一、实验知识总结（模拟）

等价路由配置实验并抓包分析按流分析

实验拓扑图：

AR1配置：

<Huawei>sys
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.1 30
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 192.168.3.1 30
[Huawei-GigabitEthernet0/0/1]quit
[Huawei]ip route-static 3.3.3.3 32 192.168.1.2
[Huawei]ip route-static 3.3.3.3 32 192.168.3.2
[Huawei]int loopback 0
[Huawei-LoopBack0]ip address 1.1.1.1 32

AR2配置：

<Huawei>sys
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.2 30
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 192.168.2.1 30
[Huawei-GigabitEthernet0/0/1]quit
[Huawei]ip route-static 1.1.1.1 32 192.168.1.1
[Huawei]ip route-static 3.3.3.3 32 192.168.2.2

AR3配置：

<Huawei>sys
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 192.168.2.2 30
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 192.168.4.2 30
[Huawei-GigabitEthernet0/0/1]quit
[Huawei]ip route-static 1.1.1.1 32 192.168.2.1
[Huawei]ip route-static 1.1.1.1 32 192.168.4.1
[Huawei]int loopback 0
[Huawei-LoopBack0]ip address 3.3.3.3 32

AR4配置：

<Huawei>sys
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 192.168.4.1 30
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 192.168.3.2 30
[Huawei-GigabitEthernet0/0/1]quit
[Huawei]ip route-static 1.1.1.1 32 192.168.3.1
[Huawei]ip route-static 3.3.3.3 32 192.168.4.2

抓包（AR2的g0/0/0接口）：

建立回环地址（Loopback Address）主要有以下作用：

① 设备管理与测试：回环接口稳定，物理接口故障时，可借其远程登录设备管理；也用于测试网络连通性、验证路由可达性。

② 路由协议标识：在 OSPF 中常作 Router ID，因稳定保证拓扑计算一致；BGP 里可用其建邻居，避免物理接口地址变动中断邻居关系，增强稳定性。

③ 模拟虚拟节点：模拟虚拟服务器等，搭配路由、NAT 规则，测试网络策略与访问控制。

二、理论知识总结

1. ACL概述及应用场景

2. ACL包过滤的工作原理

2.1 思科ACL包过滤基本原理

2.2 华为/H3CACL包过滤基本原理

3. ACL的分类及应用

3.1 IP数据包字段匹配方法

3.1.1 数据包中的IP地址字段匹配

3.1.2 计算通配符

（1）通配符的本质

（2）3步快速计算法（以 “匹配 192.168.1.0/24 网段” 为例）

（3）规律

3.1.3 TCP/UDP包中的端口字段匹配

3.2 ACL分类

① 传统标准ACL

分类依据：根据数据包中的源IP地址分类数据

增删改：只能按照顺序增加，不能从中间新增，删除一个规则即删除整条ACL

② 命名标准ACL

分类依据：根据数据包中的源IP地址分类数据

增删改：每条ACL中的规则都有唯一序号，按照序号从小到大依次匹配，可以按序号新增，也可以单独删除某一条规则

③ 传统扩展ACL

分类依据：可以根据数据包中的五元组来分类数据（源、目的IP、协议号、源、目端口号）

增删改：只能按照顺序增加，不能从中间新增，删除一个规则即删除整条ACL

④命名扩展ACL

分类依据：可以根据数据包中的五元组来分类数据（源、目的IP、协议号、源、目端口号）

增删改：每条ACL中的规则都有唯一序号，按照序号从小到大依次匹配，可以按序号新增，也可以单独删除某一条规则

       简单说，标准管 “源 IP”，扩展管 “五元组”；传统改规则麻烦，命名靠序号灵活增删 ，按需选就能精准控网络流量。

3.3 传统ACL

3.4 命名ACL

4. ACL高级应用

4.1 基于时间ACL配置案例

4.2 自反ACL

核心逻辑：“谁主动往外发，就给谁开对应的返回通道；没通道的，一律不让进”。

总结：