ACL介绍及Csico思科项目实操

今天主要给大家介绍一下什么是ACL以及相关配置，本实验使用Csico思科模拟器，实现思科设备上ACL的配置实例。

一、实例拓扑

本实验通过配置标准IPv4 ACL 实现拒绝PC2、PC3所在网段访问研究院（192.168.111.111/24）。同时只允许主机PC1所在网段访问研究院（192.168.111.111/24）。

二、ACL介绍

1、定义

随着网络的飞速发展，网络安全和网络服务质量QoS (Quality of Service)问题日益突出。访问控制列表 (ACL, Access Control List)是与其紧密相关的一个技术。

访问控制列表ACL（Access Control List，ACL）是控制网络访问的一种有利的工具，由一条或多条规则组成的集合。所谓ACL就是一种路由器配置脚本。所谓规则，是指描述报文匹配条件的判断语句，这些条件可以是报文的源地址、目的地址、端口号等。 

说的通俗一点，ACL就相当于一个过滤器，规则是过滤器的滤芯。

2、作用

（1）安全性保障

ACL可以过滤网络中的流量，是控制访问的一种网络技术手段。它可以阻止和允许特定流量的流入和流出，防止网络攻击和病毒入侵。

（2）流量管理

ACL可以限制网络流量，提高网络性能。ACL提供对通信流量的控制手段。

（3）访问控制

ACL允许管理员定义详细的访问规则，这些规则可以基于源地址、目标地址、端口号、协议类型等多种条件进行匹配。

（4）灵活性和可扩展性

ACL规则可以根据需要进行添加、修改或删除。大多数现代网络设备都支持ACL功能，并且提供了丰富的配置选项和灵活性。

3、ACL分类

（1）基于ACL规则定义方式的划分

可分为：基本ACL、高级ACL、二层ACL、用户自定义ACL和用户ACL。

（2）基于ACL标识方法的划分

则可分为：数字型ACL和命名型ACL。

用户在创建ACL时可以为其指定编号，不同的编号对应不同类型的ACL。。同时，为了便于记忆和识别，用户还可以创建命名型ACL，即在创建ACL时为其设置名称。命名型ACL，也可以是“名称 数字”的形式，即在定义命名型ACL时，同时指定ACL编号。如果不指定编号，系统则会自动为其分配一个数字型ACL的编号。

（3）基于对IPv4和IPv6支持情况的划分

ACL4：通常直接叫做“ACL”，特指仅支持过滤IPv4报文的ACL。

ACL6：又叫做“IPv6 ACL”，特指仅支持过滤IPv6报文的ACL。

以上两种ACL，以及既支持过滤IPv4报文又支持过滤IPv6报文的ACL，统一称做“ACL”。

4、ACL的使用场景

（1）防火墙安全策略

ACL在防火墙中用于定义安全策略，允许或拒绝特定的网络流量通过。

（2）路由器流量控制

通过配置ACL，可以限制特定用户的带宽使用，确保关键应用的性能，同时防止网络拥塞。

（3）VPN访问控制

在VPN（虚拟私人网络）中，ACL用于控制哪些用户可以访问VPN资源。

（4）数据中心安全

通过使用ACL，可以限制对重要服务器的访问，只允许必要的运维和管理人员访问，并阻止未经授权的访问。

（5）无线网络安全

通过配置ACL，可以限制只有经过认证的设备才能连接到无线网络，并且只能访问特定的网络资源。

（6）应用层访问控制

ACL还可以用于应用层访问控制，如Web服务器、FTP服务器等。

5、ACL的基本原理

（1）ACL由一系列规则组成，通过将报文与ACL规则进行匹配，设备可以过滤出特定的报文。

（2）ACL的组成
ACL由若干条permit或deny语句组成。每条语句就是该ACL的一条规则，每条语句中的permit或deny就是与这条规则相对应的处理动作。

三、项目实践

1、基本ACL的基础配置命令

（1）创建基本ACL

[Huawei] acl [ number ] acl-number [ match-order config ]

使用编号（2000～2999）创建一个数字型的基本ACL，并进入基本ACL视图。

[Huawei] acl name acl-name { basic acl-number } [ match-order config ]

使用名称创建一个命名型的基本ACL，并进入基本ACL视图。

（2）配置基本ACL的规则

[Huawei acl basic 2000] rule [ rule-id ] { deny | permit } [ source { source-address source-wildcard | any } | time-range time-name ] 

2、高级ACL的基础配置命令

（1）. 创建高级ACL

[Huawei] acl [ number ] acl-number [ match-order config ]

使用编号（3000～3999）创建一个数字型的高级ACL，并进入高级ACL视图。

[Huawei] acl name acl name { advance acl number } [ match-order config ]

使用名称创建一个命名型的高级ACL，进入高级ACL视图。

（2）. 配置基本ACL的规则

根据IP承载的协议类型不同，在设备上配置不同的高级ACL规则。对于不同的协议类型，有不同的参数组合。

在高级ACL视图下，通过此命令来配置高级ACL的规则。

当参数protocol为IP时，高级ACL的命令格式为

rule [ rule-id ] { deny | permit } ip [ destination { destination-address destination-wildcard | any } | source { source-address source-wildcard any } | time-range time-name | [ dscp dscp | [ tos tos | precedence precedence ] ] ] 

在高级ACL视图下，通过此命令来配置高级ACL的规则。

当参数protocol为TCP时，高级ACL的命令格式为

rule [ rule-id ] { deny | permit } { protocol-number | tcp } [ destination { destination-address destination-wildcard | any } | destination-port { eq port | gt port | lt port | range port-start port-end } | source { sourceaddress-source wildcard | any } | source-port { eq port | gt port | lt port | range port-start port-end } | tcp-flag { ack | fin | syn } * | time-range time-name ] *

3、基本配置

首先我们先把Fa0/3/0连接起来，把R1关机，单击R1设备，单击“HWIC-4ESW”,在右下角单击图标拖动至上方相应孔槽，再重新开机。

server0配置

RC1配置

PC2配置

PC3配置

R1配置

R1

enable

configure terminal

no ip domain-lookup

no logging on

hostname R1

interface vlan 111

description YanJiuYuan

ip address 192.168.111.1 255.255.255.0

no shutdown

exit

interface gigabitethernet 0/0

no shutdown

ip address 192.168.105.1 255.255.255.0

description SheJiZhongXin

exit

interface gigabitethernet 0/1

no shutdown

description GongChengZhongXin

ip address 192.168.107.1 255.255.255.0

exit

interface gigabitethernet 0/2

no shutdown

description CheShiZhongXin

ip address 192.168.109.1 255.255.255.0

exit

interface fastethernet 0/3/0

description YanJiuYuan

switchport mode access

switchport access vlan 111

exit

write

copy running-config startup-config

2、ACL配置

AR1配置

access-list 110 remark JinZhi GCZX FangWen YJYFTP

access-list 110 deny ip 192.168.107.0 0.0.0.255 192.168.111.0 0.0.0.255

access-list 110 permit ip any any

access-list 120 remark JinZhi CEZX FangWen YJYFTP

access-list 120 deny ip 192.168.109.0 0.0.0.255 192.168.111.0 0.0.0.255

access-list 120 permit ip any any

interface gigabitethernet 0/1

ip access-group 110 in

exit

interface gigabitethernet 0/2

ip access-group 120 in

exit

 3、ping截图

备注：本文部分内容来源于网络，如有侵权请联系本人。