基本ACL配置
基本ACL介绍
访问控制列表(ACL)是一种基于包过滤的访问控制技术，它可以根据设定的条件对接口上的数据包进行过滤，允许其通过或丢弃。
访问控制列表被广泛地应用于路由器和三层交换机，借助于访问控制列表，可以有效地控制用户对网络的访问，从而最大程度地保障网络安全。
访问控制列表（Access Control Lists，ACL）是应用在路由器接口的指令列表。
这些指令列表用来告诉路由器哪些数据包可以收、哪些数据包需要拒绝。
至于数据包是被接收还是拒绝，可以由类似于源地址、目的地址、端口号等的特定指示条件来决定。
访问控制列表具有许多作用，如限制网络流量、提高网络性能；通信流量的控制，例如ACL可以限定或简化路由更新信息的长度，从而限制通过路由器某一网段的通信流量；
提供网络安全访问的基本手段；在路由器端口处决定哪种类型的通信流量被转发或被阻塞，例如，用户可以允许E-mail通信流量被路由，拒绝所有的 Telnet通信流量等。
基本ACL功能
1）限制网络流量、提高网络性能。例如，ACL可以根据数据包的协议，指定这种类型的数据包具有更高的优先级，同等情况下可预先被网络设备处理。
2）提供对通信流量的控制手段。
3）提供网络访问的基本安全手段。
4）在网络设备接口处，决定哪种类型的通信流量被转发、哪种类型的通信流量被阻塞。
引用百度
案例背景与要求：案例背景与要求：某公司网络含外来人员办公区、项目部办工区和财务部办公区。在外来人员办公区中，有一台专供外来人员使用的计算机PC2，IP地址为192.168.2.1/24。出于网络安全考虑，需禁止财务部办公区接收PC2发送的IP报文A。为满足此需求，可在路由器R1上配置基本ACL。基本ACL可根据源IP地址信息识别PC2发送的IP报文A，在GE0/0/3接口的出方向（Outbound方向）上拒绝放行IP报文A。
1. PC的IP地址配置
PC
IP地址
子网掩码
网关
PC1
192.168.1.1
24
192.168.1.254
PC2
192.168.2.1
24
192.168.2.254
PC3
192.168.3.1
24
192.168.3.254
如图所示
2. 路由器IP地址配置
1）基础配置
Enter system view, return user view with Ctrl+Z.
[Huawei]sysname R1 // 改设备名字
[R1]
[R1]undo info-center enable // 关闭弹出信息
Info: Information center is disabled.
[R1]
2）接口IP地址配置
G0/0/1接口IP地址为：192.168.1.254/24
[R1]
[R1]interface GigabitEthernet 0/0/0 // 进入接口
[R1-GigabitEthernet0/0/0]ip address 192.168.1.254 24 // 配置IP地址
[R1-GigabitEthernet0/0/0]quit // 退出
[R1]
G0/0/2接口IP地址为：192.168.2.254/24
[R1]
[R1]interface GigabitEthernet 0/0/1 // 进入接口
[R1-GigabitEthernet0/0/1]ip address 192.168.2.254 24 // 配置IP地址
[R1-GigabitEthernet0/0/1]quit // 退出
[R1]
G0/0/3接口IP地址为：192.168.3.254/24
[R1]
[R1]interface GigabitEthernet 0/0/2 // 进入接口
[R1-GigabitEthernet0/0/2]ip address 192.168.3.254 24 // 配置IP地址
[R1-GigabitEthernet0/0/2]quit // 退出
[R1]
3. 配置ACL功能前，测试是否全网互联互通
1）PC1 ping PC2、PC3
2）PC2 ping PC1、PC3
3）PC3 ping PC1、PC2
4. 路由器ACL规则配置
[R1]
[R1]acl 2000 // 进入基本ACL
[R1-acl-basic-2000]rule deny source 192.168.2.1 0.0.0.0
// 拒绝PC2的IP地址访问
[R1-acl-basic-2000]quit // 退出
[R1]
[R1]interface GigabitEthernet 0/0/2 // 进入接口
[R1-GigabitEthernet0/0/2]traffic-filter outbound acl 2000
// 在接口GE0/0/2实施
[R1-GigabitEthernet0/0/2]quit // 退出
[R1]
5. 查看路由器所有配置
display current-configuration // 查看全部配置
如图所示
6.验证ACL功能
1）PC2 ping PC3
（此时pc2应是无法ping通pc3的）
2）PC3 ping PC2
（同理pc3也无法ping通pc2的）
3）PC2 ping PC1
（pc2还可以ping通pc1的）
免责声明：以上所有内容仅限用于学习和研究目的，不得将上述内容用于商业或者非法用途，否则，一切后果请用户自负。