ACL，全称 Access Control List（访问控制列表），是一种实现访问控制的机制，用于规定哪些主体（如用户、设备、IP地址、进程等）可以对哪些资源（如网络服务、文件、系统对象等）执行何种操作。ACL通过定义一系列规则来控制网络流量或访问请求，这些规则基于特定的匹配条件（如源IP、目的IP、协议类型、端口号、时间范围等）来决定允许或拒绝流量。

一、实验拓扑

二、实验要求

如组网图所示，R3 为服务器，R1为客户端，客户端与服务器之间路由可达。其中 R1和 R2间互联物理接口地址分别为 10.1.2.1/24和 10.1.2.2/24，R2 和 R3 间互联物理接口地址分别为10.1.3.2/24和 10.1.3.1/24。另外，R1 上创建两个逻辑接口LoopBack0和LoopBack1分别模拟两个客户端用户，地址分别为 10.1.1.1/24 和 10.1.4.1/24。其中一个用户(R1的 LoopBack1接口)需要远程管理设备 R3，可以在服务器端配置Telnet，用户通过密码登录，并配置基于 ACL的安全策略，保证只有符合安全策略的用户才能登录设备。

三、实验配置

3.1 配置思路

1.配置设备 I 地址

2.配置 OSPF，使得网络路由可达

3.配置 ACL，匹配特定流量

4.配置流量过滤

3.2 配置步骤

步骤1 配置设备 IP 地址

配置 R1、R2 和 R3的IP 地址

<Huawei>system-view

Enter system view, return user view with Ctrl+Z.
$Huawei\]undo info-center enable Info: Information center is disabled. \[Huawei\]sysname R1 \[R1\]interface GigabitEthernet 0/0/0 \[R1-GigabitEthernet0/0/0\]ip address 10.1.2.1 24 \[R1-GigabitEthernet0/0/0\]quit \[R1\]interface LoopBack 0 \[R1-LoopBack0\]ip address 10.1.1.1 24 \[R1-LoopBack0\]quit \[R1\]interface LoopBack 1 \[R1-LoopBack1\]ip address 10.1.4.1 24 \[R1-LoopBack1\]quit$

<Huawei>system-view

Enter system view, return user view with Ctrl+Z.
$Huawei\]undo info-center enable Info: Information center is disabled. \[Huawei\]sysname R2 \[R2\]interface GigabitEthernet 0/0/0 \[R2-GigabitEthernet0/0/0\]ip address 10.1.2.2 24 \[R2-GigabitEthernet0/0/0\]quit \[R2\]interface GigabitEthernet 0/0/1 \[R2-GigabitEthernet0/0/1\]ip address 10.1.3.2 24 \[R2-GigabitEthernet0/0/1\]quit \system-view Enter system view, return user view with Ctrl+Z. \[Huawei\]undo info-center enable Info: Information center is disabled. \[Huawei\]sysname R3 \[R3\]interface GigabitEthernet 0/0/1 \[R3-GigabitEthernet0/0/1\]ip address 10.1.3.1 24 \[R3-GigabitEthernet0/0/1\]quit$

在 R1、R2 和 R3 上配置 OSPF，三台设备均在区域0中，实现全网互联互通

$R1\]ospf \[R1-ospf-1\]area 0 \[R1-ospf-1-area-0.0.0.0\]network 10.1.1.1 0.0.0.0 \[R1-ospf-1-area-0.0.0.0\]network 10.1.2.1 0.0.0.0 \[R1-ospf-1-area-0.0.0.0\]network 10.1.4.1 0.0.0.0 \[R1-ospf-1-area-0.0.0.0\]return$

$R2\]ospf \[R2-ospf-1\]area 0 \[R2-ospf-1-area-0.0.0.0\]network 10.1.2.2 0.0.0.0 \[R2-ospf-1-area-0.0.0.0\]network 10.1.3.2 0.0.0.0 \[R2-ospf-1-area-0.0.0.0\]return$

$R3\]ospf \[R3-ospf-1\]area 0 \[R3-ospf-1-area-0.0.0.0\]network 10.1.3.1 0.0.0.0 \[R3-ospf-1-area-0.0.0.0\]return$

在 R3 上执行 Ping 命令，检测网络的连通性

步骤3 配置 R3 为 Telnet 服务器

在 R3 使能 Telnet 功能，配置用户权限等级为3级，登录密码为 Xiaodu@123

$R3\]telnet server enable Error: TELNET server has been enabled \[R3\]user-interface vty 0 4 \[R3-ui-vty0-4\]user privilege level 3 \[R3-ui-vty0-4\]set authentication password cipher Xiaodu@123 \[R3-ui-vty0-4\]quit$

步骤 4 配置 ACL 进行流量过滤

方式一:在R3的VTY接口匹配ACL，允许R1通过LoopBack1口地址Telnet到R3。

#在R3上配置ACL

$R3\]acl 3000 \[R3-acl-adv-3000\]rule 5 permit tcp source 10.1.4.1 0.0.0.0 destination 10.1.3.1 0.0.0.0 destination-port eq 23 \[R3-acl-adv-3000\]rule 10 deny tcp source any \[R3-acl-adv-3000\]quit$

在 R3 的 VTY 接口上进行流量过滤

$R3\]user-interface vty 0 4 \[R3-ui-vty0-4\]acl 3000 inbound$

在 R3 上查看 ACL 配置信息

高级访问控制列表，序号为3000，共2条规则。

ACL的步长为5。

规则5，允许特定的流量通过，当没有匹配的报文时，不显示匹配字段。

方式二:在 R2 的物理接口匹配 ACL，只允许 R1 通过物理接口地址 Telnet 到 R3。

在 R2 上配置 ACL

$R2\]acl 3001 \[R2-acl-adv-3001\]rule 5 permit tcp source 10.1.4.1 0.0.0.0 destination 10.1.3.1 0.0.0.0 destination-port eq 23 \[R2-acl-adv-3001\]rule 10 deny tcp source any \[R2-acl-adv-3001\]quit$

$R2\]interface GigabitEthernet 0/0/0 \[R2-GigabitEthernet0/0/0\]traffic-filter inbound acl 3001$

在 R2 上查看 ACL 配置信息

结果验证

配置参考

sysname R1

interface GigabitEthernet0/0/0

ip address 10.1.2.1 255.255.255.0

interface LoopBack0

ip address 10.1.1.1 255.255.255.0

interface LoopBack1

ip address 10.1.4.1 255.255.255.0

ospf 1

area 0.0.0.0

network 10.1.1.1 0.0.0.0

network 10.1.2.1 0.0.0.0

network 10.1.4.1 0.0.0.0

user-interface con 0

authentication-mode password

user-interface vty 0 4

user-interface vty 16 20

return

sysname R2

undo info-center enable

acl number 3001

rule 5 permit tcp source 10.1.4.1 0 destination 10.1.3.1 0 destination-port eq

telnet

rule 10 deny tcp

interface GigabitEthernet0/0/0

ip address 10.1.2.2 255.255.255.0

traffic-filter inbound acl 3001

interface GigabitEthernet0/0/1

ip address 10.1.3.2 255.255.255.0

ospf 1

area 0.0.0.0

network 10.1.2.2 0.0.0.0

network 10.1.3.2 0.0.0.0

user-interface con 0

authentication-mode password

user-interface vty 0 4

user-interface vty 16 20

return

sysname R3

acl number 3000

rule 5 permit tcp source 10.1.4.1 0 destination 10.1.3.1 0 destination-port eq

telnet

rule 10 deny tcp

interface GigabitEthernet0/0/1

ip address 10.1.3.1 255.255.255.0

ospf 1

area 0.0.0.0

network 10.1.3.1 0.0.0.0

user-interface con 0

authentication-mode password

user-interface vty 0 4

acl 3000 inbound

authentication-mode password

user privilege level 3

set authentication password cipher % $%$ opa@ApO>`YcE^d9]Z+5/,&[cGI\(*moZ[L_2spY$

u9U@&[f,% $%$

user-interface vty 16 20

return

访问控制列表配置实验