訪問控制列表ACL（Access Control List）可以定義一系列不同的規則，設備根據這些規則對數據包進行分類，並針對不同類型的報文進行不同的處理，從而可以實現對網絡訪問行為的控制。限制網絡流量、提高網絡性能、防止網絡攻擊等等。ACL可以通過定義規則來允許或拒絕流量的通過。ACL可以根據需求來定義過濾的條件以及匹配條件後所執行的動作。ACL分類根據不同的劃分規劃，ACL可以分為三類：● 基本ACL：可以使用報文的源IP位址、分片標記和時間段信息來匹配報文。其編號取值範圍是2000~2999。● 高級ACL：可以使用報文的源/目的IP位址、源/目的埠號以及協議類型等信息來匹配報文。高級ACL可以定義比基本ACL更準確、更豐富、更靈活的規則。其編號取值範圍是3000~3999。● 二層ACL：可以使用源/目的MAC地址以及二層協議類型等二層信息來匹配報文。其編號取值範圍是4000~4999。
ACL規則1、一個ACL可以由多條"deny|permit"語句組成，每一條語句描述了一條規則。設備收到數據流量後，會逐條匹配ACL規則。如果不匹配，則匹配下一條規則。一旦匹配成功，則執行規則中定義的動作。並不再繼續向後匹配。如果最終也沒找到可匹配的規則，就不會對報文進行任何處理。2、規則的匹配順序決定了規則的優先級，匹配順序分為"配置順序"和"自動排序"兩種。3、"配置順序"按ACL編號（rule-id）從小到大的順序進行匹配。路由器匹配規則時默認採用配置順序，默認規則編號的步長為5。4、"自動排序"使用"深度優先"的原則進行匹配，即根據規則的精確度排序。配置ACL1、如下圖拓撲，我們來演示一下ACL的配置方法。這裡部署了三個網絡，假設R2位於總部，R1與R3分別是兩個分支網絡，這三臺路由器通過廣域網相連。現在需要控制Telnet伺服器和FTP伺服器的使用權限，R1所在的網絡只能訪問Telnet伺服器，R3所在的網絡只能訪問FTP伺服器。
2、首先在SW1和SW2上配置VLAN和VLANIF接口IP位址。SW1:vlan 4int vlanif 4 ip address 10.0.4.254 24SW2:vlan 6int vlanif 6 ip address 10.0.6.254 243、在R1、R2和R3上配置相應的接口IP位址。R1:int g0/0/0 ip address 10.0.13.1 24R2:int g0/0/0 ip address 10.0.13.2 24int g0/0/1 ip address 10.0.4.2 24int g0/0/2 ip address 10.0.6.2 24R3:int g0/0/0 ip address 10.0.13.3 244、配置SW1和SW2連接路由器的埠為trunk埠，修改PVID使物理埠加入三層VLANIF邏輯接口。SW1：int g0/0/2 port link-type trunk port trunk allow-pass vlan all port trunk pvid vlan 4SW2int g0/0/2 port link-type trunk port trunk allow-pass vlan all port trunk pvid vlan 6
5、在R1、R2和R3上配置OSPF，三臺路由器均在區域0當中，並發布各自直連的網段信息。R1：ospf area 0 network 10.0.13.0 0.0.0.255R2:ospf area 0 network 10.0.4.0 0.0.0.255 network 10.0.6.0 0.0.0.255 network 10.0.13.0 0.0.0.255R3：ospf area 0 network 10.013.0 0.0.0.255
6、在SW1和SW2上配置預設靜態路由，指定下一跳為各自連接的路由器網關。SW1:ip route-static 0.0.0.0 0.0.0.0 10.0.4.2SW2:ip route-static 0.0.0.0 0.0.0.0 10.0.6.27、配置SW1為Telnet伺服器。telnet server enableuser-interface vty 0 4 protocol inbound all authentication-mode password set authentication password cipher huawei7、配置SW2為FTP伺服器。ftp server enableaaa local-user huawei password cipher huawei local-user huawei privilege level 3 local-user huawei service-type ftp local-user huawei ftp-directory flash:/8、在R2上配置ACL，只允許R1訪問Telnet伺服器，只允許R3訪問FTP伺服器。acl 3000 rule 5 permit tcp source 10.0.13.1 0.0.0.0 destination 10.0.4.254 0.0.0.0 destination-port eq 23 rule 10 permit tcp source 10.0.13.3 0.0.0.0 destination 10.0.6.254 0.0.0.0 destination-port range 20 21 rule 15 permit ospf rule 20 deny ip source any9、在R2的g0/0/0接口上應用ACLint g0/0/0 traffic-filter inbound acl 3000
10、驗證ACL匹配結果，在R1上分別登錄Telnet伺服器和FTP伺服器。可以看到在R1上只能訪問Telnet伺服器，無法訪問FTP伺服器，符合配置要求。
11、在R3上分別登錄Telnet伺服器和FTP伺服器。可以看到在R3上只能訪問FTP伺服器，無法訪問Telnet伺服器，符合配置要求。
網地址轉換NAT網絡地址轉換技術NAT（Network Address Translation）主要用於實現內部網絡主機訪問外部網絡的功能。通過NAT可以實現私網地址與公網地址的轉換。並且多個私網用戶可以共用一個公網地址，這樣即可保證網絡互通，又節省了公網IP位址。NAT是將IP數據報文頭部中的IP位址轉換為另一個IP位址的過程，一般部署在連接內網和外網的網關設備上。網關會創建一個NAT映射表，以便判斷從公網收到的報文應該發往的私網目的地址。NAT分類:● 靜態NAT：靜態NAT實現了私有地址和公有地址的一對一映射。這種一對一的IP位址映射無法緩解公用地址短缺的問題，也就是並不節省公網IP。● 動態NAT：動態NAT通過使用地址池來實現私有地址和公有地址的轉換，動態地址池中的地址耗盡以後，只能等待被佔用的公網IP被釋放以後，其它主機才能使用它來訪問公網。動態NAT同樣需要大量的公網IP位址。● NAPT：網絡地址埠轉換NAPT允許多個內部地址映射到同一個公有地址的不同埠。● Easy IP: Easy IP允許多個內部地址映射到網關接口地址上的不同埠。適用於小規模區域網中的主機訪問Internet場景。Easy IP只需要一個公網IP位址。● NAT伺服器：前面幾種都是內部訪問外部，NAT伺服器則可以使外網用戶訪問內網資源。配置NAT1、如下圖拓撲，我們在兩臺路由器R1和R2上配置NAT功能，使內網用戶可以訪問公網，在R1上配置動態NAT，在R2上配置Easy IP，實現地址轉換。
2、配置R1和R2與交換機相連的接口的IP位址。R1：int g0/0/1 ip address 10.0.4.1 24R2:int g0/0/1 ip address 10.0.6.2 243、在SW1和SW2上創建VLAN，並配置VLANIF接口地址。SW1:vlan 4vlanif 4 ip address 10.0.4.254 24SW2:vlan 6vlanif 6 ip address 10.0.6.254 244、在SW1和SW2上將連接路由器的埠配置為trunk埠，並通過修改PVID使物理口加入到VLANIF三層邏輯口。SW1:int g0/0/1 port link-type trunk port trunk pvid vlan 4 port trunk allow-pass vlan allSW2:int g0/0/1 port link-type trunk port trunk pvid vlan 6 port trunk allow-pass vlan all5、在R1和R2上配置連接廣域網的IP位址。R1:ip address 119.84.111.1 24R2:ip address 119.84.111.2 24
6、在R1上配置高級ACL，匹配特定流量進行NAT地址轉換，特定流量為SW1向R2發起的telnet連接的TCP流量，以及源IP為10.0.4.0 /24網段的IP數據流。acl 3000 rule 5 permit tcp 10.0.4.254 0.0.0.0 destination 119.84.111.2 0.0.0.0 destination-port eq 23 rule 10 permit tcp ip source 10.0.4.0 0.0.0.255 destination any rule 15 deny ip7、在R2上配置基本ACL，匹配需要進行NAT地址轉換的流量為源IP為10.0.6.0 /24網段的數據流。acl 2000 rule permit source 10.0.6.0 0.0.0.255
8、配置動態NAT，首先在SW1和SW2上配置預設靜態路由，指定下一跳為內網的網關。SW1:ip route-static 0.0.0.0 0.0.0.0 10.0.4.1SW2:ip route-static 0.0.0.0 0.0.0.0 10.0.6.29、在R1上配置動態NAT，首先配置地址池，然後在g0/0/0接口下將ACL與地址池進行關聯。使得匹配ACL3000的數據報文的源地址選用地址池中的某個地址進行NAT轉換。net address-group 1 119.84.111.240 119.84.111.243int g0/0/0 nat outbound 3000 address-group 110、將R2配置為Telnet伺服器。telnet server enableuser-interface vty 0 4authentication-mode passwordset authentication password cipher huawei11、在R1上查看地址池是否正確。dis nat address-group
12、在SW1上確認內網與外網的連通性。
13、在SW1上發起到公網的telnet連接，確認telnet連接成功。Telnet經過R1到公網再到R2。
14、在R1上查看NAT會話信息，可以看到源地址為SW1的VLANIF4的IP位址10.0.4.254，目的IP為R2的接口IP。
15、在R2的g0/0/0接口上配置Easy IP，並關聯ACL 2000int g0/0/0 nat outbound 200016、測試SW2經過R2連通R1。
17、到這裡NAT配置就演示完畢，在R1和R2上查看NAT類型，R1為PAT，P2為Easy IP。
本地AAA配置1、AAA是Authentication（認證）、Authorization（授權）和Accounting（計費）的簡稱。AAA可以通過多種協議來實現，目前華為設備支持基於RADIUS協議和HWTACACS協議來實現AAA。該技術可以用於驗證用戶帳戶是否合法，授權用戶可以訪問的服務，並記錄用戶使用網絡資源的情況。2、AAA支持三種認證方式：● 不認證：完全信任用戶，不對用戶身份進行合法性檢查。這種認證方式很少被採用。● 本地認證：將本地用戶信息（包括用戶名、密碼和各種屬性）配置在NAS上，本地認證的優點是處理速度快、運營成本低，缺點是存儲信息量受設備硬體條件限制。● 遠端認證：將用戶信息配置在認證伺服器上。AAA通過RADIUS協議或HWTACACS協議進行遠端認證。3、AAA支持三種授權方式：● 不授權：不對用戶進行授權處理。● 本地授權：根據NAS上配置的本地用戶帳號的相關屬性進行授權。● 遠端授權：使用RADIUS或HWTACACS對用戶授權。4、對於認證和授權，如果方案中使用了多種認證和授權方式，則按照配置順序生效。5、設備基於域來對用戶進行管理，每個域都可以配置不同的AAA方案。default域為普通用戶的預設域，default_admin域為管理用戶的預設域。用戶可以修改但不能刪除這兩個預設域。默認情況下，設備最多支持32個域，包括兩個預設域。6、下面我們以下圖中的拓撲為例，來演示一下AAA的簡單配置過程，我們需要在R1和R2兩臺路由器上配置本地AAA認證，並基於域來對用戶進行管理，並配置己認證用戶的權限級別。
7、首先為R1和R2配置好接口IP位址，並檢測連通性。8、在R1上配置認證方案為本地認證，授權方案為本地授權。aaaauthentication-scheme auth1 authentication-mode localauthorization-scheme auth2 authorization-mode local9、在R1上創建域"huawei"並將認證方案和授權與域進行關聯。然後創建一個用戶並將其加到域中。aaa domain huawei authentication-scheme auth1 authorization-scheme auth2local-user user1@huawei password cipher huaweilocal-user user1@huawei service-type telnetlocal-user user1@huawei privilege level 010、將R1配置為Telnet伺服器，認證模式為AAAtelnet server enableuser-interface vty 0 4authentication-mode aaa
11、從R2 Telnet登錄R1，驗證登錄需要經過AAA認證，同時由於用戶命令等級為0，所以登錄後無法執行命令。
12、在R2上同樣進行AAA配置，用戶為user2@huawei，用戶權限設置為3。
13、從R1 Telnet登錄R2，驗證登錄需要經過AAA認證，同時由於用戶命令等級為3，所以登錄後可以執行命令。