10.1 0 destination 192.168.20.1 0

[R2]int g0/0/2
[R2-GigabitEthernet0/0/2]traffic-filter outbound acl 3000

此时PC1 可以 ping 通 PC2，但是 PC3 无法ping 通PC2

3. 只允许R2 的 loopback接口 telnet R1 的loopback接口

[R1]user-interface vty 0 4
[R1-ui-vty0-4]authentication-mode password 
Please configure the login password (maximum length 16):123456

[R1]acl 2000
[R1-acl-basic-2000]rule permit source 2.2.2.2 0
[R1-acl-basic-2000]rule deny source any 

[R1]user-interface vty 0 4
[R1-ui-vty0-4]acl 2000 inbound 

此时 R2 可以 telnet R1，R3不可