网络运维与网络安全 学习笔记2023.12.1

我叫好心态2023-12-11 10:39

网络运维与网络安全 学习笔记 第三十二天

今日目标

ACL原理与类型、基本ACL配置、高级ACL配置

高级ACL之ICMP、高级ACL之telnet

ACL原理与类型

项目背景

为了企业的业务安全，要求不同部门对服务器有不同的权限

PC1不能访问Server

PC2允许访问Server

允许其他所有流量互通

项目分析

如果想要控制设备之间的连通性，必须搞清楚数据转发的路径

在数据转发路径上的某些节点设备上，使用控制策略，过滤数据包

解决方案

现网中，实现流量访问控制的方法有两种

①控制路由条目--在数据包转发路径上的三层设备上，通过路由策略，拒绝路由条目，从而确保数据包无法互通

②控制数据包转发--在数据包转发路径上的任何一个设备的接口下，调用专门的"流量控制工具"，比如ACL

ACL概述

ACL ( Access Control List ) ，访问控制列表

主要用于在众多类型的数据包中，"匹配/抓取"感兴趣的数据

是一个包含了多个"规则"的列表，不同规则通过"规则号"进行区分√每个"规则"都包含︰动作＋条件两部分内容

动作分为︰允许(permit)和拒绝(deny)

条件分为︰地址(address)和通配符(wildcard bits)
ACL举例

acl 2000

rule 10 permit source 192.168.1.0 0.0.0.255.
ACL讲解

2000，表示的是"ACL的名字"，可以通过ID表示，也可通过字符表示

Rule，表示的是"规则"

10，表示的是"规则号"，取值范围是0-4294967294

Permit，表示的是动作--允许；(deny表示的是动作-拒绝)

Source，表示当前的"规则"检查的是数据包的"源"地址

源IP地址，表示的是"源IP地址的范围"

通配符，表示的是"与源IP地址对应的通配符"
ACL类型

基本ACL一只能匹配"源IP地址"，不能匹配其他的信息，匹配数据不精准，所用的ID取值范围是:2000 - 2999

高级ACL一可以匹配"源IP地址"、"目标IP地址"、"协议号"、"端口号"等，匹配的数据更加精准，所用的ID取值范围是:3000- 3999

配置思路

确定PC1与Server之间的数据转发路径

确定转发路径上的转发设备有哪些，判断在哪个设备上配置ACL

判断数据包在每个端口上的转发方向，确定ACL的配置命令和调用方向

配置命令

配置ACL

acl 2000

rule 10 deny source 192.168.1.0 0.0.0.255

调用ACL

interface gi0/0/0

traffic-filter outbound acl 2000

验证与测试

PC1> ping 192.168.100.1，不通

PC1> ping 192.168.2.1，通

PC2> ping 192.168.100.1，通

配置步骤

①配置终端设备--PC1

地址: 192.168.1.1

掩码: 255.255.255.0

网关:192.168.1.254

②配置终端设备--PC2

地址: 192.168.2.1

掩码: 255.255.255.0

网关:192.168.2.254

③配置终端设备- Server

地址: 192.168.100.1

掩码: 255.255.255.0

网关:192.168.100.254

④配置网络设备--R1

system-view //进入系统模式

Huawei\]sysname R1 //更改设备名称 \[R1\]interface gi0/0/1 //连接PC1 \[R1-GigabitEthernet0/0/1\]ip address 192.168.1.254 24 //配置IP地址 \[R1-GigabitEthernet0/0/1\]quit \[R1\]interface gi0/0/2 //连接PC2 \[R1-GigabitEthernet0/0/2\]ip address 192.168.2.254 24 //配置IP地址 \[R1-GigabitEthernet0/0/2\]quit ⑤配置ACL \[R1\]acl 2000 //创建基本ACL \[R1-acl-basic-2000\]rule 10 deny source 192.168.1.1 0.0.0.255 \[R1-acl-basic-2000\]quit \[R1\]interface g0/0/0 //连接Serverl1的接口 \[R1-GigabitEthernet0/0/0\]traffic-filter outbound acl 2000 \[R1-GigabitEthernet0/0/0\]quit ⑥测试 display acl all //查看设备上所有的ACL display acl 2000 //查看ACL2000的内容 PC1不能ping通Server1 PC2可以ping通Server1 PC1可以ping通PC2 #### 项目总结 ACL用来匹配数据包，并实现数据包的过滤 ACL的类型分为:基本ACL和高级ACL，使用不同的ID范围表示 基本ACL，只能匹配数据包的源P地址，匹配数据不精准 高级ACL，可以同时匹配数据包的源IP、目标IP、源端口、目标端口、协议号等字段，匹配数据包更加精准 ACL必须先配置，再调用，并且在端口调用时是有方向的 ### 基本ACL配置 #### 项目背景 公司存在2个部门，为了确保业务安全，需规划安全控制策略 不允许"售后服务部"以任何的方式访问"财务部"服务器 "售后服务器"可以访问网络的任何其他设备 ![在这里插入图片描述](https://file.jishuzhan.net/article/1734040213442793473/f5c4a3b580e3936b7d4073043e6ce8ef.webp) #### 项目分析 对数据流量进行控制，所以选择使用工具-ACL 要求"不能以任何方式"访问，所以采用"基本ACL" 要求"允许访问"其他设备，所以调用在"服务器网关"设备上 #### 解决方案 如图配置设备IP地址 配置路由条目，确保不同网段之间互通 测试设备之间的连通性，所有网段均可互通 确定部署ACL的设备-R2 确定部署ACL的接口--财务服务器"网关"接口 配置ACL，过滤源IP地址为"售后服务部"网段 在R2连接"服务器"的接口的出方向，调用ACL 验证并测试ACL #### 配置命令 配置路由条目-R1 ip route-static 192.168.2.0 24 192.168.12.2 ip route-static 192.168.3.0 24 192.168.12.2 配置路由条目-R2 ip route-static 192.168.1.0 24 192.168.12.1 创建ACL-R2 acl 2000 rule 10 deny source 192.168.1.0 0.0.0.255 调用ACL-R2 interface gi0/0/2 traffic-filter outbound acl 2000 验证与测试ACL \[R2\]display acl all，查看设备上所有的ACL \[R2\] display traffic-filter applied-record，查看设备上已经被调用的ACL PC1\> ping 192.168.3.1 ，不通 \[R1\] ping -a 192.168.1.254 192.168.3.1，不通 PC2\> ping 192.168.3.1 ，通 \[R2\] ping -a 192.168.2.254192.168.3.1，通 #### 配置步骤 ![在这里插入图片描述](https://file.jishuzhan.net/article/1734040213442793473/065a945ff32a13c8d410375ff7505ed3.webp) ①配置终端设备-PC1 地址:192.168.1.1 掩码:255.255.255.0 网关:192.168.1.254 ②配置终端设备-PC2 地址:192.168.2.1 掩码:255.255.255.0 网关:192.168.2.254 ③配置终端设备--财务服务器 地址:192.168.3.1 掩码:255.255.255.0 网关:192.168.3.254 ④配置网络设备--R1 system-view //进入系统模式 \[Huawei\]sysname R1 //更改设备名称 \[R1\]interface gi0/0/1 //连接Client1 \[R1-GigabitEthernet0/0/1\] ip address 192.168.1.254 24 \[R1-GigabitEthernet0/0/1\] quit \[R1\]interface gi0/0/0 //连接R2的接口 \[R1-GigabitEthernet0/0/0\] ip address 192.168.12.1 24 \[R1-GigabitEthernet0/0/0\] quit \[R1\]ip route-static 192.168.2.0 24 192.168.12.2 //去往PC2的路由条目 \[R2\]ip route-static 192.168.3.0 24 192.168.12.2 //去往财务服务器的路由 ⑤配置网络设备--R2 system-view //进入系统模式 \[Huawei\]sysname R2 //更改设备名称 \[R2\]interface gi0/0/1 //连接 PC2 \[R2-GigabitEthernet0/0/1\] ip address 192.168.2.254 24 \[R2-GigabitEthernet0/0/1\] quit \[R2\]interface gi0/0/0 //连接R1的接口 \[R2-GigabitEthernet0/0/o\] ip address 192.168.12.2 24 \[R2-GigabitEthernet0/0/0\] quit \[R2\]interface gi0/0/2 //连接服务器的接口 \[R2-GigabitEthernet0/0/2\] ip address 192.168.3.254 24 \[R2-GigabitEthernet0/0/2\] quit \[R2\]ip route-static 192.168.1.0 255.255.255.0 192.168.12.1 ⑥配置网络设备--SW1 undo terminal monitor sysname SW1 \[SW1\]vlan 10 \[SW1-vlan10\] quit \[SW1\]interface GigabitEthernet 0/0/1 \[SW1-GigabitEthernet0/0/1\]port link-type access \[SW1-GigabitEthernet0/0/1\]port default vlan 10 \[SW1-GigabitEthernet0/0/1\]quit \[SW1\]interface GigabitEthernet 0/0/2 \[SW1-GigabitEthernet0/0/2\]port link-type access \[SW1-GigabitEthernet0/0/2\] port default vlan 10 \[SW1-GigabitEthernet0/0/2\]quit ⑦配置网络设备--SW2 undo terminal monitor sysname sw2 \[SW2\]vlan 20 \[SW2-vlan20\] quit \[Sw2\]interface GigabitEthernet 0/0/1 \[Sw2-GigabitEthernet0/0/1\]port link-type access \[SW2-GigabitEthernet0/0/1\] port default vlan 20 \[SW2-GigabitEthernet0/0/1\]quit \[SW2\]interface GigabitEthernet 0/0/2 \[SW2-GigabitEthernet0/0/2\] port link-type access \[SW2-GigabitEthernet0/0/2\]port default vlan 20 \[SW2-GigabitEthernet0/0/2\]quit ⑧配置控制策略并调用 \[R2\]acl 2000 //创建基本ACL \[R2-acl-basic-2000\]rule 10 deny source 192.168.1.0 0.0.0.255 \[R2-acl-basic-2000\]quit \[R2\]interface GigabitEthernet 0/0/2 \[R2-GigabitEthernet0/0/2\]traffic-filter outbound acl 2000 //过滤出向流量 \[R2-GigabitEthernet0/0/2\]quit #### 项目总结 基本ACL只能匹配源IP地址，过滤数据的效率非常高 基本ACL有一个默认的隐含的动作是"允许所有" 基本ACL尽量调用在距离"目标设备"近的设备/接口上 ### 高级ACL配置 #### 项目背景 为了增强企业内网安全，实施业务隔离以及访问权限控制 三个部门属于不同的IP地址网段 售后部仅仅能访问Server1上的Web服务，不能访问其他服务 售后部可以访问行政部的所有设备的任何服务 除了上述权限外，售后部不能访问网络中的其他任何地方 ![在这里插入图片描述](https://file.jishuzhan.net/article/1734040213442793473/f58d8f1cad264f5d0994b42b0577ada9.webp) #### 项目分析 不同部门之间存在特定业务流量控制，所以用高级ACL 高级ACL可以精确区分流量，尽量调用在距离源设备近的地方 #### 解决方案 如图配置设备IP地址 配置路由条目，确保不同网段之间互通 测试设备之间的连通性，所有网段均可互通 确定部署ACL的设备-R1 确定部署ACL的接口一PC1"网关"接口 配置高级ACL，精确匹配业务流量 在R1连接"PC1"的接口的入方向，调用ACL 验证并测试ACL #### 配置命令 配置路由条目-R1 ip route-static 0.0.0.0 0 192.168.12.2 配置路由条目-R2 ip route-static 192.168.1.0 24 192.168.12.1 ip route-static 192.168.3.0 24 192.168.23.3 配置路由条目-R3 ip route-static 0.0.0.0 0 192.168.23.2 创建ACL-R1 acl 3000 rule 10 permit tcp source 192.168.1.1 0 destination 192.168.3.1 0 destination-port eq 80 rule 20 permit ip source 192.168.1.1 0 destination 192.168.2.0 0.0.0.255 rule 30 deny ip source 192.168.1.1 0 destination any 调用ACL-R1 interface gi0/0/2 traffic-filter inbound acl 3000 验证与测试ACL \[R1\]display acl all ，查看设备上所有的ACL \[R1\] display traffic-filter applied-record，查看设备上已经被调用的ACL PC1通过http客户端访问Server1，成功 PC1通过ping 访问Server1，失败 PC1 ping PC2 ，成功 PC1访问其他网段，失败 #### 配置步骤 ![在这里插入图片描述](https://file.jishuzhan.net/article/1734040213442793473/0448eb36396748240b2d626bd2ce435a.webp) ①配置终端设备--售后服务部 地址:192.168.1.1 掩码:255.255.255.0 网关:192.168.1.254 ②配置终端设备--行政部 地址:192.168.2.1 掩码:255.255.255.0 网关:192.168.2.254 ③配置终端设备--Web服务器 地址:192.168.3.1 掩码:255.255.255.0 网关:192.168.3.254 配置web服务︰指定web服务器目录，启动web服务 ④配置网络设备-R1 system-view //进入系统模式 \[Huawei\]sysname R1 //更改设备名称 \[R1\]interface gi0/0/2 //连接售后服务部 \[R1-GigabitEthernet0/0/2\] ip address 192.168.1.254 24 \[R1-GigabitEthernet0/0/2\] quit \[R1\]interface gi0/0/0 //连接R2的接口 \[R1-GigabitEthernet0/0/0\] ip address 192.168.12.1 24 \[R1-GigabitEthernet0/0/0\] quit \[R1\]ip route-static 0.0.0.0 0.0.0.0 192.168.12.2 ⑤配置网络设备-R2 system-view //进入系统模式 \[Huawei\]sysname R2 //更改设备名称 \[R2\]interface gi0/0/2 //连接行政部 \[R2-GigabitEthernet0/0/2\] ip address 192.168.2.254 24 \[R2-GigabitEthernet0/0/2\] quit \[R2\]interface gi0/0/1 //连接R1 的接口 \[R2-GigabitEthernet0/0/1\] ip address 192.168.12.2 24 \[R2-GigabitEthernet0/0/1\] quit \[R2\]interface gi0/0/0 //连接 R3的接口 \[R2-GigabitEthernet0/0/0\] ip address 192.168.23.2 24 \[R2-GigabitEthernet0/0/0\] quit \[R2\]ip route-static 192.168.1.0 255.255.255.0 192.168.12.1 \[R2\]ip route-static 192.168.3.0 255.255.255.0 192.168.23.3 ⑥配置网络设备-R3 system-view //进入系统模式 \[Huawei\]sysname R3 //更改设备名称 \[R3\]interface gi0/0/2 //连接Web服务器 \[R3-GigabitEthernet0/0/2\] ip address 192.168.3.254 24 \[R3-GigabitEthernet0/0/2\]quit \[R3\]interface gi0/0/1 //连接R2的接口 \[R3-GigabitEthernet0/0/1\] ip address 192.168.23.3 24 \[R3-GigabitEthernet0/0/1\] quit \[R3\]ip route-static 0.0.0.0 0.0.0.0 192.168.23.2 ⑦在R1上配置并调用ACL \[R1\]acl 3000 \[R1-acl-adv-3000\]rule 10 permit tcp source 192.168.1.1 0 destination 192.168.3.1 0 destination-port eq 80 \[R1-acl-adv-3000\]rule 20 permit ip source 192.168.1.1 0 destination 192.168.2.0 0.0.0.255 \[R1-acl-adv-3000\]rule 30 deny ip source 192.168.1.1 0 destination any \[R1\] interface gi0/0/2 \[R1-GigabitEthernet0/0/2\] traffic-filter inbound acl 3000 #### 项目总结 高级ACL匹配数据更加精准，适合细分业务流量的管理控制 高级ACL尽量调用在距离"源设备"近的设备/接口上 ### 高级ACL之ICMP #### 项目背景 为了增强企业内网安全，实施业务隔离以及访问权限控制 三个部门属于不同的IP地址网段 售后部仅仅能ping 通Server1，不能访问其他服务 售后部可以访问行政部的所有设备的任何服务 除了上述权限外，售后部不能访问网络中的其他任何地方 ![在这里插入图片描述](https://file.jishuzhan.net/article/1734040213442793473/1771f84ee3764764ba0421305cddd598.webp) #### 项目分析 不同部门之间存在特定业务流量控制，所以用高级ACL 高级ACL可以精确区分流量，尽量调用在距离源设备近的地方 #### 解决方案 如图配置设备IP地址 配置路由条目，确保不同网段之间户通 测试设备之间的连通性，所有网段均可互通 确定部署ACL的设备一R1 确定部署ACL的接口一PC1"网关"接口 配置高级ACL，精确匹配业务流量 在R1连接"PC1"的接口的入方向，调用ACL 验证并测试ACL #### 配置命令 配置路由条目-R1 ip route-static 0.0.0.0 0 192.168.12.2 配置路由条目-R2 ip route-static 192.168.1.0 24 192.168.12.1 ip route-static 192.168.3.0 24 192.168.23.3 配置路由条目-R3 ip route-static 0.0.0.0 0 192.168.23.2 创建ACL-R1 acl 3000 rule 10 permit icmp source 192.168.1.1 0 destination 192.168.3.1 0 rule 20 permit ip source 192.168.1.1 0 destination 192.168.2.0 0.0.0.255 rule 30 deny ip source 192.168.1.1 0 destination any 调用ACL - R1 interface gi0/0/2 traffic-filter inbound acl 3000 验证与测试ACL \[R1\]display acl all ，查看设备上所有的ACL \[R1\] display traffic-filter applied-record，查看设备上已经被调用的ACL PC1通过http客户端访问Server1，失败 PC1通过ping 访问Server1，成功 PC1 ping PC2，成功 PC1访问其他网段，失败 #### 配置步骤 ![在这里插入图片描述](https://file.jishuzhan.net/article/1734040213442793473/3a75d538d6f7131d9c003aa6e191a0bf.webp) ①配置终端设备--售后服务部 地址:192.168.1.1 掩码:255.255.255.0 网关:192.168.1.254 ②配置终端设备--行政部 地址:192.168.2.1 掩码:255.255.255.0 网关:192.168.2.254 ③配置终端设备--Web服务器 地址:192.168.3.1 掩码:255.255.255.0 网关:192.168.3.254 配置web服务︰指定web服务器目录，启动web服务 ④配置网络设备-R1 system-view //进入系统模式 \[Huawei\]sysname R1 //更改设备名称 \[R1\]interface gi0/0/2 //连接售后服务部 \[R1-GigabitEthernet0/0/2\] ip address 192.168.1.254 24 \[R1-GigabitEthernet0/0/2\] quit \[R1\]interface gi0/0/0 //连接R2的接口 \[R1-GigabitEthernet0/0/0\] ip address 192.168.12.1 24 \[R1-GigabitEthernet0/0/0\] quit \[R1\]ip route-static 0.0.0.0 0.0.0.0 192.168.12.2 ⑤配置网络设备-R2 system-view //进入系统模式 \[Huawei\]sysname R2 //更改设备名称 \[R2\]interface gi0/0/2 //连接行政部 \[R2-GigabitEthernet0/0/2\] ip address 192.168.2.254 24 \[R2-GigabitEthernet0/0/2\] quit \[R2\]interface gi0/0/1 //连接R1 的接口 \[R2-GigabitEthernet0/0/1\] ip address 192.168.12.2 24 \[R2-GigabitEthernet0/0/1\] quit \[R2\]interface gi0/0/0 //连接 R3的接口 \[R2-GigabitEthernet0/0/0\] ip address 192.168.23.2 24 \[R2-GigabitEthernet0/0/0\] quit \[R2\]ip route-static 192.168.1.0 255.255.255.0 192.168.12.1 \[R2\]ip route-static 192.168.3.0 255.255.255.0 192.168.23.3 ⑥配置网络设备-R3 system-view //进入系统模式 \[Huawei\]sysname R3 //更改设备名称 \[R3\]interface gi0/0/2 //连接Web服务器 \[R3-GigabitEthernet0/0/2\] ip address 192.168.3.254 24 \[R3-GigabitEthernet0/0/2\]quit \[R3\]interface gi0/0/1 //连接R2的接口 \[R3-GigabitEthernet0/0/1\] ip address 192.168.23.3 24 \[R3-GigabitEthernet0/0/1\] quit \[R3\]ip route-static 0.0.0.0 0.0.0.0 192.168.23.2 ⑦在R1上配置并调用ACL \[R1\]acl 3000 \[R1-acl-adv-3000\]rule 10 permit icmp source 192.168.1.1 0 destination 192.168.3.1 0 \[R1-acl-adv-3000\]rule 20 permit ip source 192.168.1.1 0 destination 192.168.2.0 0.0.0.255 \[R1-acl-adv-3000\]rule 30 deny ip source 192.168.1.1 0 destination any \[R1\] interface gi0/0/2 \[R1-GigabitEthernet0/0/2\] traffic-filter inbound acl 3000 #### 项目总结 高级ACL匹配数据更加精准，适合细分业务流量的管理控制 高级ACL尽量调用在距离"源设备"近的设备/接口上 一个ACL中存在多个条目时，数据的匹配顺序是按照rule号从小到大依次执行 在ACL条目匹配数据的过程中，如果有一个条目匹配成功，后续的条目就不再查看，直接执行动作"permit"或者"deny" 如果ACL中的所有条目，都没有匹配成功，则执行最后一个隐含的条目 ### 高级ACL之telnet #### 项目背景 为了便于设备管理，为设备开启远程管理功能，登录密码:HCIE 仅仅允许192.168.1.254远程登录R2，其他设备不可以 拒绝R1的任何IP地址远程登录R3，其他设备都可以 ![在这里插入图片描述](https://file.jishuzhan.net/article/1734040213442793473/7772026f6bf087f78b633d5cd13064fd.webp) #### 项目分析 针对远程登录操作，访问的都是设备的"远程登录"虚拟接口 对于虚拟接口，使用"基本ACL"，可实现"远程登录"过滤 #### 解决方案 如图配置设备IP地址 配置路由条目，确保不同网段之间互通·测试设备之间的连通性，所有网段均可互通 确定部署ACL的设备--R2和R3 确定部署ACL的接口一R2和R3的"远程访问"虚拟接口 配置基本ACL，仅仅匹配允许的IP地址即可 在R2和R3的"远程登录"虚拟接口的入方向，调用ACL 验证并测试ACL #### 配置命令 配置路由条目-R1 ip route-static 0.0.0.0 0 192.168.12.2 配置路由条目-R2 ip route-static 192.168.1.0 24 192.168.12.1 ip route-static 192.168.3.0 24 192.168.23.3 配置路由条目-R3 ip route-static 0.0.0.0 0 192.168.23.2 配置R2的远程访问功能 user-interface vty 0 4 authentication-mode password please configure the login password (maximum length 16): HCIE 配置R3的远程访问功能 user-interface vty 0 4 authentication-mode password please configure the login password (maximum length 16): HCIE 创建ACL- R2 acl 2000 rule 10 permit source 192.168.1.254 0 调用ACL - R2 user-interface vty 0 4 acl 2000 inbound 创建ACL - R3 acl 2000 rule 10 deny source 192.168.1.254 0 rule 20 deny source 192.168.12.1 0 rule 30 permit source any 调用ACL- R3 user-interface vty 0 4 acl 2000 inbound 验证与测试ACL \[R2\]display acl all，查看设备上所有的ACL \[R3\] display acl all ，查看设备上所有的ACL telnet -a 192.168.1.254 192.168.12.2，登陆成功 telnet 192.168.12.2，登录失败 telnet 192.168.23.3，登录失败 telnet -a 192.168.1.254 192.168.23.3，登录失败 telnet 192.168.23.3，登录成功 #### 配置步骤 ![在这里插入图片描述](https://file.jishuzhan.net/article/1734040213442793473/0c7c5a9221241324df023d92a0137215.webp) ①配置终端设备--售后服务部 地址:192.168.1.1 掩码:255.255.255.0 网关:192.168.1.254 ②配置终端设备--行政部 地址:192.168.2.1 掩码:255.255.255.0 网关:192.168.2.254 ③配置终端设备--Web服务器 地址:192.168.3.1 掩码:255.255.255.0 网关:192.168.3.254 配置web服务︰指定web服务器目录，启动web服务 ④配置网络设备-R1 system-view //进入系统模式 \[Huawei\]sysname R1 //更改设备名称 \[R1\]interface gi0/0/2 //连接售后服务部 \[R1-GigabitEthernet0/0/2\] ip address 192.168.1.254 24 \[R1-GigabitEthernet0/0/2\] quit \[R1\]interface gi0/0/0 //连接R2的接口 \[R1-GigabitEthernet0/0/0\] ip address 192.168.12.1 24 \[R1-GigabitEthernet0/0/0\] quit \[R1\]ip route-static 0.0.0.0 0.0.0.0 192.168.12.2 ⑤配置网络设备-R2 system-view //进入系统模式 \[Huawei\]sysname R2 //更改设备名称 \[R2\]interface gi0/0/2 //连接行政部 \[R2-GigabitEthernet0/0/2\] ip address 192.168.2.254 24 \[R2-GigabitEthernet0/0/2\] quit \[R2\]interface gi0/0/1 //连接R1 的接口 \[R2-GigabitEthernet0/0/1\] ip address 192.168.12.2 24 \[R2-GigabitEthernet0/0/1\] quit \[R2\]interface gi0/0/0 //连接 R3的接口 \[R2-GigabitEthernet0/0/0\] ip address 192.168.23.2 24 \[R2-GigabitEthernet0/0/0\] quit \[R2\]ip route-static 192.168.1.0 255.255.255.0 192.168.12.1 \[R2\]ip route-static 192.168.3.0 255.255.255.0 192.168.23.3 \[R2\]user-interface vty 0 4 \[R2-ui-vty0-4\]authentication-mode password //指定认证方式为密码认证 Please configure the login password (maximum length 16): HCIE //配置密码为HCIE ⑥配置网络设备-R3 system-view //进入系统模式 \[Huawei\]sysname R3 //更改设备名称 \[R3\]interface gi0/0/2 //连接Web服务器 \[R3-GigabitEthernet0/0/2\] ip address 192.168.3.254 24 \[R3-GigabitEthernet0/0/2\]quit \[R3\]interface gi0/0/1 //连接R2的接口 \[R3-GigabitEthernet0/0/1\] ip address 192.168.23.3 24 \[R3-GigabitEthernet0/0/1\] quit \[R3\]ip route-static 0.0.0.0 0.0.0.0 192.168.23.2 \[R3\]user-interface vty 0 4 \[R3-ui-vty0-4\]authentication-mode password //指定认证方式为密码认证 Please configure the login password (maximum length 16): HCIE //配置密码为HCIE ⑦在R2上配置并调用ACL \[R2\]acl 2000 \[R2-acl-basic-2000\]rule 10 permit source 192.168.1.254 0 \[R2-acl-basic-2000\]quit \[R2\]user-interface vty 0 4 \[R2-ui-vty0-4\]acl 2000 inbound \[R2-ui-vty0-4\]quit ⑧在R3上配置并调用ACL \[R3\]acl 2000 \[R3-acl-basic-2000\]rule 10 deny source 192.168.1.254 0 \[R3-acl-basic-2000\]rule 20 deny source 192.168.12.1 0 \[R3-acl-basic-2000\]rule 30 permit source any \[R3-acl-basic-2000\]quit \[R3\]user-interface vty 0 4 \[R3-ui-vty0-4\]acl 2000 inbound \[R3-ui-vty0-4\]quit #### 项目总结 ACL最后有一个隐含的动作是"拒绝所有" 但是用traffic-filter调用时，ACL默认行为是"允许所有" 远程登录一个设备时，设备使用"虚拟接口" - vty 接口

相关推荐
Johny_Zhao17 小时前
CentOS Stream 8 高可用 Kuboard 部署方案
linux·网络·python·网络安全·docker·信息安全·kubernetes·云计算·shell·yum源·系统运维·kuboard
哲讯智能科技19 小时前
苏州SAP代理商：哲讯科技助力企业数字化转型
大数据·运维·人工智能
十五年专注C++开发19 小时前
Qt .pro配置gcc相关命令(三)：-W1、-L、-rpath和-rpath-link
linux·运维·c++·qt·cmake·跨平台编译
qq_6285157619 小时前
Centos与RockLinux设置静态ip
linux·运维·centos
uyeonashi19 小时前
【QT系统相关】QT网络
开发语言·网络·c++·qt
程序员老乔19 小时前
【Dify系列】【一】【安装与部署】【ubuntu22.04安装docker部署dify1.4.2】
运维·docker·容器
沧浪之水1201013720 小时前
linux常用命令
linux·运维·服务器
YUNYINGXIA21 小时前
Nginx+keepalived主从，双主架构
网络·nginx·keepalived
梦会实现21 小时前
无外接物理显示器的Ubuntu系统的远程桌面连接(升级版)
linux·运维·ubuntu·计算机外设
Hello.Reader21 小时前
NGINX 四层共享内存区同步模块实战 `ngx_stream_zone_sync_module`
运维·nginx
热门推荐
01Coze扣子平台完整体验和实践（附国内和国际版对比）02DeepSeek各版本说明与优缺点分析03KGG转MP3工具|非KGM文件|解密音频04扣子（coze）实战|我用扣子搭建了一个自动分析小红薯笔记内容的AI应用|详细步骤拆解05零代码入门 | Coze——让大模型接入自己的数据库06从零安装 LLaMA-Factory 微调 Qwen 大模型成功及所有的坑07AI Agent | Coze 插件使用指南：从功能解析到实操步骤08YOLOv8入门 | 重要性能衡量指标、训练结果评价及分析及影响mAP的因素【发论文关注的指标】09【SpeedAI科研小助手】2分钟极速解决知网维普重复率、AIGC率过高，一键全文降！文件格式不变，公式都保留的！10电工电子课程设计---四路病房呼叫系统