實驗目的

模擬器有三臺主機PC，是PC1,PC2,PC3我們分別使用基本ACL高級ACL和二層ACL來實現一些訪問控制，用戶可自行體會其中的差別

實驗拓補

前半段

開始前，我們首先讓三臺PC獲取IP地址，方便后面的實驗

system-view//進入系統視圖
Entersystemview,returnuserviewwithCtrl+Z.
[Huawei]undoinfo-centerenable
Info:Informationcenterisdisabled.
[Huawei]sysnameCORE//命名設備
[CORE]vlanbatch102030//創建三個vlan，102030
Info:Thisoperationmaytakeafewseconds.Pleasewaitforamoment...done.
[CORE]dhcpenable
Info:Theoperationmaytakeafewseconds.Pleasewaitforamoment.done.

[CORE]interfaceVlanif10//進入vlanif10
[CORE-Vlanif10]ipaddress192.168.10.25424//配置IP地址
[CORE-Vlanif10]dhcpselectinterface//dhcp的方式是基于接口
[CORE-Vlanif10]quit

[CORE]interfaceVlanif20
[CORE-Vlanif20]ipaddress192.168.20.25424
[CORE-Vlanif20]dhcpselectinterface
[CORE-Vlanif20]quit

[CORE]interfaceVlanif30
[CORE-Vlanif30]ipaddress192.168.30.25424
[CORE-Vlanif30]dhcpselectinterface
[CORE-Vlanif30]quit

[CORE]interfaceGigabitEthernet0/0/1
[CORE-GigabitEthernet0/0/1]portlink-typeaccess//設置鏈路類型為ACCESS
[CORE-GigabitEthernet0/0/1]portdefaultvlan10//劃分至vlan10
[CORE-GigabitEthernet0/0/1]quit

[CORE]interfaceGigabitEthernet0/0/2
[CORE-GigabitEthernet0/0/2]portlink-typeaccess
[CORE-GigabitEthernet0/0/2]portdefaultvlan20
[CORE-GigabitEthernet0/0/2]quit

[CORE]interfaceGigabitEthernet0/0/3
[CORE-GigabitEthernet0/0/3]portlink-typeaccess
[CORE-GigabitEthernet0/0/3]portdefaultvlan30
[CORE-GigabitEthernet0/0/3]quit
[CORE]

基本ACL（2000-2999）

實驗目的：禁止192.168.30.253的IP地址的主機訪問192.168.10.253的主機

[CORE]acl2000//創建基本ACL，編號是2000
[CORE-acl-basic-2000]step10//設置步長為10
[CORE-acl-basic-2000]rudenysource192.168.30.2530.0.0.0//拒絕192.168.30.253的IP報文
[CORE-acl-basic-2000]quit
[CORE]interfaceGigabitEthernet0/0/1
[CORE-GigabitEthernet0/0/1]traffic-filteroutboundacl2000//你G0/0/1的出端口調用ACL2000

高級ACL（3000-3999）

實驗目的：禁止IP地址是192.168.30.0的網段訪問192.168.10.253的主機

[CORE]acl3000
[CORE-acl-adv-3000]ruledenyipsource192.168.30.00.0.0.255destination192.16
8.10.2530.0.0.0
[CORE-acl-adv-3000]quit

[CORE]interfaceGigabitEthernet0/0/1
[CORE-GigabitEthernet0/0/1]traffic-filteroutboundacl3000

二層ACL（4000-4999）

實驗目的：禁止MAC地址是5489-98d2-1bdd的主機訪問MAC地址為5489-9834-1372的主機

注：這里的設計有問題，在三層交換機上，只有兩臺主機在同一vlan下才可以實現，不過思路還是這個思路。

這里發生了個有趣的事情，ENSP模擬器宛如ZZ一樣，怎么都實現不了想要的效果，還以為配置有問題，重新增加交換機和主機測試就OK了，所以模擬器還是有很多潛在的BUG的。

哈哈，其實是我錯了，我要留下這段話。

[CORE]acl4001
[CORE-acl-L2-4001]ruledenysource-mac5489-98d2-1bdddestination-mac5489-9834
-1372
[CORE-acl-L2-4001]quit

[CORE]interfaceGigabitEthernet0/0/1
[CORE-GigabitEthernet0/0/1]traffic-filteroutboundacl4001
[CORE-GigabitEthernet0/0/1]quit

更正：天吶！這里犯了一個錯誤，其實這段代碼是實現不了互相禁止的，因為vlan10和vlan30屬于三層IP轉發，三層交換機上，如果是同一vlan下是可以用ACL4000實現的（同一vlan轉發不涉及三層轉發）。所以有三層交換機的時候我們盡量用高級ACL來做（3000-3999）.

常用ACL

審核編輯：湯梓紅