华为---配置基本的访问控制列表（ACL）
11、访问控制列表（ACL）
11.1 配置基本的访问控制列表
11.1.1 原理概述
访问控制列表ACL(Access Control List)是由permit或deny语句组成的一系列有顺序的规则集合，这些规则根据数据包的源地址、目的地址、源端口、目的端口等信息来描述。ACL规则通过匹配报文中的信息对数据包进行分类，路由设备根据这些规则判断哪些数据包可以通过，哪些数据包需要拒绝。
按照访问控制列表的用途，可以分为基本的访问控制列表和高级的访问控制列表，基本ACL可使用报文的源IP地址、时间段信息来定义规则，编号范围为2000～2999。一个ACL可以由多条“deny/permit”语句组成，每一条语句描述一条规则，每条规则有一个Rule-ID。Rule-ID可以由用户进行配置，也可以由系统自动根据步长生成，默认步长为5,Rule-ID默认按照配置先后顺序分配0、5、10、15等，匹配顺序按照ACL的Rule-ID的顺序，从小到大进行匹配。
11.1.2 实验内容
本实验模拟企业网络环境，R1为分支机构A管理员所在IT部门的网关，R2为分支机构A用户部门的网关，R3为分支机构A去往总部出口的网关设备，R4为总部核心路由器设备。整网运行OSPF协议，并在区域0内。企业设计通过远程方式管理核心网路由器R4,要求只能由R1所连的PC访问R4,其他设备均不能访问。
11.1.3 实验拓扑
11.1.4 实验编址
| 设备 | 接口 | IP地址 | 子网掩码 | 默认网关 |
|---|---|---|---|---|
| AR1(AR2220) | GE 0/0/0 | 172.16.1.1 | 255.255.255.252 | N/A |
| AR1(AR2220) | GE 0/0/2 | 192.168.10.254 | 255.255.255.0 | N/A |
| AR2(AR2220) | GE 0/0/1 | 172.16.2.1 | 255.255.255.252 | N/A |
| AR2(AR2220) | GE 0/0/2 | 192.168.20.254 | 255.255.255.0 | N/A |
| AR3(AR2220) | GE 0/0/0 | 172.16.1.2 | 255.255.255.252 | N/A |
| AR3(AR2220) | GE 0/0/1 | 172.16.2.2 | 255.255.255.252 | N/A |
| AR3(AR2220) | GE 0/0/2 | 172.16.3.2 | 255.255.255.252 | N/A |
| AR4(AR2220) | GE 0/0/2 | 172.16.3.1 | 255.255.255.252 | N/A |
| PC1 | Ethernet 0/0/1 | 192.168.10.1 | 255.255.255.0 | 192.168.10.254 |
| PC2 | Ethernet 0/0/1 | 192.168.20.1 | 255.255.255.0 | 192.168.20.254 |
11.1.5 实验步骤
1、基本配置
根据实验编址表进行基本的IP地址配置和OSPF配置。
[AR1]interface GigabitEthernet 0/0/0
[AR1-GigabitEthernet0/0/0]ip address 172.16.1.1 30
[AR1-GigabitEthernet0/0/0]interface GigabitEthernet 0/0/2
[AR1-GigabitEthernet0/0/2]ip address 192.168.10.254 24
[AR1-GigabitEthernet0/0/2]ospf 1
[AR1-ospf-1]area 0
[AR1-ospf-1-area-0.0.0.0]network 192.168.10.0 0.0.0.255
[AR1-ospf-1-area-0.0.0.0]network 172.16.1.0 0.0.0.3[AR2]interface GigabitEthernet 0/0/1
[AR2-GigabitEthernet0/0/1]ip address 172.16.2.1 30
[AR2-GigabitEthernet0/0/1]interface GigabitEthernet 0/0/2
[AR2-GigabitEthernet0/0/2]ip address 192.168.20.254 24
[AR2-GigabitEthernet0/0/2]ospf 1
[AR2-ospf-1]area 0
[AR2-ospf-1-area-0.0.0.0]network 172.16.2.0 0.0.0.3
[AR2-ospf-1-area-0.0.0.0]network 192.168.20.0 0.0.0.255[AR3]interface GigabitEthernet 0/0/0
[AR3-GigabitEthernet0/0/0]ip address 172.16.1.2 30
[AR3-GigabitEthernet0/0/0]interface GigabitEthernet 0/0/1
[AR3-GigabitEthernet0/0/1]ip address 172.16.2.2 30
[AR3-GigabitEthernet0/0/1]interface GigabitEthernet 0/0/2
[AR3-GigabitEthernet0/0/2]ip address 172.16.3.2 30
[AR3-GigabitEthernet0/0/2]ospf 1
[AR3-ospf-1]area 0
[AR3-ospf-1-area-0.0.0.0]network 172.16.1.0 0.0.0.3
[AR3-ospf-1-area-0.0.0.0]network 172.16.2.0 0.0.0.3
[AR3-ospf-1-area-0.0.0.0]network 172.16.3.0 0.0.0.3[AR4]interface GigabitEthernet 0/0/2
[AR4-GigabitEthernet0/0/2]ip address 172.16.3.1 30
[AR4-GigabitEthernet0/0/2]ospf 1
[AR4-ospf-1]area 0
[AR4-ospf-1-area-0.0.0.0]network 172.16.3.0 0.0.0.3[PC1]interface GigabitEthernet 0/0/2
[PC1-GigabitEthernet0/0/2]ip address 192.168.10.1 24
[PC1-GigabitEthernet0/0/2]ospf 1
[PC1-ospf-1]area 0
[PC1-ospf-1-area-0.0.0.0]network 192.168.10.0 0.0.0.255[PC2]interface GigabitEthernet00/0/2
[PC2-GigabitEthernet0/0/2]ip address 192.168.20.1 24
[PC2-GigabitEthernet0/0/2]ospf 1
[PC2-ospf-1]area 0
[PC2-ospf-1-area-0.0.0.0]network 192.168.20.0 0.0.0.255
配置完成后测试PC1和AR4的连通性。
[PC1]ping 172.16.3.1PING 172.16.3.1: 56 data bytes, press CTRL_C to breakReply from 172.16.3.1: bytes=56 Sequence=1 ttl=253 time=30 msReply from 172.16.3.1: bytes=56 Sequence=2 ttl=253 time=20 msReply from 172.16.3.1: bytes=56 Sequence=3 ttl=253 time=30 msReply from 172.16.3.1: bytes=56 Sequence=4 ttl=253 time=20 msReply from 172.16.3.1: bytes=56 Sequence=5 ttl=253 time=60 ms--- 172.16.3.1 ping statistics ---5 packet(s) transmitted5 packet(s) received0.00% packet lossround-trip min/avg/max = 20/32/60 ms
2、配置基本ACL访问控制
在总部核心路由器R4上面配置Telnet相关配置，配置用户密码为：huawei
[AR4]user-interface vty 0 4
[AR4-ui-vty0-4]authentication-mode password
Please configure the login password (maximum length 16):huawei
配置完成后，尝试在PC1和PC2上建立Telnet连接。
<PC1>telnet 172.16.3.1
Trying 172.16.3.1 ...
Press CTRL+K to abort
Connected to 172.16.3.1 ...
Login authentication
Password:
<AR4>
可以观察到，只要路由可达的设备，并且拥有Telnet密码，都可以成功访问核心路由器R4，这是不安全的。
在R4上面使用acl命令创建一个编号型ACL，基本ACL的范围是2000-2999.接下来在ACL视图中，使用rule命令配置ACL规则，指定规则ID为5，允许数据包源地址为192.168.10.1的报文通过，反掩码为0.0.0.255，即精确匹配。第二条规则ID为10，拒绝任意原地址的数据包通过。ACL配置完成后，在vty中使用inbound调用。
[AR4]acl 2000
[AR4-acl-basic-2000]rule 5 permit source 192.168.10.1 0.0.0.255
[AR4-acl-basic-2000]rule 10 deny source any
[AR4-acl-basic-2000]quit
[AR4]user-interface vty 0 4
[AR4-ui-vty0-4]acl 2000 inbound
此时测试可以观察到，现在只有PC1可以访问，其他设备都不能访问。
<PC1>telnet 172.16.3.1
Trying 172.16.3.1 ...
Press CTRL+K to abort
Connected to 172.16.3.1 ...
Login authentication
Password:
<AR4><PC2>telnet 172.16.3.1
Trying 172.16.3.1 ...
Press CTRL+K to abort
Error: Failed to connect to the remote host.
要想增加其他设备如AR3可以访问AR4的话，只能使用ACL规则ID在10的前面的ID编号才能正常访问，因为编号10是拒绝所有访问。
相关文章：
华为---配置基本的访问控制列表（ACL）
11、访问控制列表（ACL） 11.1 配置基本的访问控制列表 11.1.1 原理概述 访问控制列表ACL(Access Control List)是由permit或deny语句组成的一系列有顺序的规则集合，这些规则根据数据包的源地址、目的地址、源端口、目的端口等信息来描述。A…...
Apple Intelligence，我们能得到什么？（上）
苹果公司WWDC 2024发布会，苹果AI成为最吸睛的焦点。不过，苹果的AI不是大家口中的AI，而是苹果独有的概念：Apple Intelligence，苹果智能。 所谓Apple Intelligence，被定义为iPhone、iPad和Mac的个人智能系统…...
【数据库中的存储桶】
存储桶是对象存储系统中的一个核心概念，起源于Amazon S3（Simple Storage Service）并被其他对象存储解决方案（如MinIO、Google Cloud Storage等）广泛采用。在传统的文件系统中，我们通常使用目录和子目录来组…...
多选项卡的shiny
下面是一个包含多个选项卡的 Shiny 应用程序示例代码。在这个例子中，我们创建了一个包含三个选项卡的 Shiny 应用程序，每个选项卡中都有不同的内容。 library(shiny)# Define UI ui <- fluidPage(titlePanel("多选项卡 Shiny 应用"),tabse…...
Python项目Django框架发布相关
1.Nginx配置 server { listen 80; server_name 域名地址;location / { uwsgi_pass 0.0.0.0:4563;// 运行地址include uwsgi_params;} location /static{ // 静态文件路径alias /www/wwwroot/djserverproject/static;}}server { listen 443; server_name 域名地址;ssl_certific…...
kettle使用手册 安装9.0版本 建议设置为英语
0.新建转换的常用组件 0. Generate rows 定义一个字符串 name value就是字符串的值 0.1 String operations 字段转大写 去空格 1. Json input 来源于一个json文件 1.json 或mq接收到的data内容是json字符串 2. Json output 定义Jsonbloc值为 data, 左侧Fieldname是数据库…...
golang string、byte[]以及rune的基本概念，用法以及区别
在 Go 语言中，string、byte[] 和 rune 是处理文本和字符的三种不同数据类型。它们有各自的用途和特点，下面将详细介绍它们的基本概念、用法以及区别。 1. string 基本概念 字符串类型：string 是 Go 语言中的一种基本类型，用于表…...
全国211大学名单及排名
序号 名称 省份 985 211 双一流 1 北京大学 北京 是 是 是 2 清华大学 北京 是 是 是 3 复旦大学 上海 是 是 是 4 上海交通大学 上海 是 是 是 5 浙江大学 浙江 是 是 是 6 国防科技大学 湖南 是 是 是 7 中国人民大学 北京 是 …...
ASR 语音识别相关
ASR 语音识别 ASR（Automatic Speech Recognition，自动语音识别）是一种能够将语音转换为文本的技术。这种技术使得计算机能够“听懂”我们说的话，并将它们记录下来。这项技术被广泛应用于日常生活中的各种场景，比如语音…...
kotlin require和assert 区别
在 Kotlin 中，require 和 assert 是两种用于验证条件的方法，主要区别在于它们的使用场景和触发机制。 require require 用于函数参数的验证。如果条件不满足，它会抛出 IllegalArgumentException 异常。这通常用于对公共 API 的输入参数进行…...
考研:数学一/二 和英语一/二 有什么区别
考研数学一/二 区别： 考试内容： 数学一：考查内容包括高等数学、线性代数、以及概率论与数理统计，覆盖的知识面较为全面，题目难度也相对较高。数学二：考试内容包含高等数学和线性代数，不包括概率…...
地铁中的CAN通信--地铁高效安全运转原理
目前地铁采用了自动化的技术来实现控制，有ATC（列车自动控制）系统可以实现列车自动驾驶、自动跟踪、自动调度；SCADA（供电系统管理自动化）系统可以实现主变电所、牵引变电所、降压变电所设备系统的遥控、遥信、遥测；BAS（环境监控系统）和FAS（火灾报警系统）可以实现车站…...
简化数据提取：Excel-Extractor 使用指南
前言 在当今数据驱动的世界中，从复杂的 Excel 文件中提取和分析数据是许多业务和研究工作的基本需求。为了简化这一过程，Excel-Extractor 项目应运而生。本文将为你介绍 Excel-Extractor 的功能和如何在你的项目中使用它。 什么是 Excel-Extractor&…...
用户中心项目全流程
企业做项目流程 需求分析 > 设计（概要设计 、 详细设计） > 技术选型 >初始化项目 / 引入需要的技术 > 写个小demo > 写代码 （实现业务逻辑） > 测试（单元测试）> 代码提交 / 代码评审 …...
达梦数据库的系统视图v$database
达梦数据库的系统视图v$database 基础信息 OS版本： Red Hat Enterprise Linux Server release 7.9 (Maipo) DB版本： DM Database Server 64 V8 DB Version: 0x7000c 03134284132-20240115-215128-20081在达梦数据库（Dameng Database…...
Vue.js中的虚拟DOM
一.节点和状态 在我们平常对DOM操作的时候,之前在vue没有诞生之前,以命令式的方式对DOM进行操作,页面上的每一个元素都可以看做成一个节点状态。 二.剔除和渲染 框架都有自己渲染的方式,假设一个页面的状态,随着Ajax请求的放松,状态发生改变,有以下的两种方式供你选择&#…...
【设计模式之迭代器模式 -- C++】
迭代器模式 – 遍历集合，无需暴露 迭代器模式是一种设计模式，用于顺序访问集合对象的元素，而无需暴露其底层实现。迭代器模式分离了集合对象的遍历行为，使得访问元素时，可以不必了解集合对象的底层实现。 组成 迭代…...
Linux网络编程：套接字编程
1.Socket套接字编程 1.1.什么是socket套接字编程 Socket套接字编程 是一种基于网络层和传输层网络通信方式，它允许不同主机上的应用程序之间进行双向的数据通信。Socket是网络通信的基本构件，它提供了不同主机间的进程间通信端点的抽象。一个Socket就是…...
多电商账户为什么要用指纹浏览器？
随着电子商务的蓬勃发展，越来越多的商家选择开设多店来扩大经营规模。然而多店运营也带来了一系列的挑战，其中之一就是账号安全。 1. 了解反检测浏览器和代理服务器 在我们开始讨论如何有效地使用反检测浏览器之前，我们首先需要了解这两个工…...
用Rancher2.8.5部署K8s集群
参考：通过Rancher 2.7.5部署企业生产级K8s集群 新K8s集群的环境信息 Rancher1台，K8s集群6台（1台rancher，3台master，4台node）。 Name|lmage Name|IP Address|Flavor|Comment project-root-dev-rancher|Ro…...
NaViL-9B实战手册：健康检查API与服务异常定位全流程
NaViL-9B实战手册：健康检查API与服务异常定位全流程 1. 平台概览 NaViL-9B是由专业AI研究机构开发的原生多模态大语言模型，能够同时处理纯文本问答和图片理解任务。该模型特别针对中文场景优化，支持中英文混合输入，为开发者提供…...
24小时运行验证：OpenClaw+ollama-QwQ-32B自动化监控脚本稳定性测试
24小时运行验证：OpenClawollama-QwQ-32B自动化监控脚本稳定性测试 1. 项目背景与目标设定 去年冬天的一个深夜，我被手机警报惊醒——某个关键商品的价格突然跌破了我的心理预期。手忙脚乱登录电商平台时，优惠早已结束。这次经历让我意识到&…...
语音合成延迟优化：IndexTTS-2-LLM网络IO调优实战
语音合成延迟优化：IndexTTS-2-LLM网络IO调优实战 1. 为什么语音合成总在“等”？从用户卡顿说起 你有没有试过在语音合成页面点下“开始合成”，然后盯着进度条数秒——明明只是一句话，却要等3秒、5秒，甚至更久&#x…...
Postiz消息队列：任务优先级与重试机制的终极指南
Postiz消息队列：任务优先级与重试机制的终极指南 【免费下载链接】clickvote Add upvotes, likes, and reviews to any context ⭐️ 项目地址: https://gitcode.com/GitHub_Trending/cl/clickvote Postiz是一款功能强大的开源项目，专注于为开发者…...
告别拉伸变形！保姆级教程：为你的Unity Windows应用添加自定义窗口比例限制器
Unity Windows应用窗口比例锁定全攻略：从原理到避坑指南 你是否遇到过这样的尴尬场景——精心设计的UI在用户随意拉伸窗口后变得面目全非？作为Unity开发者，我们常常需要为Windows平台构建专业级应用，而窗口比例控制正是提升用户体…...
ISIS实验1
ISIS实验1网络拓扑配置一、AR1二、AR2三、测试1. 查看 IS-IS 邻居状态2. 查看 IS-IS 接口信息3. 查看 IS-IS 路由表4. 查看 IP 路由表中的 IS-IS 路由5. 查看链路状态数据库（LSDB）6. 检查：Level-1 区域一致性四、AR3五、AR4六、检测1. 通过链…...
【CPython 3.13无锁并发白皮书】：全球首批实测团队披露的4类典型崩溃场景与修复参数
第一章：Python 无锁 GIL 环境下的并发模型配置概览Python 的全局解释器锁（GIL）本质上限制了 CPython 中多线程对 CPU 密集型任务的并行执行能力。然而，“无锁 GIL 环境”并非指 GIL 被移除，而是指通过绕过 GIL 依赖的并…...
银河麒麟V4.0.2-sp4服务器到手后，这三步网络配置（IP/DNS/源）一个都不能少
银河麒麟V4.0.2-sp4服务器网络配置实战指南：从零搭建稳定运行环境 刚拿到一台预装银河麒麟V4.0.2-sp4操作系统的服务器时，许多运维工程师常会陷入"有设备却用不起来"的困境——无法远程连接、软件包安装失败、系统更新卡壳，这些问题…...
 :死锁解决与实战案例)
MySQL技巧(八) :死锁解决与实战案例
在数据库高并发场景下，死锁是一个绕不开的经典难题。两个或多个事务相互持有对方需要的锁，导致都无法继续执行，就像两辆车在狭窄路口互不相让。本文将带你从原理到实战，掌握死锁的排查、解决和预防全流程。一、死锁快速定位当应用…...
ArXiv：为何大模型无法拥有意识｜Erik Hoel
导语当AI能流畅谈论“自我感受”，当Anthropic赋予Claude“对话退出权”，我们是否可以说它有意识？2026年初，神经科学家Erik Hoel在ArXiv发布论文《大语言模型意识证伪：持续学习对意识存在的必要性》（A Dispr…...