访问控制值列表(ACL)
通过ACL可以实现对网络中报文流的精确识别和控制,达到控制网络访问行为、防止网络攻击和提高网络带宽利用率的目的,从而切实保障网络环境的安全性和网络服务质量的可靠性。
ACL类型
基本ACL:在匹配数据包时,只能匹配数据包的IP地址,匹配数据包不精准
表示方法:通过ID表示取值空间为2000-2999
表示方法:通过名字表示,后面跟一个ACL的类型basic(基本)
高级ACL:在匹配数据包时,可以同时匹配数据包的源IP、目标IP、协议号、源端口、目标端口。匹配数据包非常精准
表示方法:通过ID表示,取值空间是3000-3999
表示方法:通过名字表示,后面可以跟一个ACL的类型advanced(高级)
二层ACL:检查的是数据包的二层头部
二层头部包含的内容是:源MAC地址、目标MAC地址、类型、VLAN ID,取值范围是4000~4999
ACL匹配规则
配置ACL的设备接收报文后,会将该报文与ACL中的规则逐条进行匹配,如果不能匹配上,就会继续尝试去匹配下一条规则。
一旦匹配上,则设备会对该报文执行这条规则中定义的处理动作,并且不再继续尝试与后续规则匹配。一旦命中即停止匹配
ACL相关基础命令和配置
实验拓扑图
配置 pc1 pc2 pc3 client1 Server1 AR1
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add
[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.254 24
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip add 192.168.3.254 24
[Huawei-GigabitEthernet0/0/1]int g0/0/2
[Huawei-GigabitEthernet0/0/2]ip add 192.168.2.254 24
[Huawei]acl 2000 创建acl 2000
[Huawei-acl-basic-2000]rule permit source 192.168.1.1 0 允许192.168.1.1主机通过
[Huawei-acl-basic-2000]rule deny source any 剩余的都拒绝通过
[Huawei-acl-basic-2000]dis th
[V200R003C00]
#
acl number 2000
rule 5 permit source 192.168.1.1 0
rule 10 deny
#
return
[Huawei-acl-basic-2000]q
[Huawei]int g0/0/2
[Huawei-GigabitEthernet0/0/2]traffic-filter outbound acl 2000 配置在g0/0/2 上
[Huawei-GigabitEthernet0/0/2]dis th
[V200R003C00]
#
interface GigabitEthernet0/0/2
ip address 192.168.2.254 255.255.255.0
traffic-filter outbound acl 2000
pc1ping 通192.168.2.0/24网络,其他不能
禁止192.168.1.0/24网络 ping web服务
Huawei]acl 3000
[Huawei-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 destination 192
.168.3.1 0 禁止所有192.168.1.0 网段到192.168.3.1的icmp服务
[Huawei-acl-adv-3000]dis th
[V200R003C00]
#
acl number 3000
rule 5 deny icmp source 192.168.1.0 0.0.0.255 destination 192.168.3.1 0
#
return
[Huawei-acl-adv-3000]q
[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]traffic-filter outbound acl 3000 配置在g0/0/1上
pc1 pc2再次ping 不通
Ping 192.168.3.1: 32 data bytes, Press Ctrl_C to break
Request timeout!
Request timeout!
Request timeout!
Request timeout!
Request timeout!
http 服务可以
新建个client2,连接超时
client1可以访问web服务器的www服务,实验结束