540.如下图所示的网络,从安全角府考虑,路由器 A 拒接从 G0/0/1 接口收到的OSPF 报文、 GRE 报文、ICMP 报文, 以下哪些命令可以实现这个需求?

　Acl number 3000Rule 5 deny greRule 10 deny ospf rule 15 deny icmpInterfaceGigabitEthernet0/0/1Traffic-filter inboundacl 3000

　Acl number 3000Rule 5 deny greRule 10 deny 89Rule 15 deny icmpInterfaceGigabitEthernet0/0/1Traffic-filter inbound acl 3000

　Acl number 2000Rule 5 deny 47Rule 10 deny 89Rule 15 deny 1Interface GigabitEthernet0/0/1Traffic- filter inbound acl 2000

　Acl number 3000Rule 5 deny 47Rule 10 deny 89Rule 15 deny 1Interface GigabitEthernet0/0/1Traffic- filter inbound acl 3000

答案解析

正确答案：ABD

解析：

这是一道关于华为网络设备配置 ACL（访问控制列表）以实现安全策略的题目。我们需要分析如何通过 ACL 拒绝特定的协议报文，并确定正确的 ACL 类型和配置命令。 ### 1. 核心知识点分析 * **ACL 类型选择**： * **基本 ACL (2000-2999)**：仅能基于源 IP 地址进行过滤。 * **高级 ACL (3000-3999)**：可以基于源/目的 IP 地址、源/目的端口号、**协议类型**等进行过滤。 * 题目要求根据**协议类型**（GRE, OSPF, ICMP）进行过滤，因此必须使用**高级 ACL (3000-3999)**。 * **结论**：选项 C 使用了 `acl number 2000`，这是基本 ACL，无法识别协议类型，因此 **C 错误**。 * **协议对应的数值或关键字**：在华为 VRP 系统中，高级 ACL 可以通过协议名称或协议号来指定协议： * **GRE (Generic Routing Encapsulation)**： * 协议号：**47** * 关键字：`gre` * **OSPF (Open Shortest Path First)**： * 协议号：**89** * 关键字：`ospf` * **ICMP (Internet Control Message Protocol)**： * 协议号：**1** * 关键字：`icmp` * **应用方向**： * 题目要求拒绝从 `G0/0/1` 接口**收到**的报文。 * 在接口视图下，`traffic-filter inbound` 表示对进入该接口的流量进行过滤。所有选项均使用了 `inbound`，方向正确。 ### 2. 选项逐一解析 **选项 A:** ```text Acl number 3000 Rule 5 deny gre Rule 10 deny ospf Rule 15 deny icmp Interface GigabitEthernet0/0/1 Traffic-filter inbound acl 3000 ``` * **ACL 类型**：3000（高级 ACL），正确。 * **规则匹配**：直接使用协议关键字 `gre`、`ospf`、`icmp`。华为设备支持这种配置方式。 * **应用**： inbound 方向应用 ACL 3000。 * **结果**：**正确**。 **选项 B:** ```text Acl number 3000 Rule 5 deny gre Rule 10 deny 89 Rule 15 deny icmp Interface GigabitEthernet0/0/1 Traffic-filter inbound acl 3000 ``` * **ACL 类型**：3000（高级 ACL），正确。 * **规则匹配**： * `deny gre`：使用关键字，正确。 * `deny 89`：使用 OSPF 的协议号 89，正确。 * `deny icmp`：使用关键字，正确。 * **应用**： inbound 方向应用 ACL 3000。 * **结果**：**正确**。 **选项 C:** ```text Acl number 2000 ... ``` * **ACL 类型**：2000（基本 ACL）。 * **错误原因**：基本 ACL 只能匹配源 IP 地址，不能在 rule 中直接指定协议号（如 47, 89, 1）或协议名称。配置语法上也是错误的（基本 ACL 的 rule 格式通常为 `rule [permit/deny] source ...`）。 * **结果**：**错误**。 **选项 D:** ```text Acl number 3000 Rule 5 deny 47 Rule 10 deny 89 Rule 15 deny 1 Interface GigabitEthernet0/0/1 Traffic-filter inbound acl 3000 ``` * **ACL 类型**：3000（高级 ACL），正确。 * **规则匹配**：全部使用协议号。 * `deny 47`：对应 GRE，正确。 * `deny 89`：对应 OSPF，正确。 * `deny 1`：对应 ICMP，正确。 * **应用**： inbound 方向应用 ACL 3000。 * **结果**：**正确**。 ### 3. 最终结论能够实现“从 G0/0/1 接口收到的 OSPF、GRE、ICMP 报文”被拒绝的配置是 A、B、D。 * **A** 使用全关键字。 * **B** 混合使用关键字和协议号。 * **D** 使用全协议号。 * **C** 错误地使用了基本 ACL。 **正确答案：ABD**