华为eNSP:高级ACL

一、什么是高级ACL

高级ACL能够提供更为丰富和灵活的规则定义方法，使得网络管理员能够根据源IP地址、目的IP地址、IP协议类型等多种参数来过滤IPv4报文。在网络管理中，高级ACL是一项非常重要的技术手段，它为网络安全和服务质量提供了保障。

二、高级ACL与基本ACL的区别

1. 编号范围:

   • 基本ACL：基本ACL的编号范围通常在2000到2999之间。

   • 高级ACL：高级ACL的编号范围在3000到3999之间。

2. 匹配条件:

   • 基本ACL：基本ACL只能根据源IP地址进行过滤，其匹配条件较为单一。

   • 高级ACL：高级ACL可以匹配源IP地址、目标IP地址、源端口、目标端口以及协议类型等多层信息，提供了更精确的流量过滤能力。

3. 应用场景:

   • 基本ACL：基本ACL由于匹配条件的限制，它通常用于简单的网络环境，如限制特定IP地址段的访问。

   • 高级ACL：高级ACL适用于需要复杂规则的场合，如允许或拒绝特定的服务（例如FTP、HTTP）或特定的行为（例如ICMP ping操作）。

4. 规则精度:

   • 基本ACL：基本ACL规则匹配精度较低，只关注数据包的源地址。

   • 高级ACL：高级ACL规则匹配精度更高，可以细化到具体的服务和应用层面，提供更丰富的访问控制手段。

5. 配置复杂性:

   • 基本ACL：基本ACL配置相对简单，易于理解和实施。

   • 高级ACL：高级ACL配置较为复杂，需要对网络流量有更深入的理解，以定义有效的过滤规则。

6. 灵活性:

   • 基本ACL：基本ACL由于仅能匹配源IP地址，其灵活性有限。

   • 高级ACL：高级ACL可以根据多种属性组合制定规则，具有很高的配置灵活性。

7. 性能影响:

   • 基本ACL：基本ACL由于规则简单，对设备的性能影响较小。

   • 高级ACL：高级ACL复杂的规则可能会增加处理延迟，对设备性能有一定影响。

8. 用途广泛性:

   • 基本ACL：基本ACL通常用于一般的流量过滤和简单的访问控制。

   • 高级ACL：高级ACL除了访问控制外，还可以结合其他协议和服务做更深层次的网络管理和安全控制。

总之，高级ACL与基本ACL相比，提供了更加丰富和精细的网络流量控制手段。高级ACL通过扩展匹配条件，实现了对数据包更全面的检查和过滤，适用于对安全性和服务质量要求更高的网络环境。网络管理员应当根据实际需求，合理选择和使用这两种ACL，以确保网络的安全和高效运行。

三、实验拓扑

实验需求：在R1上做配置拒绝PC1和PC2相互访问

注：实验使用设备为：

PC1和PC2配置：

现在进行路由器上的IP地址配置：

命令：

<Huawei>system-view
[Huawei]undo info-center enable
[Huawei]sysname R1
[R1]interface g0/0/0
[R1-GigabitEthernet0/0/0]ip address 192.168.10.254 24
[R1-GigabitEthernet0/0/0]undo shutdown
[R1-GigabitEthernet0/0/0]quit
[R1]interface g0/0/1
[R1-GigabitEthernet0/0/1]ip address 192.168.20.254 24
[R1-GigabitEthernet0/0/1]undo shutdown
[R1-GigabitEthernet0/0/1]quit
测试连通性：PC1能否ping通PC2

配置高级ACL：

命令：

<R1>system-view
[R1]acl 3000
[R1-acl-adv-3000]rule 10 deny ip source 192.168.10.0 0.0.0.255 destination 192.1
68.20.0 0.0.0.255              //拒绝192.168.10.0的网段访问192.168.20.0 的网段
[R1-acl-adv-3000]q
[R1]interface g0/0/0
[R1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000        在g0/0/0的借口下调用acl，进行过滤
[R1-GigabitEthernet0/0/0]quit
测试：PC1能否ping通PC2

所以PC1和PC2无法互相访问了

但是为了减少带宽的浪费，我们可以配置：

命令：

<R1>sys
[R1]acl 3001
[R1-acl-adv-3001]rule 10 deny ip source 192.168.20.0 0.0.0.255 destination 192.1
68.10.0 0.0.0.255
[R1-acl-adv-3001]quit
[R1]interface g0/0/1
[R1-GigabitEthernet0/0/1]traffic-filter inbound acl 3001
[R1-GigabitEthernet0/0/1]quit
之所以加入这条命令，是为了在PC2访问PC1的时候在G0/0/1的接口，就会丢弃，不然按照原有的配置PC2要到G0/0/0的接口才会被丢弃，这样就会浪费带宽

总结：

高级ACL作为一种强大的网络管理工具，不仅能够提高网络的安全性，还能够优化网络的性能。它通过精细的规则配置，实现了对不同网络流量的高效管理和控制。对于追求高安全和高质量的网络服务的企业来说，正确配置和维护高级ACL是确保网络稳定运行的重要工作。