VRP Versatile Routing Platform通用路由平台人话华为路由器、交换机、防火墙的操作系统。 电脑用 Windows手机用安卓 /iOS华为网络设备用 VRP。 咱们刚才学的 ACL就是在 VRP 系统里面敲命令配置的一、ACL 基础定义ACLAccess Control List访问控制列表ACL 是一系列有序规则的集合部署在路由器 / 交换机接口检查数据包头部字段匹配成功就执行permit允许放行或deny丢弃拒绝实现网络流量访问控制、过滤、基础安全防护。人话路由器的安检清单数据包过安检一条条对照符合就放行不符合扔掉。✅ ACL 作用选择题多选过滤 IP 报文控制内网 / 外网访问权限阻挡非法访问基础抗攻击拦截恶意 IP配合 QOS、NAT、策略路由做流量分类限制 Telnet/SSH 登录设备管理面防护信息安全高频❌ 不能做不能过滤经过路由器之后修改的报文内容只能看二层 / 三层 / 四层头部不检查报文载荷二、华为 ACL 完整分类表【选择题头号考点】这是你刚才那道题的核心必须背死编号 匹配条件ACL 类型编号范围匹配字段核心推荐部署位置基本 ACLIPv420002999✅仅源 IP 地址附加分片标记、时间段❌不能匹配目的 IP、端口、协议靠近目的端坑只知道来源不知道去哪如果放靠近源端容易误杀正常流量高级 ACLIPv430003999✅ 源 IP、目的 IP、协议 (TCP/UDP/ICMP)、源端口、目的端口、时间段、分片靠近源端精细匹配在源头直接丢弃非法包节省带宽二层 ACL40004999二层帧源 MAC、目的 MAC、VLAN 号、二层协议不看 IP交换机接口二层链路用户 ACLUCL50005999结合用户账号 IP / 端口认证接入场景考的极少口诀基本 2000只看源 IP高级 3000源目端口全都提二层 4000MACVLAN 来处理。⚠️超级大坑Cisco 标准 ACL 是 1~99软考信息安全现在考华为不要记 Cisco 编号三、ACL 匹配机制【必考选择 案例简答】1. 匹配顺序规则编号从小到大依次匹配数据包逐条比对规则一旦匹配上某一条规则立刻执行动作后面所有规则不再继续匹配 重点精确、范围小的规则编号要写在前面宽泛规则放后面。举例 rule 5 deny source 192.168.1.1 0.0.0.0 禁止单台主机 rule 10 permit source 192.168.1.0 0.0.0.255允许整个网段 如果反过来先允许整个网段那么 192.168.1.1 这条 deny永远不会生效2. 隐含默认规则地狱级坑点每年必考所有 ACL 末尾自带一条隐藏规则deny any含义数据包前面所有规则都没有匹配成功 → 直接拒绝丢弃。 ✅ 如果你想放行所有没匹配的流量必须手动写一条rule permit ip放在 ACL 最后。3. 规则编号步长华为默认步长 5rule 5, rule10, rule15…… 留空隙方便后续插入新规则比如可以插入 rule 7。四、反掩码通配符掩码 wildcard mask【计算题考点】ACL 里面写的不是子网掩码是反掩码软考经常考解读。 反掩码 255.255.255.255 − 子网掩码0代表必须严格匹配这个位255代表忽略不检查这个位例子主机 192.168.1.1192.168.1.1 0.0.0.00 代表每一位都要完全匹配网段 192.168.1.0/24192.168.1.0 0.0.0.255any0.0.0.0 255.255.255.255所有 IP选择题坑把子网掩码直接当成 ACL 掩码选项迷惑你。五、接口应用方向inbound /outbound案例大题考点ACL 创建完成不会生效必须绑定到接口并且指定方向inbound入方向数据包进入路由器 / 交换机接口之前过滤。包刚进设备就安检。outbound出方向数据包离开接口之前过滤。包已经路由完成准备送出设备的时候安检。部署口诀高级 ACL 放源端接口 inbound源头拦掉坏包不浪费设备算力转发基本 ACL 放目的端接口 outbound因为基本 ACL 只看源 IP如果在入方向拦容易误拦截六、华为基础配置命令选择题、案例读代码必考不用默写但要看得懂① 创建基本 ACL2000-2999acl number 2000 rule deny source 192.168.2.0 0.0.0.255 rule permit source any解读ACL2000拒绝 192.168.2.0 网段允许其他所有源 IP。② 创建高级 ACL3000-3999可匹配目的 IP 端口acl number 3001 rule deny tcp source 192.168.1.0 0.0.0.255 destination 10.0.0.10 0 eq 80解读拒绝 192.168.1.0 网段访问 10.0.0.10 的 TCP 80http端口。③ 在接口上应用 ACL生效关键选择题常挖坑创建 ACL 不绑定接口 完全无效interface GigabitEthernet 0/0/1 traffic-filter inbound acl 2000含义在 G0/0/1 接口的入方向应用 ACL2000。坑点ACL 只在绑定了的接口生效其他接口不受影响七、高频坑点合集错题本软考 90% 丢分在这里❌ 基本 ACL 能匹配目的 IP / 端口错基本 ACL 只能匹配源 IP。❌ ACL 匹配到一条规则后继续往下匹配其他规则错命中即停止。❌ ACL 创建好就自动生效错必须绑定接口 指定方向。❌ 没有匹配任何规则的报文默认允许通过错隐含 deny any全部丢弃。❌ 基本 ACL 部署在靠近源主机接口错尽量放靠近目的。❌ 高级 ACL 编号 2000-2999错高级 3000 起。❌ ACL 可以检测病毒、检查报文里面的文件内容错ACL 只检查报文头部。❌ 反掩码 子网掩码错反掩码是 255 减子网掩码。八、题型分类 答题模板✅ 题型 1选择题你刚才的那一类题干问ACL 编号能匹配什么字段判断描述对错。解题思路先看编号 → 判断是基本 / 高级 / 二层再看匹配条件。✅ 题型 2判断题重点坑匹配顺序、隐含 deny、基本 ACL 匹配条件。✅ 题型 3案例简答题信息安全案例大题问题简述 ACL 的工作原理标准简答模板直接背 ACL 是一组有序规则集合绑定在网络设备接口数据包按规则编号从小到大逐条匹配匹配成功执行 permit 允许或 deny 拒绝一旦匹配成功就终止后续规则ACL 末尾隐含 deny any所有未匹配报文默认丢弃以此实现流量访问控制。问题基本 ACL 和高级 ACL 的区别模板编号基本 ACL 2000~2999高级 ACL3000~3999匹配条件基本 ACL仅源 IP高级 ACL 可匹配源 IP、目的 IP、协议、端口等四层信息部署位置基本 ACL 靠近目的端高级 ACL 靠近源端✅ 题型 4配置解读题给一段华为命令问这条规则作用解题步骤看 acl number判断类型看动作 permit/deny看源 IP有没有目的 IP、端口看 traffic-filter 的 inbound/outbound判断在哪个接口哪个方向生效