网络：ACL

1. ACL（Access Control Lists）访问控制列表。

        作用是在众多数据包里面抓取某个数据流量。

        本身没有过滤作用，依靠数据包里的五元组（SIP、DIP、Sport、Dport、协议）进行抓取数据流量。

        如何判定是同一流量？

        依靠数据包里的五元组（SIP、DIP、Sport、Dport、协议），需要这5个条件同时满足。

2. 基于接口的ACL

                编号范围：1000-1999，基于接口的访问控制列表。

3. 基本ACL

        基于源IP地址，只支持抓取数据包中的源地址，即源IP。ACE是ACL下的详细语句，数量不受限制。

        华为VRP 编号范围：2000-2999。匹配的条件不多，一般都是SIP、DIP。

        思科IOS 编号范围：1 - 99。可以写99条作用不一样的ACL，而不是只能写99条ACL。

        优点：配置简单。

        缺点：匹配的范围非常广泛，无法做到精细的流量匹配。

acl 2000
rule   5    permit/deny source 192.168.1.0  0.0.0.255
规则  序列号   动作         条件（匹配的是1.0网段，其中0.0.0.255是反掩码。）

        注意：序列号可写可不写，默认step步长为5。不建议把很多规则写成连续的序列号，并且序列号只能是正整数，匹配的顺序是按序列号从小到大的顺序进行匹配。

rule 5
rule 10
rule 15
rule 20

        如果rule 5规则匹配正确，则中止匹配后面的规则。

        如果rule 5、10、15都没有匹配成功，而rule 20匹配完成，则中止后面的规则。

        如果所有的规则都没有匹配上，默认ACL允许所有通过。

        

dispaly acl all #查看匹配的ACL
traffic-filter inboard/outboard acl 2000

        修改步长：step 10

4. 高级ACL

        基于源、目IP地址，源、目端口，协议类型。

        华为VRP 编号范围：3000-3999。

        思科IOS 编号范围：100-199。

        优点：可以更精细的流量匹配。

        缺点：语法复杂。

        例1:

acl 3000
rule deny tcp source 192.168.1.0  0.0.0.255 destination  172.16.10.1 0.0.0.0 destination-port eq 21

        SIP：192.168.1.0/24

        DIP：172.16.10.1/32

        Sport：任意

        Dport：21端口

        TCP协议+21端口 = FTP

        因此，可以翻译成拒绝源IP是192.168.1.0去访问目标IP是172.16.10.1的FTP连接。

        匹配的时候，五个条件，缺一不可。

        例2:

rule deny tcp source 182.168.2.0  0.0.0.255  destination  172.16.10.2  0.0.0.0

        SIP：192.168.2.0/24

        DIP：172.16.10.2/32

        Sport：任意端口

        Dport：任意端口

        协议：TCP

        因此，可以翻译成拒绝源IP是192.168.2.0 去访问目标172.16.10.2的所有TCP协议。

        匹配的时候，五个条件，缺一不可。

5. 二层ACL

        编号范围：4000-4999，基于源、目MAC地址以太网帧类型。

6. 一旦匹配，立即执行。

7. 越匹配的ACE，越要写到前面，不精确的靠后。

8. 允许通行的靠前，拒绝的靠后。

9. 华为默认全部允许，思科默认全部拒绝。

10. 查看ACL：display all acl