华为拓扑---acl的高级使用

1、拓扑图展现

---

2、 你要知道的知识点

1.什么是acl？

访问控制列表（Access Control List，ACL） 是路由器和交换机接口的指令列表，用来控制端口进出的数据包。ACL适用于全部的被路由协议，如IP、IPX、AppleTalk等。

2.acl的做用

配置ACL后，能够限制网络流量，容许特定设备访问，指定转发特定端口数据包等。

---

3、 实验目的

1.让pc1和pc2属于vlan10，pc3属于vlan20，pc4属于vlan30。
2.给R1路由设置vlan10的网关，并在上面设置RIP。
3.给R2路由器设置vlan20和vlan30网关，R2设置RIP，R1与R2的之间的网段为192.168.4.0/24
4.R2使用单臂路由配置vlan20和vlan30的网关。
5.使用acl让PC1和PC3不能ping通
6.使用acl让PC4只能ping通PC2，其余都ping不通

---

4、 所需设备以及相关设置

1.PC机

设备	IP地址	IP网关	子网掩码	所属vlan
pc1	192.168.1.1	192.168.1.254	255.255.255.0	vlan10
pc2	192.168.1.2	192.168.1.254	255.255.255.0	vlan10
pc3	192.168.2.1	192.168.2.254	255.255.255.0	vlan20
pc4	192.168.3.1	192.168.3.254	255.255.255.0	vlan30

2.交换机

设备	接口	所属vlan
LSW1	e0/0/1	vlan10
LSW1	e0/0/2	vlan10
LSW1	e0/0/3	vlan10
LSW2	e0/0/2	vlan20
LSW2	e0/0/3	vlan30
LSW2	e0/0/1	trunk

3.路由器

设备	接口	网关	RIP宣告网段
R1	g0/0/0	192.168.1.254	192.168.1.0/24和192.168.4.0/24
R1	g0/0/1	192.168.4.1	192.168.1.0/24和192.168.4.0/24
R2	g0/0/1 .1	192.168.2.254	192.168.2.0/2四、192.168.3.0/24 、192.168.4.0/24
R2	g0/0/1.2	192.168.3.254	192.168.2.0/2四、192.168.3.0/24 、192.168.4.0/24
R2	g0/0/0	192.168.4.2	192.168.2.0/2四、192.168.3.0/24 、192.168.4.0/24

---

5、 配置思路以及代码展现

1.LSW1配置思路：

a、建立vlan10
b、让三个端口加入vlan10

<Huawei>undo terminal  monitor  //撤销终端监控
<Huawei>system-view //进入系统模式

[Huawei]sysname SW1 //设置交换机名称为SW1

[SW1]vlan 10 //建立vlan10
[SW1-vlan10]quit //退出

[SW1]port-group group-member Ethernet 0/0/1 to Ethernet 0/0/3 //把e0/0/1-3加入一个组
[SW1-port-group]port link-type access //设置组内端口模式为接入
[SW1-Ethernet0/0/1]port link-type access 
[SW1-Ethernet0/0/2]port link-type access 
[SW1-Ethernet0/0/3]port link-type access 

[SW1-port-group]port default vlan 10 //让组内端口加入vlan10
[SW1-Ethernet0/0/1]port default vlan 10
[SW1-Ethernet0/0/2]port default vlan 10
[SW1-Ethernet0/0/3]port default vlan 10
[SW1-port-group]quit

查询结果图

2.LSW2配置思路：

a、建立vlan20和30
b、让端口e0/0/2加入vlan20，端口e0/0/3加入vlan30，端口e0/0/1设置为trunk模式。

<Huawei>undo terminal  monitor  //撤销终端监控
<Huawei>system-view //进入系统模式

[Huawei]sysname SW2 //设置交换机名称为SW2

[SW2]vlan batch 20 30  //建立vlan20和30

[SW2]interface Ethernet 0/0/2  //进入端口e0/0/2
[SW2-Ethernet0/0/2]port link-type access //设置端口为接入模式
[SW2-Ethernet0/0/2]port default vlan 20  //加入vlan20
[SW2-Ethernet0/0/2]quit  //退出

[SW2]interface Ethernet 0/0/3 //进入端口e0/0/3
[SW2-Ethernet0/0/3]port link-type access //设置端口为接入模式
[SW2-Ethernet0/0/3]port default vlan 30 //加入vlan30
[SW2-Ethernet0/0/3]quit //退出

[SW2]interface ethernet 0/0/1 //进入端口e0/0/1
[SW2-Ethernet0/0/1]port link-type trunk  //设置端口为中继模式
[SW2-Ethernet0/0/1]port trunk allow-pass  vlan all  //加入全部端口
[SW2-Ethernet0/0/1]quit  //退出

查询结果图

3.R1配置思路：

a、配置vlan10的网关：192.168.1.254/24，在接口g0/0/0上，
b、配置端口g0/0/1上网段ip：192.168.4.1/24
c、设置并开启rip，设置网段宣告：192.168.1.0/24和192.168.4.0/24

<Huawei>undo terminal  monitor  //撤销终端监控
<Huawei>system-view //进入系统模式

[Huawei]sysname R1 //设置路由器名称为R1

[R1]interface gigabitethernet 0/0/0  //进入端口g0/0/0
[R1-GigabitEthernet0/0/0]undo shutdown  //开启端口
[R1-GigabitEthernet0/0/0]ip add 192.168.1.254 24 //设置vlan10的网关
[R1-GigabitEthernet0/0/0]quit  //退出

[R1]interface gigabitethernet 0/0/1  //进入端口g0/0/1
[R1-GigabitEthernet0/0/0]undo shutdown  //开启端口
[R1-GigabitEthernet0/0/0]ip add 192.168.4.1 24 //设置端口g0/0/1上网段ip
[R1-GigabitEthernet0/0/0]quit  //退出

[R1]rip //开启rip
[R1-rip-1]version 2  //设置版本v2
[R1-rip-1]network 192.168.1.0  //宣告网段192.168.1.0/24
[R1-rip-1]network 192.168.4.0  //宣告网段192.168.4.0/24
[R1-rip-1]quit   //退出

[R1]display current-configuration //查看全部配置

4.R2配置思路：

a、配置端口g0/0/0上网段ip：192.168.4.2/24
b、设置并开启单臂路由配置g0/0/1.1的vlan20的网关：192.168.2.254/24，g0/0/1.2的vlan30的网关192.168.3.254/24
c、设置并开启rip，设置网段宣告：192.168.2.0/2四、192.168.4.0/24和192.168.3.0/24

<Huawei>undo terminal  monitor  //撤销终端监控
<Huawei>system-view //进入系统模式

[Huawei]sysname R2 //设置路由器名称为R2

[R2]interface GigabitEthernet 0/0/0  //进入端口g0/0/0
[R2-GigabitEthernet0/0/0]undo shutdown  //开启端口
[R2-GigabitEthernet0/0/0]ip add 192.168.4.2 24   //设置端口g0/0/0上网段ip
[R2-GigabitEthernet0/0/0]quit  //退出

[R2]interface GigabitEthernet 0/0/1  //进入端口g0/0/1
[R2-GigabitEthernet0/0/0]undo shutdown  //开启端口
[R2-GigabitEthernet0/0/0]quit  //退出

[R2]interface GigabitEthernet 0/0/1.1 //开启子端口 G0/0/1.1
[R2-GigabitEthernet0/0/1.1]dot1q termination vid 20 //封装dot1q协议，设置子接口对应vlan 20
[R2-GigabitEthernet0/0/1.1]ip address 192.168.2.254  24 //设置vlan 20的网关
[R2-GigabitEthernet0/0/1.1]arp broadcast  enable //开启子接口的ARP广播
[R2-GigabitEthernet0/0/1.1]quit //退出

[R2]interface GigabitEthernet 0/0/1.2 //开启子端口 G0/0/1.2
[R2-GigabitEthernet0/0/1.2]dot1q termination vid 30 //封装dot1q协议，设置子接口对应vlan 30
[R2-GigabitEthernet0/0/1.2]ip address 192.168.3.254 24 //设置vlan 30的网关
[R2-GigabitEthernet0/0/1.2]arp broadcast  enable //开启子接口的ARP广播
[R2-GigabitEthernet0/0/1.2]quit //退出

[R2]rip  //开启rip
[R2-rip-1]version 2  //设置版本v2
[R2-rip-1]network 192.168.4.0  //宣告网段192.168.4.0/24
[R2-rip-1]network 192.168.3.0  //宣告网段192.168.3.0/24
[R2-rip-1]network 192.168.2.0  //宣告网段192.168.2.0/24
[R2-rip-1]quit  //退出

[R1]display current-configuration //查看全部配置

5.使用acl让PC1和PC3不能ping通思路

a、网络要都能联通，相互都能ping通。
b、要让pc1和pc3不通，首先要建立acl，规则为阻止pc1和pc3的icmp联通。
c、在与pc1最近的端口上也就是e0/0/1上执行acl就能够了。

在LSW1中操做
[SW1]acl name MA1 advance  //开启acl并设置名称为MA1，模式为高级模式
[SW1-acl-adv-MA1]rule 5 deny icmp  source 192.168.1.1 0.0.0.0 destination 192.16
8.2.1 0.0.0.0  //设置规则为5，阻止IP从192.168.1.1 到192.168.2.1 联通（也就是PC1和PC3没法ping通）
[SW1-acl-adv-MA1]quit  //退出

[SW1]interface Ethernet 0/0/1  //进入端口e0/0/1
[SW1-Ethernet0/0/1]undo shutdown  //开启端口
[SW1-Ethernet0/0/1]traffic-filter inbound acl name MA1  //让acl在端口入站时执行
[SW1-acl-adv-MA1]quit  //退出

结果验证
[SW1]display acl name MA1 //查看acl MA1的规则

6.使用acl让PC4只能ping通PC2，其余都ping不通

a、网络要都能联通，相互都能ping通。
b、要让pc4只能ping通pc2，首先要建立acl，要作两个规则先让pc4全部都不通，让后添加pc4可以ping通pc2的规格。
c、在与pc4最近的端口上也就是e0/0/3上执行acl就能够了。

在LSW2中操做
[SW2]acl name MA2 advance  //开启acl并设置名称为MA2，模式为高级模式
[SW2-acl-adv-MA2]rule 5 deny ip  //设置规则5 全部ip都不能联通
[SW2-acl-adv-MA2]rule 10 permit ip source 192.168.3.1 0.0.0.0 destination 192.168.1.2 0.0.0.0   //设置规则10 让pc4与pc2可以联通
[SW2-acl-adv-MA2]quit  //退出

[SW2]interface Ethernet 0/0/3  //进入端口e0/0/3
[SW2-Ethernet0/0/3]undo shutdown  //开启端口
[SW2-Ethernet0/0/3]traffic-filter inbound acl name MA2  //让acl在端口入站时执行
[SW2-Ethernet0/0/3]quit  //退出

结果图
[SW2]display acl name MA2 //查看acl MA2的规则

---

6、给你们个思考题

可否使用acl让pc1和pc2不能ping通。恢复有积分！