ACL原理与配置

目录

引言

 一、ACL的分类

二、ACL匹配规则

三、通配符

四、ACL的配置

---

引言

引入：随之网络的飞速发展，网络安全和网络质量QoS（Quality of Service）问题日益突出。访问控制列表（ACL，Access Control List）是与其紧密相关的一个技术。

ACL可以通过对网络中报文流的精确识别，与其他技术结合，达到控制网络访问行为，防止网络攻击和提高网络带宽利用率的目的，从而切实保障网络环境的安全性和网络服务质量的可靠性。

（ACL 可以配置多条策略）

技术背景：需要一个工具，实现流量过滤

ACL:访问控制协议

数据包经过端口，端口配置acl，路由器会对数据包的报文进行检查，并做出相对反应

主要配置设备：路由器

 一、ACL的分类

2000-2999	基本ACL	只能匹配源IP地址
3000-3999	高级ACL	可以匹配源IP 目标IP 源端口 目标端口 三层和四层的协议字段 icmp tcp udp
4000-4999	根据数据包的源mac地址，目的mac地址，802.1q优先级 二层协议

二、ACL匹配规则

当数据包经过路由器端口，系统会检查端口是否配置ACL

如果ACL不存在，则放行

如果ACL 存在，则检查ACL 规则

当ACL规则与数据包报文不匹配 则被放行

当ACL 规则与数据包报文匹配则从ACLZ中编号最小的规则开始查找

如未匹配上规则，则继续查找下一条，以此循环

permit：通过

deny：丢弃

三、通配符

 通配符

不变置0，变置1

0指固定IP0.0.0.255 是指一个网段

如/28的网络掩码写成二进制是：

1111 1111.1111 1111.1111 1111.1111 0000

其通配符掩码，按位取反的结果是：

0000 0000.0000 0000.0000 0000.0000 1111

点分十进制表示如下：

0.0.0.15

四、ACL的配置

 （先配置好主机的IP地址，网关和子网掩码）

配置好服务器端口的网关地址

[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add	
[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.254 24
[Huawei-GigabitEthernet0/0/0]int g0/0/2
[Huawei-GigabitEthernet0/0/2]ip add	
[Huawei-GigabitEthernet0/0/2]ip address 192.168.2.254 24
[Huawei-GigabitEthernet0/0/2]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip add	
[Huawei-GigabitEthernet0/0/1]ip address 192.168.3.254 24

任务1

设置基本ACL2000

[Huawei]acl nu	
[Huawei]acl number 2000
[Huawei-acl-basic-2000]rul	
[Huawei-acl-basic-2000]rule pe	
[Huawei-acl-basic-2000]rule permit sou	
[Huawei-acl-basic-2000]rule permit source 192.168.1.10 0
[Huawei-acl-basic-2000]ru	
[Huawei-acl-basic-2000]rule de	
[Huawei-acl-basic-2000]rule deny sou	
[Huawei-acl-basic-2000]rule deny source any

 将ACL2000配置到g0/0/2

[Huawei]int g0/0/2
[Huawei-GigabitEthernet0/0/2]tru	
[Huawei-GigabitEthernet0/0/2]traff	
[Huawei-GigabitEthernet0/0/2]traffic-filter out	
[Huawei-GigabitEthernet0/0/2]traffic-filter outbound acl 2000

  现在pc1只能和pc5相ping

 任务二

设置高级acl ，拒绝网段192.168.1.0访问IP地址192.168.3.30

[Huawei]acl u	
[Huawei]acl nu	
[Huawei]acl number 3000
[Huawei-acl-adv-3000]rul	
[Huawei-acl-adv-3000]rule de	
[Huawei-acl-adv-3000]rule deny icmp so	
[Huawei-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 desk	
[Huawei-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 dest	
[Huawei-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 destination 192
.168.3.30 0

 将acl 3000配置到g0/0/0

Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]trff	
[Huawei-GigabitEthernet0/0/0]traff	
[Huawei-GigabitEthernet0/0/0]traffic-filter in	
[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

网段192.168.1.0无法访问IP地址192.168.3.30

 任务三

创建高级3001，允许tcp协议的源地址访问

[Huawei]acl nu	
[Huawei]acl number 3001
[Huawei-acl-adv-3001]ru	
[Huawei-acl-adv-3001]rule p	
[Huawei-acl-adv-3001]rule permit tcp s	
[Huawei-acl-adv-3001]rule permit tcp source 192.168.1.30 0 dest	
[Huawei-acl-adv-3001]rule permit tcp source 192.168.1.30 0 destination 192.168.3
.30 0 dest	
[Huawei-acl-adv-3001]rule permit tcp source 192.168.1.30 0 destination 192.168.3
.30 0 destination-port eq www

将acl3001配置到g0/0/1

[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]traff	
[Huawei-GigabitEthernet0/0/1]traffic-filter out	
[Huawei-GigabitEthernet0/0/1]traffic-filter outbound acl 3001