ENSP学习day9

ACL访问控制列表实验

ACL（Access Control List，访问控制列表）是一种用于控制用户或系统对资源（如文件、文件夹、网络等）访问权限的机制。通过ACL，系统管理员可以定义哪些用户或系统可以访问特定资源，以及他们可以执行哪些操作。

ACL可以根据不同的需求和场景进行配置，常见的ACL包括：

1. 文件系统ACL：用于控制对文件和文件夹的访问权限，可以指定不同用户或用户组的读、写、执行权限。

2. 网络ACL：用于控制网络设备（如路由器、防火墙）上的流量访问权限，可以指定允许或拒绝特定IP地址或协议的通信。

3. 数据库ACL：用于控制对数据库中表、视图、存储过程等对象的访问权限，可以指定哪些用户可以执行哪些SQL操作。

4. 应用程序ACL：用于控制应用程序中不同角色或用户对功能的访问权限，可以限制用户能够进行的操作。

通过ACL，系统管理员可以实现细粒度的权限控制，确保只有经过授权的用户或系统可以访问敏感数据或资源，从而提高系统的安全性和可管理性。

ACL 2000-2999：用于控制IPv4流量的访问规则，例如限制某些IP地址或端口的访问权限。basic，源地址和目的地址选择一个进行配置

ACL 3000-3999：用于控制IPv6流量的访问规则，类似于IPv4 ACL，但适用于IPv6地址。advanced， 可以配置源地址和目的地址

标准ACL识别源IP，所以设置在近目的端口处。

高级ACL匹配源IP＋目的IP，所以设置在近源端口上

1. 配置PC1,PC2

2. 配置路由器R1

   <Huawei>sys
   Enter system view, return user view with Ctrl+Z.
   [Huawei]sysname R1
   [R1]int g0/0/0
   [R1-GigabitEthernet0/0/0]ip address 192.168.2.254 24
   [R1-GigabitEthernet0/0/0]
   [R1-GigabitEthernet0/0/0]int g0/0/1
   [R1-GigabitEthernet0/0/1]ip address 192.168.1.254 24
   [R1-GigabitEthernet0/0/2]ip address 10.10.10.254 24

3. 配置服务器：
   IP，掩码，网关都要配置

4. 此时，PC1,2,服务器间均能通信

5. 配置ACL：

   [R1]ACL 3000
   [R1-acl-adv-3000]rule 5 deny ip source 192.168.1.0 0.0.0.255 destination 192.168
   .2.0 0.0.0.255
   [R1]int g0/0/1
   [R1-GigabitEthernet0/0/1]traffic-filter inbound acl 3000

建立规则5，默认rule从5开始，然后是10，15.。拒绝来源于192.168.1.0的网段的消息访问192.168.2.0网段，IP后加上反掩码（和OSPF路由协议配置一样）

将规则部署在路由器端口上，inbound表示进入路由器的方向，outbound表示出路由器的方向

现在PC1 PC2 不通了。

[R1]acl 3001
[R1-acl-adv-3001]rule 5 deny ip source 192.168.2.0 0.0.0.255 destination 192.168
.1.0 0.0.0.255 
[R1]int g0/0/1
[R1-GigabitEthernet0/0/1]int g0/0/0
[R1-GigabitEthernet0/0/0]traffic-filter inbound acl 3001