以下是基于华为VRP系统eNSP模拟器常用编写的上述5道练习题的命令答案。配置说明高级ACL编号范围3000-3999。关键原则通常将ACL应用在离源地址最近的路由器接口入方向Inbound。练习题 1基础源目的IP限制需求禁止 PC1 (10.10.10.10) 访问 AR3 的 Loopback0 (3.3.3.3)。在 AR1 上配置[AR1]acl3000[AR1-acl-adv-3000]rule denyipsource10.10.10.100destination3.3.3.30[AR1-acl-adv-3000]rule permitip# 华为默认末尾允许显式写出更清晰[AR1-acl-adv-3000]quit[AR1]interface GigabitEthernet0/0/1[AR1-GigabitEthernet0/0/1]traffic-filter inbound acl3000练习题 2指定子网访问控制通配符掩码需求禁止 PC5 所在子网 (10.10.10.128/25) 访问 PC3 (10.10.30.10)。解析掩码 /25 是255.255.255.128对应的反掩码Wildcard Mask是0.0.0.127。在 AR1 上配置[AR1]acl3001[AR1-acl-adv-3001]rule denyipsource10.10.10.1280.0.0.127 destination10.10.30.100[AR1-acl-adv-3001]quit[AR1]interface GigabitEthernet0/0/1[AR1-GigabitEthernet0/0/1]traffic-filter inbound acl3001练习题 3特定协议与服务端口限制需求禁止 PC2 (10.10.20.10) Telnet 访问 AR2 的接口地址但允许 Ping。在 AR1 上配置[AR1]acl3002# 拒绝发往AR2两个主要接口IP的TCP 23端口流量[AR1-acl-adv-3002]rule deny tcpsource10.10.20.100destination10.10.12.20destination-port eq23[AR1-acl-adv-3002]rule deny tcpsource10.10.20.100destination10.10.30.2540destination-port eq23[AR1-acl-adv-3002]quit[AR1]interface GigabitEthernet0/0/2[AR1-GigabitEthernet0/0/2]traffic-filter inbound acl3002练习题 4基于ICMP类型的细粒度控制需求禁止 PC3 (10.10.30.10) Ping 通 PC1 (10.10.10.10)但允许反向 Ping 通。解析Ping 使用 ICMP 协议。禁止 Ping 的关键是拦截echo请求type 8而不拦截echo-replytype 0。在 AR2 上配置[AR2]acl3003# 拒绝PC3发出的ICMP Echo请求[AR2-acl-adv-3003]rule deny icmpsource10.10.30.100destination10.10.10.100icmp-typeecho[AR2-acl-adv-3003]quit[AR2]interface GigabitEthernet0/0/2[AR2-GigabitEthernet0/0/2]traffic-filter inbound acl3003练习题 5综合业务流量过滤需求允许 PC1 访问 PC3 的 Web 服务TCP 80禁止 10.10.10.0/24 访问 AR3 (10.10.23.3)。在 AR1 上配置[AR1]acl3004# 规则1先放行特定主机的特定服务必须放在拒绝整网段规则之前[AR1-acl-adv-3004]rule5permit tcpsource10.10.10.100destination10.10.30.100destination-port eq80# 规则2拒绝整个10网段访问AR3[AR1-acl-adv-3004]rule10denyipsource10.10.10.00.0.0.255 destination10.10.23.30[AR1-acl-adv-3004]quit[AR1]interface GigabitEthernet0/0/1[AR1-GigabitEthernet0/0/1]traffic-filter inbound acl3004 常用检查命令查看 ACL 规则及匹配统计display acl 3000查看接口下 ACL 应用情况display traffic-filter applied-record如果在实验中发现不生效请检查各路由器之间的静态路由或OSPF 动态路由是否已配置确保在没有 ACL 的情况下全网是互通的。基于更复杂的网络管理需求5道高级ACL实操练习题。这组题目增加了基于时间段Time-range、FTP/UDP协议细化控制以及网络拓扑安全加固的场景。练习题 6基于时间段的访问控制实验需求公司规定PC1 (10.10.10.10)在工作时间周一至周五 08:30 到 18:00可以访问AR3 的 Loopback0 (3.3.3.3)但在非工作时间禁止访问以减少非业务流量。考核点time-range的定义与 ACL 规则的关联。建议配置位置AR1。练习题 7FTP 服务精确访问控制实验需求假设 AR3 开启了 FTP 服务用于备份配置文件。要求配置 ACL 允许PC2 (10.10.20.10)访问AR3 (3.3.3.3)的 FTP 服务但禁止10.10.10.0/24 网段的所有主机访问该 FTP 服务。注意FTP 使用 TCP 21 端口进行控制。考核点特定协议端口FTP/21的过滤及不同网段的权限差异。建议配置位置AR1 或 AR2。练习题 8防止网络探测Tracert 限制实验需求为了隐藏网络路径要求在 AR1 上进行配置禁止任何外部主机如 PC2、PC3通过Tracert探测到PC1 (10.10.10.10)。提示Tracert 在 Windows 上通常使用 ICMP而在路由器/Linux上通常使用高位 UDP 端口33434及以上。这里请针对 UDP 端口进行拦截。考核点UDP 协议范围控制端口号范围匹配。建议配置位置AR1 的 GE 0/0/0 入方向。练习题 9防止子网间的“横向移动”攻击实验需求安全审计要求限制不同业务网段间的直接互访。禁止10.10.20.0/24 (PC2所在)网段的主机访问10.10.10.0/24 (PC1/PC5所在)网段内的任何主机但允许10.10.20.0/24访问AR3 (3.3.3.3)。考核点子网对子网的流量隔离。建议配置位置AR1 的 GE 0/0/2 入方向。练习题 10管理平面保护针对设备自身的ACL实验需求只允许管理员主机PC3 (10.10.30.10)能够Telnet到AR1 (1.1.1.1)进行设备管理。禁止网络中其他任何主机PC1, PC2, PC5Telnet 到 AR1。考核点ACL 与 用户界面User-interface vty的结合使用。建议配置位置AR1应用在 VTY 线路中。 答案参考华为命令答案 6 (时间段):[AR1]time-range worktime 08:30 to18:00 working-day[AR1]acl3005[AR1-acl-adv-3005]rule permitipsource10.10.10.100destination3.3.3.30time-range worktime[AR1-acl-adv-3005]rule denyipsource10.10.10.100destination3.3.3.30[AR1]interface g0/0/1[AR1-GigabitEthernet0/0/1]traffic-filter inbound acl3005答案 7 (FTP控制):[AR3]acl3006[AR3-acl-adv-3006]rule permit tcpsource10.10.20.100destination3.3.3.30destination-port eq21[AR3-acl-adv-3006]rule deny tcpsource10.10.10.00.0.0.255 destination3.3.3.30destination-port eq21[AR3]interface g0/0/1[AR1-GigabitEthernet0/0/1]traffic-filter inbound acl3006答案 8 (防止Tracert):[AR1]acl3007# 拦截UDP高位端口探测[AR1-acl-adv-3007]rule deny udp destination-port range3343433534[AR1]interface g0/0/0[AR1-GigabitEthernet0/0/0]traffic-filter inbound acl3007答案 9 (子网隔离):[AR1]acl3008[AR1-acl-adv-3008]rule denyipsource10.10.20.00.0.0.255 destination10.10.10.00.0.0.255[AR1]interface g0/0/2[AR1-GigabitEthernet0/0/2]traffic-filter inbound acl3008答案 10 (VTY安全):[AR1]acl2000# 管理访问通常用基本ACL即可也可以用高级ACL 3009[AR1-acl-basic-2000]rule permitsource10.10.30.100[AR1-acl-basic-2000]rule denysourceany[AR1]user-interface vty04[AR1-ui-vty0-4]acl2000inbound为了确保上述10道ACL练习题的配置正确生效以下是一份详尽的测试说明书。它将指导你如何通过“正向验证”允许的流量和“反向验证”拒绝的流量来确认实验结果。综合实验测试说明书 (高级ACL验证)一、 验证工具准备终端工具使用 eNSP 中 PC 的Command 命令行或路由器的ping/telnet命令。抓包工具在 AR1 的 GE 0/0/0、0/0/1 接口开启 Wireshark 抓包观察报文丢弃。状态检查所有测试前请确保display ip routing-table能够看到全网路由。二、 逐题测试步骤与预期结果1. 基础限制测试 (PC1 访问 AR3 Loopback0)测试动作在PC1命令行执行ping 3.3.3.3。预期结果请求超时Destination Host Unreachable/Timeout。对比测试在PC2命令行执行ping 3.3.3.3。预期结果成功。2. 子网掩码匹配测试 (PC5 访问 PC3)测试动作在PC5(10.10.10.192) 执行ping 10.10.30.10。预期结果失败匹配了 128/25 的 deny 规则。对比测试在PC1(10.10.10.10) 执行ping 10.10.30.10。预期结果成功。3. 服务限制测试 (PC2 Telnet AR2)测试动作 1在PC2执行telnet 10.10.12.2。预期结果连接失败。测试动作 2在PC2执行ping 10.10.12.2。预期结果成功。4. ICMP 细粒度控制测试 (单向 Ping)测试动作 1在PC3执行ping 10.10.10.10。预期结果失败Echo Request 被拦截。测试动作 2在PC1执行ping 10.10.30.10。预期结果成功Echo Reply 未被拦截。5. 综合业务测试 (Web 与 整段限制)测试动作 1在PC1尝试连接PC3的 80 端口eNSP可用telnet 10.10.30.10 80模拟。预期结果成功/显示连接。测试动作 2在PC1或同一网段其他主机执行ping 10.10.23.3。预期结果失败。6. 时间段控制测试 (工作时间访问)环境准备在 AR1 使用命令clock datetime 10:00:00 2023-10-23(周一) 模拟上班时间使用clock datetime 20:00:00 2023-10-23模拟下班时间。测试动作分别在两个模拟时间点从PC1ping 3.3.3.3。预期结果上午 10 点成功晚上 8 点失败。7. FTP 精确控制测试环境准备AR3 需开启 FTP 服务 (ftp server enable) 并配置用户。测试动作 1在PC2执行ftp 3.3.3.3。预期结果出现登录提示。测试动作 2在PC1执行ftp 3.3.3.3。预期结果连接失败。8. 防探测测试 (Tracert 拦截)测试动作从PC2执行tracert 10.10.10.10。预期结果路径在到达 AR1 时出现* * *无法看到 PC1 的响应。9. 横向移动安全测试 (子网隔离)测试动作 1在PC2执行ping 10.10.10.10。预期结果失败。测试动作 2在PC2执行ping 3.3.3.3。预期结果成功。10. 管理平面安全测试 (VTY 限制)测试动作 1在PC3执行telnet 1.1.1.1。预期结果允许输入密码。测试动作 2在PC1或PC2执行telnet 1.1.1.1。预期结果连接被拒。三、 关键状态维护命令 (排错必用)如果在测试中发现结果不符合预期请按顺序使用以下命令查看规则匹配次数display acl all# 重点观察Matched times。如果匹配次数为0说明流量没有经过该ACL规则。查看接口应用状态display traffic-filter applied-record# 确认 ACL 是否应用在了正确的接口GE0/0/x和正确的方向inbound/outbound。重置匹配计数器用于重新测试时清除干扰reset acl counter all检查时间段是否生效display time-range all# 确认当前系统时间是否落在定义的时间范围内Active/Inactive。四、 常见失败原因分析全网路由不通在配置 ACL 之前没有确保全网 Ping 通导致无法区分是路由问题还是 ACL 拦截。反掩码配置错误例如10.10.10.0 0.0.0.255错写成255.255.255.0。规则顺序问题较窄的规则如主机规则被放到了较宽的规则如网段规则之后。应用方向错误在 GE 0/0/1 的outbound应用了拦截源为 PC1 的规则应为inbound。
ACL配置实验练习题
发布时间:2026/6/9 4:09:02
以下是基于华为VRP系统eNSP模拟器常用编写的上述5道练习题的命令答案。配置说明高级ACL编号范围3000-3999。关键原则通常将ACL应用在离源地址最近的路由器接口入方向Inbound。练习题 1基础源目的IP限制需求禁止 PC1 (10.10.10.10) 访问 AR3 的 Loopback0 (3.3.3.3)。在 AR1 上配置[AR1]acl3000[AR1-acl-adv-3000]rule denyipsource10.10.10.100destination3.3.3.30[AR1-acl-adv-3000]rule permitip# 华为默认末尾允许显式写出更清晰[AR1-acl-adv-3000]quit[AR1]interface GigabitEthernet0/0/1[AR1-GigabitEthernet0/0/1]traffic-filter inbound acl3000练习题 2指定子网访问控制通配符掩码需求禁止 PC5 所在子网 (10.10.10.128/25) 访问 PC3 (10.10.30.10)。解析掩码 /25 是255.255.255.128对应的反掩码Wildcard Mask是0.0.0.127。在 AR1 上配置[AR1]acl3001[AR1-acl-adv-3001]rule denyipsource10.10.10.1280.0.0.127 destination10.10.30.100[AR1-acl-adv-3001]quit[AR1]interface GigabitEthernet0/0/1[AR1-GigabitEthernet0/0/1]traffic-filter inbound acl3001练习题 3特定协议与服务端口限制需求禁止 PC2 (10.10.20.10) Telnet 访问 AR2 的接口地址但允许 Ping。在 AR1 上配置[AR1]acl3002# 拒绝发往AR2两个主要接口IP的TCP 23端口流量[AR1-acl-adv-3002]rule deny tcpsource10.10.20.100destination10.10.12.20destination-port eq23[AR1-acl-adv-3002]rule deny tcpsource10.10.20.100destination10.10.30.2540destination-port eq23[AR1-acl-adv-3002]quit[AR1]interface GigabitEthernet0/0/2[AR1-GigabitEthernet0/0/2]traffic-filter inbound acl3002练习题 4基于ICMP类型的细粒度控制需求禁止 PC3 (10.10.30.10) Ping 通 PC1 (10.10.10.10)但允许反向 Ping 通。解析Ping 使用 ICMP 协议。禁止 Ping 的关键是拦截echo请求type 8而不拦截echo-replytype 0。在 AR2 上配置[AR2]acl3003# 拒绝PC3发出的ICMP Echo请求[AR2-acl-adv-3003]rule deny icmpsource10.10.30.100destination10.10.10.100icmp-typeecho[AR2-acl-adv-3003]quit[AR2]interface GigabitEthernet0/0/2[AR2-GigabitEthernet0/0/2]traffic-filter inbound acl3003练习题 5综合业务流量过滤需求允许 PC1 访问 PC3 的 Web 服务TCP 80禁止 10.10.10.0/24 访问 AR3 (10.10.23.3)。在 AR1 上配置[AR1]acl3004# 规则1先放行特定主机的特定服务必须放在拒绝整网段规则之前[AR1-acl-adv-3004]rule5permit tcpsource10.10.10.100destination10.10.30.100destination-port eq80# 规则2拒绝整个10网段访问AR3[AR1-acl-adv-3004]rule10denyipsource10.10.10.00.0.0.255 destination10.10.23.30[AR1-acl-adv-3004]quit[AR1]interface GigabitEthernet0/0/1[AR1-GigabitEthernet0/0/1]traffic-filter inbound acl3004 常用检查命令查看 ACL 规则及匹配统计display acl 3000查看接口下 ACL 应用情况display traffic-filter applied-record如果在实验中发现不生效请检查各路由器之间的静态路由或OSPF 动态路由是否已配置确保在没有 ACL 的情况下全网是互通的。基于更复杂的网络管理需求5道高级ACL实操练习题。这组题目增加了基于时间段Time-range、FTP/UDP协议细化控制以及网络拓扑安全加固的场景。练习题 6基于时间段的访问控制实验需求公司规定PC1 (10.10.10.10)在工作时间周一至周五 08:30 到 18:00可以访问AR3 的 Loopback0 (3.3.3.3)但在非工作时间禁止访问以减少非业务流量。考核点time-range的定义与 ACL 规则的关联。建议配置位置AR1。练习题 7FTP 服务精确访问控制实验需求假设 AR3 开启了 FTP 服务用于备份配置文件。要求配置 ACL 允许PC2 (10.10.20.10)访问AR3 (3.3.3.3)的 FTP 服务但禁止10.10.10.0/24 网段的所有主机访问该 FTP 服务。注意FTP 使用 TCP 21 端口进行控制。考核点特定协议端口FTP/21的过滤及不同网段的权限差异。建议配置位置AR1 或 AR2。练习题 8防止网络探测Tracert 限制实验需求为了隐藏网络路径要求在 AR1 上进行配置禁止任何外部主机如 PC2、PC3通过Tracert探测到PC1 (10.10.10.10)。提示Tracert 在 Windows 上通常使用 ICMP而在路由器/Linux上通常使用高位 UDP 端口33434及以上。这里请针对 UDP 端口进行拦截。考核点UDP 协议范围控制端口号范围匹配。建议配置位置AR1 的 GE 0/0/0 入方向。练习题 9防止子网间的“横向移动”攻击实验需求安全审计要求限制不同业务网段间的直接互访。禁止10.10.20.0/24 (PC2所在)网段的主机访问10.10.10.0/24 (PC1/PC5所在)网段内的任何主机但允许10.10.20.0/24访问AR3 (3.3.3.3)。考核点子网对子网的流量隔离。建议配置位置AR1 的 GE 0/0/2 入方向。练习题 10管理平面保护针对设备自身的ACL实验需求只允许管理员主机PC3 (10.10.30.10)能够Telnet到AR1 (1.1.1.1)进行设备管理。禁止网络中其他任何主机PC1, PC2, PC5Telnet 到 AR1。考核点ACL 与 用户界面User-interface vty的结合使用。建议配置位置AR1应用在 VTY 线路中。 答案参考华为命令答案 6 (时间段):[AR1]time-range worktime 08:30 to18:00 working-day[AR1]acl3005[AR1-acl-adv-3005]rule permitipsource10.10.10.100destination3.3.3.30time-range worktime[AR1-acl-adv-3005]rule denyipsource10.10.10.100destination3.3.3.30[AR1]interface g0/0/1[AR1-GigabitEthernet0/0/1]traffic-filter inbound acl3005答案 7 (FTP控制):[AR3]acl3006[AR3-acl-adv-3006]rule permit tcpsource10.10.20.100destination3.3.3.30destination-port eq21[AR3-acl-adv-3006]rule deny tcpsource10.10.10.00.0.0.255 destination3.3.3.30destination-port eq21[AR3]interface g0/0/1[AR1-GigabitEthernet0/0/1]traffic-filter inbound acl3006答案 8 (防止Tracert):[AR1]acl3007# 拦截UDP高位端口探测[AR1-acl-adv-3007]rule deny udp destination-port range3343433534[AR1]interface g0/0/0[AR1-GigabitEthernet0/0/0]traffic-filter inbound acl3007答案 9 (子网隔离):[AR1]acl3008[AR1-acl-adv-3008]rule denyipsource10.10.20.00.0.0.255 destination10.10.10.00.0.0.255[AR1]interface g0/0/2[AR1-GigabitEthernet0/0/2]traffic-filter inbound acl3008答案 10 (VTY安全):[AR1]acl2000# 管理访问通常用基本ACL即可也可以用高级ACL 3009[AR1-acl-basic-2000]rule permitsource10.10.30.100[AR1-acl-basic-2000]rule denysourceany[AR1]user-interface vty04[AR1-ui-vty0-4]acl2000inbound为了确保上述10道ACL练习题的配置正确生效以下是一份详尽的测试说明书。它将指导你如何通过“正向验证”允许的流量和“反向验证”拒绝的流量来确认实验结果。综合实验测试说明书 (高级ACL验证)一、 验证工具准备终端工具使用 eNSP 中 PC 的Command 命令行或路由器的ping/telnet命令。抓包工具在 AR1 的 GE 0/0/0、0/0/1 接口开启 Wireshark 抓包观察报文丢弃。状态检查所有测试前请确保display ip routing-table能够看到全网路由。二、 逐题测试步骤与预期结果1. 基础限制测试 (PC1 访问 AR3 Loopback0)测试动作在PC1命令行执行ping 3.3.3.3。预期结果请求超时Destination Host Unreachable/Timeout。对比测试在PC2命令行执行ping 3.3.3.3。预期结果成功。2. 子网掩码匹配测试 (PC5 访问 PC3)测试动作在PC5(10.10.10.192) 执行ping 10.10.30.10。预期结果失败匹配了 128/25 的 deny 规则。对比测试在PC1(10.10.10.10) 执行ping 10.10.30.10。预期结果成功。3. 服务限制测试 (PC2 Telnet AR2)测试动作 1在PC2执行telnet 10.10.12.2。预期结果连接失败。测试动作 2在PC2执行ping 10.10.12.2。预期结果成功。4. ICMP 细粒度控制测试 (单向 Ping)测试动作 1在PC3执行ping 10.10.10.10。预期结果失败Echo Request 被拦截。测试动作 2在PC1执行ping 10.10.30.10。预期结果成功Echo Reply 未被拦截。5. 综合业务测试 (Web 与 整段限制)测试动作 1在PC1尝试连接PC3的 80 端口eNSP可用telnet 10.10.30.10 80模拟。预期结果成功/显示连接。测试动作 2在PC1或同一网段其他主机执行ping 10.10.23.3。预期结果失败。6. 时间段控制测试 (工作时间访问)环境准备在 AR1 使用命令clock datetime 10:00:00 2023-10-23(周一) 模拟上班时间使用clock datetime 20:00:00 2023-10-23模拟下班时间。测试动作分别在两个模拟时间点从PC1ping 3.3.3.3。预期结果上午 10 点成功晚上 8 点失败。7. FTP 精确控制测试环境准备AR3 需开启 FTP 服务 (ftp server enable) 并配置用户。测试动作 1在PC2执行ftp 3.3.3.3。预期结果出现登录提示。测试动作 2在PC1执行ftp 3.3.3.3。预期结果连接失败。8. 防探测测试 (Tracert 拦截)测试动作从PC2执行tracert 10.10.10.10。预期结果路径在到达 AR1 时出现* * *无法看到 PC1 的响应。9. 横向移动安全测试 (子网隔离)测试动作 1在PC2执行ping 10.10.10.10。预期结果失败。测试动作 2在PC2执行ping 3.3.3.3。预期结果成功。10. 管理平面安全测试 (VTY 限制)测试动作 1在PC3执行telnet 1.1.1.1。预期结果允许输入密码。测试动作 2在PC1或PC2执行telnet 1.1.1.1。预期结果连接被拒。三、 关键状态维护命令 (排错必用)如果在测试中发现结果不符合预期请按顺序使用以下命令查看规则匹配次数display acl all# 重点观察Matched times。如果匹配次数为0说明流量没有经过该ACL规则。查看接口应用状态display traffic-filter applied-record# 确认 ACL 是否应用在了正确的接口GE0/0/x和正确的方向inbound/outbound。重置匹配计数器用于重新测试时清除干扰reset acl counter all检查时间段是否生效display time-range all# 确认当前系统时间是否落在定义的时间范围内Active/Inactive。四、 常见失败原因分析全网路由不通在配置 ACL 之前没有确保全网 Ping 通导致无法区分是路由问题还是 ACL 拦截。反掩码配置错误例如10.10.10.0 0.0.0.255错写成255.255.255.0。规则顺序问题较窄的规则如主机规则被放到了较宽的规则如网段规则之后。应用方向错误在 GE 0/0/1 的outbound应用了拦截源为 PC1 的规则应为inbound。