ACL匹配规则

ACL - 访问控制列表

前言

ACL: Access Control List, 访问控制列表

ACL是一种技术，不是一种协议

ACL就是第一代防火墙技术

ACL是由一系列规则组成的集合。设备可以通过这些规则对数据包进行分类，并对不同类型的报文进行不同的处理。

本示例中，网关RTA允许192.168.1.0/24中的主机可以访问外网，也就是Internet；而192.168.2.0/24中的主机则被禁止访问Internet。对于服务器A而言，情况则相反。网关允许192.168.2.0/24中的主机访问服务器A，但却禁止192.168.1.0/24中的主机访问服务器A。

设备可以依据ACL中定义的条件（例如源IP地址）来匹配入方向的数据，并对匹配了条件的数据执行相应的动作。在本示例所述场景中，RTA依据所定义的ACL而匹配到的感兴趣流量来自192.168.2.0/24网络，RTA会对这些感兴趣流量进行加密（虚拟局域网VPN中会进行介绍）之后再转发。

ACL工作原理

• ACL由一条或多条规则组成
• 每条规则必须选择动作：允许或拒绝
• 每条规则都有一个id序列号（默认=5，间隔=5）
• 序列号越小越先进行匹配
• 只要有一条规则和报文匹配，就停止查找，称为命中规则
• 查找完所有规则，如果没有符合条件的规则，称为未命中规则
• ACL创建后，必须将其应用到某个接口或其他技术内才会生效
• 应用在接口是必须选择方向：入站或出站(相对设备来判断)
• 不能过滤由设备自己产生数据

ACL规则

一个ACL可以由多条“deny | permit”语句组成，每一条语句描述了一条规则。设备收到数据流量后，会逐条匹配ACL规则，看其是否匹配。如果不匹配，则匹配下一条。一旦找到一条匹配的规则，则执行规则中定义的动作，并不再继续与后续规则进行匹配。如果找不到匹配的规则，则设备不对报文进行任何处理。需要注意的是，ACL中定义的这些规则可能存在重复或矛盾的地方。规则的匹配顺序决定了规则的优先级，ACL通过设置规则的优先级来处理规则之间重复或矛盾的情形。

ARG3系列路由器支持两种匹配顺序：配置顺序和自动排序。

1. 配置顺序按ACL规则编号（rule-id）从小到大的顺序进行匹配。设备会在创建ACL的过程中自动为每一条规则分配一个编号，规则编号决定了规则被匹配的顺序。例如，如果将步长设定为5，则规则编号将按照5、10、15…这样的规律自动分配。如果步长设定为2，则规则编号将按照2、4、6、8…这样的规律自动分配。通过设置步长，使规则之间留有一定的空间，用户可以在已存在的两个规则之间插入新的规则。路由器匹配规则时默认采用配置顺序。另外，ARG3系列路由器默认规则编号的步长是5。

2. 自动排序使用“深度优先”的原则进行匹配，即根据规则的精确度排序。

本示例中，RTA收到了来自两个网络的报文。默认情况下，RTA会依据ACL的配置顺序来匹配这些报文。网络172.16.0.0/24发送的数据流量将被RTA上配置的ACL2000的规则15匹配，因此会被拒绝。而来自网络172.17.0.0/24的报文不能匹配访问控制列表中的任何规则，因此RTA对报文不做任何处理，而是正常转发。

ACL分类

数字型 acl:

​ acl number 数字

命名型 acl:

​ acl name 名称 编号，创建命名型acl时，默认就是高级acl

根据不同的划分规则，ACL可以有不同的分类。最常见的三种分类是基本ACL、高级ACL和二层ACL。

1. 基本ACL可以使用报文的源IP地址、分片标记和时间段信息来匹配报文，其编号取值范围是2000-2999。

2. 高级ACL可以使用报文的源/目的IP地址、源/目的端口号以及协议类型等信息来匹配报文。高级ACL可以定义比基本ACL更准确、更丰富、更灵活的规则，其编号取值范围是3000-3999。

3. 二层ACL可以使用源/目的MAC地址以及二层协议类型等二层信息来匹配报文，其编号取值范围是4000-4999。

这里还有一种acl 5000-5999 这是用户自定义类型的acl 这里边匹配的规则随意搭配

在ACL中没有写的规则就是any

掩码、反掩码、通配符的区别

ACL配置

• acl [编号] 创建一个acl

• rule [序列号] deny/permit [source] 192.186.1.0 0.0.0.255[通配符] 配置ACL的规则：允许或拒绝源地址为192.169.1.0/24网段内所有的流量

• rule [序列号] den/permit tcp source 192.168.1.0 0.0.0.255 destination 8.8.8.8 0 destination-port eq 80 配置ACL规则：允许或拒绝源地址为192.168.1.0/24网段内到8.8.8.8的http流量

• 进入对应需要配置acl的接口

  • traffic-filter inbound/outbound acl 2000 在接口调用acl过滤流量
  • display acl 2000
  • display traffic-filter appplied-record 查看设备上所有基于ACL调用情况

基本ACL配置

高级ACL配置

ACL接口调用建议