ACL:access control list ，访问 控制 列表-作用：匹配感兴趣的流量。-实现：#规则#动作(允许/拒绝)#事件 -表示：-类型：#标准ACL/基本ACLID name
.
ACL:access control list ，访问 控制 列表
-作用：
匹配感兴趣的流量。
-实现：
#规则
#动作(允许/拒绝)
#事件
-表示：
-类型：
#标准ACL/基本ACL
ID
name
#扩展ACL/高级ACL
ID
name
ACL的配置思路： 0、确保原有数据的连通性(基于现网需要来确定)； 在没有实施ACL之前，所有PC 之间是互通的；1、查看设备上已经存在的ACL [R1] display acl [2000] | all 2、创建ACL [R1] acl 2000 [match-order {config} | {auto} ] [R1-acl-basic-2000] rule [id] deny source 192.168.1.x 0.0.0.0 3、调用ACL [R1]interface gi0/0/0 [R1-gi0/0/0]tranffic-filter inbound acl 20004、验证、测试、保存 display acl 2000 //查看ACL的配置条目信息； display traffic-filter applied-record //查看ACL的调用信息； display traffic-filter statistics interface GigabitEthernet 0/0/0 inbound //查看特定端口上调用的ACL的使用信息；基本ACL -仅仅关注IP头部中的 source-ip ; 高级ACL -可以同时关注 source 和 destination ， 并且，还可以关注 IP 头部后面的内容， 比如 TCP/UDP删除ACL：1、正确的删除姿势 #首先解除 ACL 调用关系 Interface gi0/0/0 undo traffic-filter inbound #其次删除 ACL 条目本身 undo acl 2000 #最后删除的最终结果 2、当调用一个不存在的 ACL 时，表示的是允许所有；注意： 1、同一个端口的，同一个方向，只能同时存在一个 ACL ； 2、如果想更改端口上调用的 ACL ，必须： 首先，删除端口上的 ACL 调用命令； 再次，重新调用一个新的 ACL ； 3、端口上的 ACL ，不允许直接覆盖； 4、华为中的ACL，没有匹配住的流量，默认是允许的； 5、基本ACL/标准ACL，强烈建议调用在“距离目标设备”近的地方； ---------------------------------------------------------------------------------------------- 1、命名的ACL在创建的时候，需要指定类型； 2、在ACL中，如果不写 source 或者不写 destination ，则表示所有源或目标 3、在配置ACL的过程中，如果在输入 source 或 destination 的时候，直接回车 则代表“所有”； 秘诀： 想要控制流量，必须先认识流量的封装方式、使用的协议； 想要控制流量，必须先认识流量的转发路径和方向； ******拓扑图******
配置步骤
[R2]ip route-static 172.60.20.0 255.255.255.0 172.60.10.2 ip route-static 192.168.3.0 255.255.255.0 172.60.10.2 ip route-static 192.168.4.0 255.255.255.0 172.60.10.2acl name pc1-pc2 3999 rule 1 deny ip source 192.168.1.2 0 destination 192.168.2.2 0 interface GigabitEthernet0/0/0 ip address 172.60.10.1 255.255.255.0 interface GigabitEthernet0/0/1 ip address 192.168.1.254 255.255.255.0 interface GigabitEthernet0/0/2 ip address 192.168.2.254 255.255.255.0 traffic-filter outbound acl name pc1-pc2 [R1]ip route-static 192.168.1.0 255.255.255.0 172.60.10.1 ip route-static 192.168.2.0 255.255.255.0 172.60.10.1 ip route-static 192.168.3.0 255.255.255.0 172.60.20.2 acl name pc3-server1 3998 rule 4 deny udp source 192.168.3.2 0 destination 192.168.4.1 0 destination-port eq dns acl name client1-server1 3999 rule 2 deny icmp source 192.168.1.1 0 destination 192.168.4.1 0 interface GigabitEthernet0/0/0 ip address 172.60.10.2 255.255.255.0 interface GigabitEthernet0/0/1 ip address 172.60.20.1 255.255.255.0 traffic-filter inbound acl name pc3-server1 interface GigabitEthernet0/0/2 ip address 192.168.4.254 255.255.255.0 traffic-filter outbound acl name client-server1 [R3]ip route-static 172.60.10.0 255.255.255.0 172.60.20.1 ip route-static 192.168.1.0 255.255.255.0 172.60.20.1 ip route-static 192.168.2.0 255.255.255.0 172.60.20.1 ip route-static 192.168.4.0 255.255.255.0 172.60.20.1 acl name pc2-pc3 3999 rule 2 deny ip source 192.168.2.2 0 destination 192.168.3.2 0 interface GigabitEthernet0/0/1 ip address 172.60.20.2 255.255.255.0 interface GigabitEthernet0/0/2 ip address 192.168.3.254 255.255.255.0 traffic-filter outbound acl name pc2-pc3
**测试与验证**1、PC-1与PC-2之间的任何类型的流量都无法互通；
2、PC-3可以 ping 192.168.4.1(server-1)，但是无法 ping www.zjk.com 
3、PC-2与PC-3之间的任何类型的流量都无法互通
4、Client-1 无法 ping www.ntd1711.com，但是通过http可以打开
Server-1中的 web 功能（即，www.zjk.com)
所有实验验证已完成，欢迎一起学习交流。