访问控制列表 ACL原理和配置

访问控制值列表（ACL）

通过ACL可以实现对网络中报文流的精确识别和控制，达到控制网络访问行为、防止网络攻击和提高网络带宽利用率的目的，从而切实保障网络环境的安全性和网络服务质量的可靠性。

ACL类型

基本ACL：在匹配数据包时，只能匹配数据包的IP地址，匹配数据包不精准
表示方法：通过ID表示取值空间为2000-2999
表示方法：通过名字表示，后面跟一个ACL的类型basic（基本）
高级ACL：在匹配数据包时，可以同时匹配数据包的源IP、目标IP、协议号、源端口、目标端口。匹配数据包非常精准
表示方法：通过ID表示，取值空间是3000-3999
表示方法：通过名字表示，后面可以跟一个ACL的类型advanced（高级）
二层ACL：检查的是数据包的二层头部

二层头部包含的内容是：源MAC地址、目标MAC地址、类型、VLAN ID，取值范围是4000~4999

ACL匹配规则

配置ACL的设备接收报文后，会将该报文与ACL中的规则逐条进行匹配，如果不能匹配上，就会继续尝试去匹配下一条规则。

一旦匹配上，则设备会对该报文执行这条规则中定义的处理动作，并且不再继续尝试与后续规则匹配。一旦命中即停止匹配

ACL相关基础命令和配置

实验拓扑图

 配置 pc1 pc2 pc3 client1 Server1 AR1

[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add	
[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.254 24
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip add 192.168.3.254 24
[Huawei-GigabitEthernet0/0/1]int g0/0/2
[Huawei-GigabitEthernet0/0/2]ip add 192.168.2.254 24

[Huawei]acl 2000	创建acl 2000
[Huawei-acl-basic-2000]rule permit source 192.168.1.1 0	允许192.168.1.1主机通过
[Huawei-acl-basic-2000]rule deny source any 剩余的都拒绝通过
[Huawei-acl-basic-2000]dis th
[V200R003C00]
#
acl number 2000  
 rule 5 permit source 192.168.1.1 0 
 rule 10 deny 
#
return
[Huawei-acl-basic-2000]q
[Huawei]int g0/0/2

[Huawei-GigabitEthernet0/0/2]traffic-filter outbound acl 2000     配置在g0/0/2 上
[Huawei-GigabitEthernet0/0/2]dis th
[V200R003C00]
#
interface GigabitEthernet0/0/2
 ip address 192.168.2.254 255.255.255.0 
 traffic-filter outbound acl 2000

pc1ping 通192.168.2.0/24网络，其他不能

 

 禁止192.168.1.0/24网络 ping web服务

Huawei]acl 3000


[Huawei-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 destination 192
.168.3.1 0   禁止所有192.168.1.0 网段到192.168.3.1的icmp服务
[Huawei-acl-adv-3000]dis th
[V200R003C00]
#
acl number 3000  
 rule 5 deny icmp source 192.168.1.0 0.0.0.255 destination 192.168.3.1 0 
#
return
[Huawei-acl-adv-3000]q
[Huawei]int g0/0/1

	
[Huawei-GigabitEthernet0/0/1]traffic-filter outbound acl 3000    配置在g0/0/1上

pc1 pc2再次ping 不通

Ping 192.168.3.1: 32 data bytes, Press Ctrl_C to break
Request timeout!
Request timeout!
Request timeout!
Request timeout!
Request timeout! 

http 服务可以

 新建个client2,连接超时

 client1可以访问web服务器的www服务，实验结束