一、實驗知識總結（模擬）

等價路由配置實驗并抓包分析按流分析

實驗拓撲圖：

AR1配置：

<Huawei>sys
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.1 30
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 192.168.3.1 30
[Huawei-GigabitEthernet0/0/1]quit
[Huawei]ip route-static 3.3.3.3 32 192.168.1.2
[Huawei]ip route-static 3.3.3.3 32 192.168.3.2
[Huawei]int loopback 0
[Huawei-LoopBack0]ip address 1.1.1.1 32

AR2配置：

<Huawei>sys
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.2?30
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 192.168.2.1 30
[Huawei-GigabitEthernet0/0/1]quit
[Huawei]ip route-static 1.1.1.1 32 192.168.1.1
[Huawei]ip route-static 3.3.3.3 32 192.168.2.2

AR3配置：

<Huawei>sys
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 192.168.2.2?30
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 192.168.4.2?30
[Huawei-GigabitEthernet0/0/1]quit
[Huawei]ip route-static 1.1.1.1 32 192.168.2.1
[Huawei]ip route-static 1.1.1.1?32 192.168.4.1
[Huawei]int loopback 0
[Huawei-LoopBack0]ip address 3.3.3.3?32

AR4配置：

<Huawei>sys
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 192.168.4.1 30
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 192.168.3.2?30
[Huawei-GigabitEthernet0/0/1]quit
[Huawei]ip route-static 1.1.1.1 32 192.168.3.1
[Huawei]ip route-static 3.3.3.3 32 192.168.4.2

抓包（AR2的g0/0/0接口）：

建立回環地址（Loopback Address）主要有以下作用：

① 設備管理與測試：回環接口穩定，物理接口故障時，可借其遠程登錄設備管理；也用于測試網絡連通性、驗證路由可達性。

② 路由協議標識：在 OSPF 中常作 Router ID，因穩定保證拓撲計算一致；BGP 里可用其建鄰居，避免物理接口地址變動中斷鄰居關系，增強穩定性。

③ 模擬虛擬節點：模擬虛擬服務器等，搭配路由、NAT 規則，測試網絡策略與訪問控制。

二、理論知識總結

1. ACL概述及應用場景

2. ACL包過濾的工作原理

2.1 思科ACL包過濾基本原理

2.2?華為/H3CACL包過濾基本原理

3. ACL的分類及應用

3.1 IP數據包字段匹配方法

3.1.1 數據包中的IP地址字段匹配

3.1.2 計算通配符

（1）通配符的本質

（2）3步快速計算法（以 “匹配 192.168.1.0/24 網段” 為例）

（3）規律

3.1.3?TCP/UDP包中的端口字段匹配

3.2 ACL分類

① 傳統標準ACL

分類依據：根據數據包中的源IP地址分類數據

增刪改：只能按照順序增加，不能從中間新增，刪除一個規則即刪除整條ACL

② 命名標準ACL

分類依據：根據數據包中的源IP地址分類數據

增刪改：每條ACL中的規則都有唯一序號，按照序號從小到大依次匹配，可以按序號新增，也可以單獨刪除某一條規則

③ 傳統擴展ACL

分類依據：可以根據數據包中的五元組來分類數據（源、目的IP、協議號、源、目端口號）

增刪改：只能按照順序增加，不能從中間新增，刪除一個規則即刪除整條ACL

④命名擴展ACL

分類依據：可以根據數據包中的五元組來分類數據（源、目的IP、協議號、源、目端口號）

增刪改：每條ACL中的規則都有唯一序號，按照序號從小到大依次匹配，可以按序號新增，也可以單獨刪除某一條規則

? ? ? ?簡單說，標準管 “源 IP”，擴展管 “五元組”；傳統改規則麻煩，命名靠序號靈活增刪 ，按需選就能精準控網絡流量。

3.3 傳統ACL

3.4 命名ACL

4. ACL高級應用

4.1 基于時間ACL配置案例

4.2 自反ACL

核心邏輯：“誰主動往外發，就給誰開對應的返回通道；沒通道的，一律不讓進”。

總結：

?