对于企业网络，经常会用到访问控制，例如 限制员工的上网时间 ？或如何 控制各部门之间的网络互通等等 ，在实际企业网络项目中经常会遇到，这里面我们就可以用到 ACL访问列表控制 了，本期我们一起来看下，如何利用ACL禁止外网访问公司内网服务器。

一、什么是ACL？

首先我们来了解下ACL，ACL即访问控制列表，那么它有什么作用呢？

(ACL) 访问控制列表是一种基于包过滤的 访问控制技术，它可以根据 设定的条件 对接口上的 数据包进行过滤 ，允许其 通过或丢弃 。

访问控制列表被广泛地应用于 路由器 和 三层交换机 ，借助于访问控制列表，可以有效地 控制用户对网络的访问 ，从而最大程度地 保障网络安全 。

例如：

为了某部门的保密性，不允许其访问外网，也不允许外网访问它，就可以通过ACL实现。那么我们来看下实例，如何利用ACL实现禁止外网访问公司内网服务器。

二、ACL禁止外网访问公司内网服务器

几乎大部分公司都有自己内部服务器，里面有一些公司保密性的内容，只供内部员工进入， 禁止外部网络访问 ，大部分公司都会做这样的 限制 ，我们来看下这个华为的实例。

一、实例要求

某公司通过交换机实现各部门之间的互连。要求只允许公司内网用户可以访问内网中的财务服务器，外网用户不允许访问。

二、配置步骤

1、配置接口加入VLAN，并配置VLANIF接口的IP地址

# 将 GE1/0/1～GE1/0/3 分别加入VLAN10、20、30，这三个vlan中，也就是给公司三个部门各分配一个vlan。

GE2/0/1加入VLAN100，并配置各VLANIF接口的IP地址，也就是 内网财务服务器 的端口单独加一个vlan

下面配置以GE1/0/1和VLANIF 10接口

下面配置以GE1/0/2和VLANIF 20接口

下面配置以GE1/0/3和VLANIF30接口

下面配置以GE2/0/1和VLANIF100接口

那么所有的部分对应的接口都已经配置完了。

这里面说下VLAN与VLANIF的区别：

通俗的说，vlan就是一个二层的接口。

VLANIF 就是创建三层接口，可以在上面配置IP的，上面的例子就配置了ip，通常这个接口地址作为vlan下面用户的网关。

2、配置ACL

# 创建高级ACL 3002并配置ACL规则，允许位于内网的 总裁办公室 、 市场部 和 研发部 访问 财务服务器 的报文通过， 拒绝外网用户访问 财务服务器的报文通过。

3、配置基于ACL的流分类

# 配置流分类c_network，对匹配ACL 3002的报文进行分类。

4、配置流行为

# 配置流行为b_network，动作为允许报文通过（缺省值，不需配置）。

5、配置流策略

# 配置流策略p_network，将流分类c_network与流行为b_network关联。

6、应用流策略

# 由于内外网访问服务器的流量均从 接口GE2/0/1 出口 流向服务器 ，所以可以在GE2/0/1接口的出方向 应用流策略p_network 。