标准 ACL 和扩展 ACL 在考虑配置的作用对象上有什么区别

标准 ACL和扩展 ACL在配置的作用对象上有很大的区别。

标准 ACL是基于源IP地址来限制或允许流经路由器的数据包。因此，标准ACL通常被配置在接口的出口方向，以控制从该接口流出的数据包。标准ACL最常用的用途是限制某些特定的IP地址或IP地址段的访问，例如限制某些主机访问互联网。

扩展 ACL则更为灵活，它可以基于源IP地址、目的IP地址、协议类型、端口号等多种因素来限制或允许流经路由器的数据包。因此，扩展ACL通常被配置在接口的入口方向，以控制进入该接口的数据包。扩展ACL的常见用途包括限制某些协议或端口的访问，例如限制某些主机访问FTP服务器或WWW服务器。

因此，标准ACL和扩展ACL的配置对象不同，需要根据实际需求选择不同的ACL类型和配置方向。

相关问题

标准 ACL 和扩展 ACL 在考虑配置的作用对象上有什么区别？

标准ACL和扩展ACL的主要区别在于作用对象的不同。

标准ACL是根据源IP地址来限制或允许数据包的通过，它只能匹配源IP地址，不能匹配目的IP地址或协议类型等参数。因此，标准ACL的作用对象主要是源IP地址，可以用于限制或允许某些特定的主机或子网访问网络资源。

扩展ACL是根据源IP地址、目的IP地址、协议类型、端口号等参数来限制或允许数据包的通过。因此，扩展ACL的作用对象比较广泛，可以用于限制或允许某些特定的应用程序、协议或服务访问网络资源。例如，可以使用扩展ACL来限制某些特定的应用程序或服务（如FTP、Telnet、SMTP等）的访问。

综上所述，标准ACL和扩展ACL在作用对象上的区别在于粒度的不同。标准ACL的作用对象比较单一，只能限制或允许某些特定的主机或子网访问网络资源；而扩展ACL的作用对象比较广泛，可以限制或允许某些特定的应用程序、协议或服务访问网络资源，具有更精细的控制能力。根据实际需求，可以选择合适的ACL类型来控制网络访问。

ensp 交换机acl配置命令

### ENSP 交换机 ACL 配置命令示例

在华为ENSP模拟环境中配置ACL（访问控制列表），可以实现基于不同条件的数据流过滤功能。对于标准ACL，主要依据源IP地址来决定数据包是否通过；而扩展ACL则提供了更精细的控制选项，能够根据源IP地址、目的IP地址、协议类型以及端口号码等多个参数进行流量筛选[^2]。

#### 创建并应用标准ACL
为了创建一条允许特定子网内主机发送的所有TCP报文进入网络的标准ACL规则，在全局模式下输入如下指令：

[Huawei] acl number 2000
[Huawei-acl-basic-2000] rule permit tcp source 192.168.1.0 0.0.0.255

这里`acl number 2000`定义了一个编号为2000的标准ACL实例，其中`rule permit tcp source 192.168.1.0 0.0.0.255`表示该条目用于匹配来自192.168.1.x这个C类私有IPv4地址段发起的所有TCP连接请求，并给予放行处理[^3]。

#### 扩展ACL的应用场景
当需要更加严格地管理进出某台服务器的数据通信时，则可采用扩展ACL来进行多维度的安全策略设定。下面的例子展示了如何阻止外部网络中的任意一台计算机向内部Web服务端口80发起HTTP GET请求的同时又不影响其他正常业务往来：

[Huawei] acl number 3000
[Huawei-acl-adv-3000] rule deny tcp any destination 172.16.10.10 0 eq www
[Huawei-acl-adv-3000] rule permit ip any any

上述脚本里先声明了一组ID号设为3000的新建高级ACL对象，接着利用两条独立却相互补充的规定实现了对外部攻击的有效防御——第一条语句明确拒绝了所有试图抵达位于局域网内的web server（假设其固定公网映射后的外网可见IP为172.16.10.10）上的httpd进程监听着的那个知名tcp端口的服务尝试；第二句话则是开放其余一切合法交互行为不受此限令约束。

#### 时间范围设置
如果希望某些ACL规则只在工作日的工作时间内生效，可以在相应的时间范围内指定这些规则的应用时段。例如，要使某个ACL仅在周一至周五上午八点到下午五点之间有效，可以通过以下方式完成配置：

[Huawei] time-range work_hours
[Huawei-time-range-work_hours] periodic weekday 08:00 to 17:00
[Huawei-time-range-work_hours] quit
[Huawei]interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] traffic-filter inbound acl 3000 time-range work_hours

这段代码片段首先建立了名为work_hours的时间区间描述符，指定了每日重复发生的一段时间间隔作为活动窗口；随后将其绑定到了具体的物理接口GE0/0/1之上，确保只有在这个预设周期之内才会对该链路上经过的数据实施由ACL 3000所规定的审查机制[^4]。