ACL访问控制列表

ACL简述

   ACL可以通过对网络中报文流的精确识别，与其他技术结合，达到控制网络访问行为、防止网络攻击和提高网络带宽利用率的目的，从而切实保障网络环境的安全性和网络服务质量的可靠性。

网路安全：威胁防护病毒防护
                核心设备和核心机房不对外直接提供访问。
                访问控制：屏蔽网站。
访问控制：用来对数据包做访问控制。丢弃或者方行。
设备：路由器来做访问控制。、结合其他协议，用于控制的匹配范围
tcp udp icmp
http tcp 80不受影响
icmp ping 禁用
ACL的工作：数据包从接口经过，接口启用了acl时，路由器会对报文进行检查，然后根据策略做出相应的处理。处理方式：丢弃，放行。

ACL种类与应用

ACL的种类：
基本acl:2000-2999  基本acl只能匹配源ip地址
高级acl:3000-3999可以匹配源ip，还可以匹配目的ip，源端口，目的端口，以及三层和四层的协议。
二层acl:4000-4999:根据数据包的mac地址进行匹配，一般不用。
ACL在接口上的应用：
1、在入口上：数据包从入口进入路由器，有策略就会执行。
2、在出口上：数据包经过路由器处理之后，数据包才能出去。
华为设备默认是方通的，不做限制。需要人工配置策略。

白名单：在名单上的才可以方行。不在的一律丢弃。默认是拒绝所有，允许个别。
黑名单：在名单上的一律丢弃，不在的可以方行。

ACL的应用原则：

基本acl:尽量用在靠近目的地。

高级ACL：尽量用在靠近源的地方。

1、一个接口的同一个方向，只能调用一个acl
2、一个acl里面可以有多rule规则，按照规则id从小到大排序，从上往下依次执行的。如果上面执行了通过，则下面的拒绝指令无法生效
3、数据包一旦被某个规则匹配，就不再继续向下匹配了。

4、华为默认放过所有。

acl:你有acl,但是没有配置策略，默认就是放行所有。如果没有匹配到任何策略，也是放行。

ACL的组成

1.rule deny icmp source 192.168.1.0 0.0.0.255 destination 192.168.3.30 0
rule 创建规则固定格式
deny拒绝
icmp 拒绝网络层ICMP协议
source: 192.168.1.0
destination:目的地址 192.168.3.30

192.168.1.0整个网段不能和192.168.3.39这个ip通信，禁用ICMP协议，ping不通。

2.rule permit tcp source 192.168.1.30 0 destination 192.168.3.30 0 destination-port eq 80
rule：创建规则的固定格式
permit:允许TCP
source: 192.168.1.30
destination:192.168.3.30destination-port eg:80   http服务的默认端口。
允许192.168.1.30这个地址，可以访问192.168.3.30这个服务器对外提供的httpd服务的80端口。

3.调用命令：traffic-filter outbound acl 2000

通配符

 0表示匹配，1表示随机匹配

在192.168.10.0/24中匹配，前三位都是固定，都为零
匹配

10
20
30
40

转换二进制

00001010
00010100
00011110
00101000

前两位固定，最后一位固定都为0,其余为1

00111110
62

通配符0.0.0.62