ACL访问控制 配置及命令

ACL
访问控制列表，是对数据流进行过滤
#ACL定义
它是路由器和交换机（三层）接口的指令列表（通过接口控制你的流量），
用来控制端口进出的数据包

访问控制列表里面包含了：匹配关系、条件和查询语句。表只是一个框架结构
在表中会放很多控制语句

ACL的功能
流量的控制
匹配感兴趣的流量

ACL的分类和区别
根据它使用的列表的列表号，按照表号的不同，将它分为两类：
第一类：范围编号 2000-2999 基本ACL（标准ACL）
区别：它是基于源IP地址进行过滤
第二类：范围编号 3000-3999 高级ACL (扩展ACL)
区别：它是基于源和目的IP地址、源和目的端口、协议类型来进行过滤的
对应用层端口的控制方式，用的比较广泛。

ACL的控制原则
基于每种协议设置一个ACL
（就是你数据是通过什么方式过来的–TCP UDP icmp http）
基于每个方向设置一个ACL
(区别数据的进和出)
基于每个接口设置一个ACL

ACL的工作原理
1.入站配置ACL
对来的数据分组，通过ACL分组进行处理，再放到路由器的出口

2.出站配置ACL

通常情况下，我们会将配置放置入站口去解决

ACL 配置


[Huawei]acl 2000  建立ACL  表号位2000

[Huawei-acl-basic-2000]rule deny source 182.168.1.2 0 配置拒绝条例
rule 5：值越小越优先

[Huawei]interface g0/0/0
[Huawei-GigabitEthernet0/0/0]traffic-filter inbound  acl 2000 在接口的入方向调用ACL
       traffic-filter 流量过滤
       inbound 	入

Ping：属于ICMP协议。

rule deny icmp source 192.168.1.0 0.0.0.255 destination 172.16.1.3 0：拒绝C1和PC2 ping server 1,但是允许HTTP访问（隐藏）

注意点：

1.一个接口的同一个方向，只能调用一个ACL;每个端口、每个方向、每条协议只能对应一条访问列表
2.一个ACL里面可以有多个RULE规则，从上往下依次执行；具有严格限制条件的语句应该放在访问列表所有语句的最前面。
3.数据包一旦被某个rule规则匹配，就不再继续往下匹配
4.华为：默认隐含放过所有数据包，在ACL配置时。
5.访问列表不能过滤路由器自己产生的数据，（只能控制外面进来的数据，有一个入和出，自己的数据控制不了。）