ACL，全称 Access Control List（访问控制列表），是一种实现访问控制的机制，用于规定哪些主体（如用户、设备、IP地址、进程等）可以对哪些资源（如网络服务、文件、系统对象等）执行何种操作。ACL通过定义一系列规则来控制网络流量或访问请求，这些规则基于特定的匹配条件（如源IP、目的IP、协议类型、端口号、时间范围等）来决定允许或拒绝流量。

一、实验拓扑

二、实验要求

如组网图所示，R3 为服务器，R1为客户端，客户端与服务器之间路由可达。其中 R1和 R2间互联物理接口地址分别为 10.1.2.1/24和 10.1.2.2/24，R2 和 R3 间互联物理接口地址分别为10.1.3.2/24和 10.1.3.1/24。另外，R1 上创建两个逻辑接口LoopBack0和LoopBack1分别模拟两个客户端用户，地址分别为 10.1.1.1/24 和 10.1.4.1/24。其中一个用户(R1的 LoopBack1接口)需要远程管理设备 R3，可以在服务器端配置Telnet，用户通过密码登录，并配置基于 ACL的安全策略，保证只有符合安全策略的用户才能登录设备。

三、实验配置

3.1 配置思路

1.配置设备 I 地址

2.配置 OSPF，使得网络路由可达

3.配置 ACL，匹配特定流量

4.配置流量过滤

3.2 配置步骤

步骤1 配置设备 IP 地址

配置 R1、R2 和 R3的IP 地址

<Huawei>system-view

Enter system view, return user view with Ctrl+Z.

$Huawei$ undo info-center enable

Info: Information center is disabled.

$Huawei$ sysname R1

$R1$ interface GigabitEthernet 0/0/0

$R1-GigabitEthernet0/0/0$ ip address 10.1.2.1 24

$R1-GigabitEthernet0/0/0$ quit

$R1$ interface LoopBack 0

$R1-LoopBack0$ ip address 10.1.1.1 24

$R1-LoopBack0$ quit

$R1$ interface LoopBack 1

$R1-LoopBack1$ ip address 10.1.4.1 24

$R1-LoopBack1$ quit

<Huawei>system-view

Enter system view, return user view with Ctrl+Z.

$Huawei$ undo info-center enable

Info: Information center is disabled.

$Huawei$ sysname R2

$R2$ interface GigabitEthernet 0/0/0

$R2-GigabitEthernet0/0/0$ ip address 10.1.2.2 24

$R2-GigabitEthernet0/0/0$ quit

$R2$ interface GigabitEthernet 0/0/1

$R2-GigabitEthernet0/0/1$ ip address 10.1.3.2 24

$R2-GigabitEthernet0/0/1$ quit
<Huawei>system-view

Enter system view, return user view with Ctrl+Z.

$Huawei$ undo info-center enable

Info: Information center is disabled.

$Huawei$ sysname R3

$R3$ interface GigabitEthernet 0/0/1

$R3-GigabitEthernet0/0/1$ ip address 10.1.3.1 24

$R3-GigabitEthernet0/0/1$ quit

步骤2 配置 OSPF 使网络互通

在 R1、R2 和 R3 上配置 OSPF，三台设备均在区域0中，实现全网互联互通

$R1$ ospf

$R1-ospf-1$ area 0

$R1-ospf-1-area-0.0.0.0$ network 10.1.1.1 0.0.0.0

$R1-ospf-1-area-0.0.0.0$ network 10.1.2.1 0.0.0.0

$R1-ospf-1-area-0.0.0.0$ network 10.1.4.1 0.0.0.0

$R1-ospf-1-area-0.0.0.0$ return

$R2$ ospf

$R2-ospf-1$ area 0

$R2-ospf-1-area-0.0.0.0$ network 10.1.2.2 0.0.0.0

$R2-ospf-1-area-0.0.0.0$ network 10.1.3.2 0.0.0.0

$R2-ospf-1-area-0.0.0.0$ return

$R3$ ospf

$R3-ospf-1$ area 0

$R3-ospf-1-area-0.0.0.0$ network 10.1.3.1 0.0.0.0

$R3-ospf-1-area-0.0.0.0$ return

在 R3 上执行 Ping 命令，检测网络的连通性

步骤3 配置 R3 为 Telnet 服务器

在 R3 使能 Telnet 功能，配置用户权限等级为3级，登录密码为 Xiaodu@123

$R3$ telnet server enable

Error: TELNET server has been enabled

$R3$ user-interface vty 0 4

$R3-ui-vty0-4$ user privilege level 3

$R3-ui-vty0-4$ set authentication password cipher Xiaodu@123

$R3-ui-vty0-4$ quit

步骤 4 配置 ACL 进行流量过滤

方式一:在R3的VTY接口匹配ACL，允许R1通过LoopBack1口地址Telnet到R3。

#在R3上配置ACL

$R3$ acl 3000

$R3-acl-adv-3000$ rule 5 permit tcp source 10.1.4.1 0.0.0.0 destination 10.1.3.1

0.0.0.0 destination-port eq 23

$R3-acl-adv-3000$ rule 10 deny tcp source any

$R3-acl-adv-3000$ quit

在 R3 的 VTY 接口上进行流量过滤

$R3$ user-interface vty 0 4

$R3-ui-vty0-4$ acl 3000 inbound

在 R3 上查看 ACL 配置信息

高级访问控制列表，序号为3000，共2条规则。

ACL的步长为5。

规则5，允许特定的流量通过，当没有匹配的报文时，不显示匹配字段。

方式二:在 R2 的物理接口匹配 ACL，只允许 R1 通过物理接口地址 Telnet 到 R3。

在 R2 上配置 ACL

$R2$ acl 3001

$R2-acl-adv-3001$ rule 5 permit tcp source 10.1.4.1 0.0.0.0 destination 10.1.3.1

0.0.0.0 destination-port eq 23

$R2-acl-adv-3001$ rule 10 deny tcp source any

$R2-acl-adv-3001$ quit

在 R2 的 GE0/0/0 接口上进行流量过滤

$R2$ interface GigabitEthernet 0/0/0

$R2-GigabitEthernet0/0/0$ traffic-filter inbound acl 3001

在 R2 上查看 ACL 配置信息

结果验证

配置参考

sysname R1

interface GigabitEthernet0/0/0

ip address 10.1.2.1 255.255.255.0

interface LoopBack0

ip address 10.1.1.1 255.255.255.0

interface LoopBack1

ip address 10.1.4.1 255.255.255.0

ospf 1

area 0.0.0.0

network 10.1.1.1 0.0.0.0

network 10.1.2.1 0.0.0.0

network 10.1.4.1 0.0.0.0

user-interface con 0

authentication-mode password

user-interface vty 0 4

user-interface vty 16 20

return

sysname R2

undo info-center enable

acl number 3001

rule 5 permit tcp source 10.1.4.1 0 destination 10.1.3.1 0 destination-port eq

telnet

rule 10 deny tcp

interface GigabitEthernet0/0/0

ip address 10.1.2.2 255.255.255.0

traffic-filter inbound acl 3001

interface GigabitEthernet0/0/1

ip address 10.1.3.2 255.255.255.0

ospf 1

area 0.0.0.0

network 10.1.2.2 0.0.0.0

network 10.1.3.2 0.0.0.0

user-interface con 0

authentication-mode password

user-interface vty 0 4

user-interface vty 16 20

return

sysname R3

acl number 3000

rule 5 permit tcp source 10.1.4.1 0 destination 10.1.3.1 0 destination-port eq

telnet

rule 10 deny tcp

interface GigabitEthernet0/0/1

ip address 10.1.3.1 255.255.255.0

ospf 1

area 0.0.0.0

network 10.1.3.1 0.0.0.0

user-interface con 0

authentication-mode password

user-interface vty 0 4

acl 3000 inbound

authentication-mode password

user privilege level 3

set authentication password cipher % $%$ opa@ApO>`YcE^d9]Z+5/,&[cGI\(*moZ[L_2spY$

u9U@&[f,% $%$

user-interface vty 16 20

return

访问控制列表配置实验