今天主要给大家介绍一下什么是ACL以及相关配置,本实验使用Csico思科模拟器,实现思科设备上ACL的配置实例。
一、实例拓扑
本实验通过配置标准IPv4 ACL 实现拒绝PC2、PC3所在网段访问研究院(192.168.111.111/24)。同时只允许主机PC1所在网段访问研究院(192.168.111.111/24)。
二、ACL介绍
1、定义
随着网络的飞速发展,网络安全和网络服务质量QoS (Quality of Service)问题日益突出。访问控制列表 (ACL, Access Control List)是与其紧密相关的一个技术。
访问控制列表ACL(Access Control List,ACL)是控制网络访问的一种有利的工具,由一条或多条规则组成的集合。所谓ACL就是一种路由器配置脚本。所谓规则,是指描述报文匹配条件的判断语句,这些条件可以是报文的源地址、目的地址、端口号等。
说的通俗一点,ACL就相当于一个过滤器,规则是过滤器的滤芯。
2、作用
(1)安全性保障
ACL可以过滤网络中的流量,是控制访问的一种网络技术手段。它可以阻止和允许特定流量的流入和流出,防止网络攻击和病毒入侵。
(2)流量管理
ACL可以限制网络流量,提高网络性能。ACL提供对通信流量的控制手段。
(3)访问控制
ACL允许管理员定义详细的访问规则,这些规则可以基于源地址、目标地址、端口号、协议类型等多种条件进行匹配。
(4)灵活性和可扩展性
ACL规则可以根据需要进行添加、修改或删除。大多数现代网络设备都支持ACL功能,并且提供了丰富的配置选项和灵活性。
3、ACL分类
(1)基于ACL规则定义方式的划分
可分为:基本ACL、高级ACL、二层ACL、用户自定义ACL和用户ACL。
(2)基于ACL标识方法的划分
则可分为:数字型ACL和命名型ACL。
用户在创建ACL时可以为其指定编号,不同的编号对应不同类型的ACL。。同时,为了便于记忆和识别,用户还可以创建命名型ACL,即在创建ACL时为其设置名称。命名型ACL,也可以是“名称 数字”的形式,即在定义命名型ACL时,同时指定ACL编号。如果不指定编号,系统则会自动为其分配一个数字型ACL的编号。
(3)基于对IPv4和IPv6支持情况的划分
ACL4:通常直接叫做“ACL”,特指仅支持过滤IPv4报文的ACL。
ACL6:又叫做“IPv6 ACL”,特指仅支持过滤IPv6报文的ACL。
以上两种ACL,以及既支持过滤IPv4报文又支持过滤IPv6报文的ACL,统一称做“ACL”。
4、ACL的使用场景
(1)防火墙安全策略
ACL在防火墙中用于定义安全策略,允许或拒绝特定的网络流量通过。
(2)路由器流量控制
通过配置ACL,可以限制特定用户的带宽使用,确保关键应用的性能,同时防止网络拥塞。
(3)VPN访问控制
在VPN(虚拟私人网络)中,ACL用于控制哪些用户可以访问VPN资源。
(4)数据中心安全
通过使用ACL,可以限制对重要服务器的访问,只允许必要的运维和管理人员访问,并阻止未经授权的访问。
(5)无线网络安全
通过配置ACL,可以限制只有经过认证的设备才能连接到无线网络,并且只能访问特定的网络资源。
(6)应用层访问控制
ACL还可以用于应用层访问控制,如Web服务器、FTP服务器等。
5、ACL的基本原理
(1)ACL由一系列规则组成,通过将报文与ACL规则进行匹配,设备可以过滤出特定的报文。
(2)ACL的组成
ACL由若干条permit或deny语句组成。每条语句就是该ACL的一条规则,每条语句中的permit或deny就是与这条规则相对应的处理动作。
三、项目实践
1、基本ACL的基础配置命令
(1)创建基本ACL
[Huawei] acl [ number ] acl-number [ match-order config ]
使用编号(2000~2999)创建一个数字型的基本ACL,并进入基本ACL视图。
[Huawei] acl name acl-name { basic acl-number } [ match-order config ]
使用名称创建一个命名型的基本ACL,并进入基本ACL视图。
(2)配置基本ACL的规则
[Huawei acl basic 2000] rule [ rule-id ] { deny | permit } [ source { source-address source-wildcard | any } | time-range time-name ]
2、高级ACL的基础配置命令
(1). 创建高级ACL
[Huawei] acl [ number ] acl-number [ match-order config ]
使用编号(3000~3999)创建一个数字型的高级ACL,并进入高级ACL视图。
[Huawei] acl name acl name { advance acl number } [ match-order config ]
使用名称创建一个命名型的高级ACL,进入高级ACL视图。
(2). 配置基本ACL的规则
根据IP承载的协议类型不同,在设备上配置不同的高级ACL规则。对于不同的协议类型,有不同的参数组合。
在高级ACL视图下,通过此命令来配置高级ACL的规则。
当参数protocol为IP时,高级ACL的命令格式为
rule [ rule-id ] { deny | permit } ip [ destination { destination-address destination-wildcard | any } | source { source-address source-wildcard any } | time-range time-name | [ dscp dscp | [ tos tos | precedence precedence ] ] ]
在高级ACL视图下,通过此命令来配置高级ACL的规则。
当参数protocol为TCP时,高级ACL的命令格式为
rule [ rule-id ] { deny | permit } { protocol-number | tcp } [ destination { destination-address destination-wildcard | any } | destination-port { eq port | gt port | lt port | range port-start port-end } | source { sourceaddress-source wildcard | any } | source-port { eq port | gt port | lt port | range port-start port-end } | tcp-flag { ack | fin | syn } * | time-range time-name ] *
3、基本配置
首先我们先把Fa0/3/0连接起来,把R1关机,单击R1设备,单击“HWIC-4ESW”,在右下角单击图标拖动至上方相应孔槽,再重新开机。
server0配置
RC1配置
PC2配置
PC3配置
R1配置
R1
enable
configure terminal
no ip domain-lookup
no logging on
hostname R1
interface vlan 111
description YanJiuYuan
ip address 192.168.111.1 255.255.255.0
no shutdown
exit
interface gigabitethernet 0/0
no shutdown
ip address 192.168.105.1 255.255.255.0
description SheJiZhongXin
exit
interface gigabitethernet 0/1
no shutdown
description GongChengZhongXin
ip address 192.168.107.1 255.255.255.0
exit
interface gigabitethernet 0/2
no shutdown
description CheShiZhongXin
ip address 192.168.109.1 255.255.255.0
exit
interface fastethernet 0/3/0
description YanJiuYuan
switchport mode access
switchport access vlan 111
exit
write
copy running-config startup-config
2、ACL配置
AR1配置
access-list 110 remark JinZhi GCZX FangWen YJYFTP
access-list 110 deny ip 192.168.107.0 0.0.0.255 192.168.111.0 0.0.0.255
access-list 110 permit ip any any
access-list 120 remark JinZhi CEZX FangWen YJYFTP
access-list 120 deny ip 192.168.109.0 0.0.0.255 192.168.111.0 0.0.0.255
access-list 120 permit ip any any
interface gigabitethernet 0/1
ip access-group 110 in
exit
interface gigabitethernet 0/2
ip access-group 120 in
exit
3、ping截图
备注:本文部分内容来源于网络,如有侵权请联系本人。