登
telnet 192.168.1.1
输入用户名，密码
acl number 3000 （如果不存在，创建访问列表；存在则添加一条限制）
允许192.168.1.99上网：
rule 10 permit ip source 192.168.1.99 0 destination 0.0.0.0 0.0.0.0
说明：192.168.1.99 0 表示允许192.168.1.99这台主机，0表示本机。
rule 规则编号 ip source 主机 反子网掩码 destination 目的IP 反子网掩码
如果要允许多个连续IP上网：
rule 11 permit ip source 192.168.1.16 0.0.0.15 destination 0.0.0.0 0.0.0.0
表示允许192.168.1.16/28 即:192.168.1.17-192.168.1.30可以上网
同样，可以限制某IP只能访问某一个网站：
例如，允许192.168.1.98这台主机只能访问www.baidu.com
rule 13 permit ip source 192.168.1.98 0 destination 121.14.89.14 0
某个网站的IP:可以打开命令提示符,ping www.baidu.com (以百度为例),
***本人注释：
要打开cmd，用：nslookup 网址 如：nslookup www.qq.com 才能把网址的ip查全。
****
最后不要忘记：
rule 14 deny any any 把不符合以上规则的数据都过滤掉，这样只有上面列出的ip才可以上网。
另:以上修改完毕后，要保存:save,然后重启路由器使设置生效。
写的不够详细，敬请原谅。
***
还有http://wenku.baidu.com/view/320c9df67c1cfad6195fa7e1.html
**
acl控制上网问题
我想通过acl控制上网，让局域网内的机器只能游览网页，并且控制个别机器（知道MAC）不能上网，交换机是华为6503，配置如下：
acl number 3001
rule permit tcp destination-port eq domain ;交换机本身的地址
rule permit udp destination-port eq dns ;允许dns查询(域名解析)
rule permit tcp destination-port eq telnet ;允许telnet外网设备
rule permit tcp destination-port eq www ;允许访问网页
rule permit tcp destination-port eq 443 ;允许访问加密网页,如银行业务QQ游戏
rule permit tcp destination-port eq ftp ;允许FTP下载(禁止21端口还是可以用Http下载文件的)
rule permit tcp destination-port eq pop3 ;允许POP3收信
rule permit tcp destination-port eq smtp ;允许SMTP发信
rule permit icmp ;允许ping外网ip,icmp用于在主机、路由器之间传递控制消息的协议(华为可通过UDP协议ping关换机)
rule deny ip ;其它都禁止
acl number 4000
rule deny ingress 0014-7849-414C egress any
rule deny ingress 0023-5A14-E221 egress any
acl number 4000和 acl number 3002都下发到端口后，发现MAC为0014-7849-414C 和0023-5A14-E221 机器还能上网（如果只下发acl number 4000，MAC为0014-7849-414C 和0023-5A14-E221 机器不能上网），怎么才能让MAC为0014-7849-414C 和0023-5A14-E221 机器不能上网呢？
***
控制某几台电脑不能上网，这种工作应该在上网的路由器上设置。在交换机上做很麻烦而且效果不好。
***
ACL 控制局域网上网问题
默认网关：192.168.1.1
子网掩码：255.255.255.0
路由器：华为路由器
要求：192.168.1.10-192.168.1.30能够上网
192.168.1.100 只能访问某个特定网站
**
通过acl来实现
Acl number 3011
rule permit tcp source 192.168.1.0 0.0.0.255 destination-port eq smtp （这是允许发邮件）
rule permit tcp source 192.168.1.0 0.0.0.255 destination-port eq pop3 （允许收邮件）
rule deny ip source 192.168.1.0 0.0.0.255 （拒绝上网）
在内网口下发acl。命令如下：
interface Ethernet0/1（进入内网口下发）
firewall packet-filter 3011 inbound
这个创建ACL规则应该是可以解决的.但是这个有点复杂，建议:请拨打华为800专线，他们肯定会给你处理的，因为我经常打,呵呵!也建议LZ经常去华为技术主站经常下载资料查看!电话如下请您记录:800 830 211 879
来源：CSDN
作者：webin
链接：https://blog.csdn.net/swebin/article/details/6857800