ACL

ACL：Acess Control List，即訪問控制列表。這張表中包含了匹配關系、條件和查詢語句，表只是一個框架結構，其目的是為了對某種訪問進行控制。 信息點間通信，內外網絡的通信都是企業網絡中必不可少的業務需求，但是為了保證內網的安全性，需要通過安全策略來保障非授權用戶只能訪問特定的網絡資源，從而達到對訪問進行控制的目的。簡而言之，ACL可以過濾網絡中的流量，控制訪問的一種網絡技術手段

ACL的作用 ACL可以限制網絡流量、提高網絡性能。例如，ACL可以根據數據包的協議，指定數據包的優先級。 ACL提供對通信流量的控制手段。例如，ACL可以限定或簡化路由更新信息的長度，從而限制通過路由器某一網段的通信流量。 ACL是提供網絡安全訪問的基本手段。ACL允許主機A訪問人力資源網絡，而拒絕主機B訪問。

ACL常用的有兩種分別為基本ACL和高級ACL
基本ACL：標準ACL只檢查數據包的源地址（2000~2999）
高級ACL：擴展ACL既檢查數據包的源地址，也檢查數據包的目的地址，同時還可以檢查數據包的特定協議類型、端口號等。（3000~3999）

基本ACL的使用

進入R1路由器
<Huawei>system-view //進入系統視圖
[Huawei]interface GigabitEthernet 0/0/0 //進入0接口
[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.254 24 //添加ip地址
[Huawei]interface GigabitEthernet 0/0/1 //進入1接口

[Huawei-GigabitEthernet0/0/1]ip address 192.168.4.1 24 //添加ip地址
啟用動態路由協議rip
[Huawei]rip
[Huawei-rip-1]network 192.168.1.0 //聲明自己直連網段
[Huawei-rip-1]network 192.168.4.0 //聲明自己直連網段

進入R2路由器
<Huawei>system-view //進入系統視圖
[Huawei]interface GigabitEthernet 0/0/0 //進入0接口
[Huawei-GigabitEthernet0/0/0]ip address 192.168.4.2 24 //添加ip地址
[Huawei]interface GigabitEthernet 0/0/1 //進入1接口

[Huawei-GigabitEthernet0/0/1]ip address 192.168.2.254 24 //添加ip地址
[Huawei]interface GigabitEthernet 0/0/2 //進入2接口
[Huawei-GigabitEthernet0/0/2]ip address 192.168.5.1 24 //添加ip地址
啟用動態路由協議rip
[Huawei]rip
[Huawei-rip-1]network 192.168.2.0 //聲明自己直連網段
[Huawei-rip-1]network 192.168.4.0 //聲明自己直連網段
[Huawei-rip-1]network 192.168.5.0 //聲明自己直連網段

進入R3路由器
<Huawei>system-view //進入系統視圖
[Huawei]interface GigabitEthernet 0/0/0 //進入0接口
[Huawei-GigabitEthernet0/0/0]ip address 192.168.5.2 24 //添加ip地址
[Huawei]interface GigabitEthernet 0/0/1 //進入1接口
[Huawei-GigabitEthernet0/0/1]ip address 192.168.3.254 24 //添加ip地址
啟用動態路由協議rip
[Huawei]rip
[Huawei-rip-1]network 192.168.3.0 //聲明自己直連網段
[Huawei-rip-1]network 192.168.5.0 //聲明自己直連網段
[Huawei]acl 2000 //建立基本ACL
[Huawei-acl-basic-2000]rule 1 deny source 192.168.1.1 0 //添加ACL規則阻止來自192.168.1.1的報文
[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl 2000 //進入接口並采用這個規則

現在在ping192.168.3.1不通代表成功了

高級ACL

剛剛配置不變
進入路由器R3，0接口undo traffic-filter inbound
[Huawei-GigabitEthernet0/0/0]undo traffic-filter inbound

進入R1路由器
[Huawei]acl name undo-5.1 advance //建立高級ACL並取名字
[Huawei-acl-adv-undo-5.1]rule 1 deny icmp source 192.168.1.1 0 destination 192.168.5.1 0
//建立規則1阻止來自192.168.1.1發到192.168.5.1的報文
//0代表完全匹配是0.0.0.0的簡寫 如果想阻止一個網段可以寫成 0.0.0.255 表示只關註前三位數。
[Huawei]interface GigabitEthernet 0/0/0 //進入接口0
0[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl name undo-5.1 //采用剛剛建立的規則

最後ping不通192.168.5.1代表成功

與基本ACL相比高級ACL更精準的控制

基本ACL與高級ACL