华为eNSP：自反ACL

一、什么是自反ACL

自反ACL（Reflective ACL）是一种动态ACL技术的应用，用于在网络设备上自动创建反向的ACL规则以控制流量方向。

自反ACL的核心原理是设备会根据一个方向上的访问请求，自动生成一个反方向的ACL规则。这种反向ACL规则的源IP地址、目的IP地址、源端口号和目的端口号都与原始请求完全相反。例如，当内部网络的用户发起一个向外部网络的请求时，网络设备会自动创建一条允许外部网络回应该请求的ACL规则。由于这种规则是临时创建的，它只会在会话期间有效，会话结束后规则会自动删除，从而保证了安全性。

自反ACL不能直接应用到网络设备的接口上，而是需要嵌套在一个扩展命名访问列表中。自反ACL的配置通常涉及定义内网访问外网的ACL，并使用reflect关键字来指定哪些流量触发自反逻辑。接着，还需要定义外网访问内网的ACL，并使用evaluate关键字来计算并生成自反列表。这些配置确保只有当内部用户主动访问外部服务时，外部服务才能访问内部用户的端口，这有助于防止未授权的外部访问。

自反ACL具有多种优势。它能够提高网络的安全性，防止网络遭受外部攻击，尤其是欺骗攻击和某些DoS攻击。自反ACL相比静态ACL而言，提供了对进入网络的数据包更强大的控制能力，因为它不仅仅检查ACK和RST位，还会检查源和目的地址及端口号。此外，自反ACL配置简洁且易于管理，当新的IP会话开始时，相关条目会自动创建，并在会话结束时自动移除。

二、自反ACL与高级ACL和基本ACL的对比

自反ACL与高级ACL和基本ACL的对比主要在匹配能力、动态性和应用场景等方面有所区别。具体分析如下：

1. 匹配能力
   • 基本ACL：基本ACL只能匹配IP源地址，其编号范围为2000-2999。由于这种类型的ACL功能较为简单，通常适用于粗略的流量过滤。
   • 高级ACL：高级ACL可以匹配源IP地址、目标IP地址、协议号、源端口和目标端口等三层和四层字段，其编号范围为3000-3999。高级ACL提供了更精细的流量控制能力，适合复杂的网络环境。
   • 自反ACL：自反ACL不直接匹配具体的IP地址或端口号，而是根据会话的初始请求动态生成允许响应流量的规则。它主要用于确保只有被内网请求的流量才能进入内网，从而提高安全性。
2. 动态性
   • 基本ACL：基本ACL是静态的，一旦配置，除非手动修改，否则规则不会改变。这可能导致在变化的环境中不够灵活。
   • 高级ACL：高级ACL同样是静态的，与基本ACL类似，其规则需要手动添加和修改。
   • 自反ACL：自反ACL是动态生成的，会根据实时的会话请求自动创建和删除规则。这种动态性使得自反ACL能够灵活应对各种访问需求，同时便于管理。
3. 应用场景
   • 基本ACL：基本ACL常用于简单的网络场景，如阻止特定IP地址段的流量。
   • 高级ACL：高级ACL适用于需要细致控制流量的复杂网络，比如允许或拒绝特定的服务（如只允许来自特定源的HTTP访问）。
   • 自反ACL：自反ACL主要用于保护内网，防止未授权的外部访问。它特别适用于那些要求高安全性的环境，如企业网络。
4. 管理难度
   • 基本ACL：基本ACL管理相对简单，但由于功能有限，在复杂环境中可能需要多个规则，增加管理成本。
   • 高级ACL：高级ACL虽然功能强大，但配置和管理都较为复杂，特别是在大型网络中，规则可能非常多且难以维护。
   • 自反ACL：自反ACL管理较为简便，因为规则是动态生成和删除的，减少了人工介入的需求。
5. 性能
   • 基本ACL：基本ACL由于仅进行基本的源IP匹配，性能开销较小。
   • 高级ACL：高级ACL需要进行多层次的报文检查，消耗更多的处理资源，但在现代网络设备上，这种影响通常较小。
   • 自反ACL：自反ACL性能影响适中，由于规则动态生成，设备需要额外的资源来维持这些临时规则的状态。
6. 安全性
   • 基本ACL：基本ACL提供基础的安全过滤，对简单威胁有效。
   • 高级ACL：高级ACL能针对复杂的网络行为提供安全防护，例如拒绝特定类型的服务请求。
   • 自反ACL：自反ACL通过严格控制进出流量，极大地提高了网络的安全性，尤其对于防止未授权的外部访问非常有效。

自反ACL与高级ACL和基本ACL在匹配能力、动态性、应用场景、管理难度、性能和安全性方面都有显著的区别。在选择适合的ACL类型时，需综合考虑网络环境的复杂度、安全需求以及管理维护的成本。以下是进一步指导：

1. 考虑安全性需求，选择适当的ACL类型。如果网络环境复杂且安全需求高，可以考虑结合使用高级ACL和自反ACL。
2. 注意规则的维护，定期检查和更新ACL规则，避免冗余或冲突。
3. 了解硬件资源的利用情况，合理配置ACL以避免性能瓶颈。

三、实验拓扑与命令及步骤

1、拓扑图：

PC1IP地址：

PC2IP地址：

实验命令 ：

<Huawei>sys
[Huawei]undo indo-center enable
[Huawei]sys R1
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip address 192.168.1.254 24
[R1-GigabitEthernet0/0/0]undo shutdown
[R1-GigabitEthernet0/0/0]int g0/0/1
[R1-GigabitEthernet0/0/1]ip address 192.168.2.254 24
[R1-GigabitEthernet0/0/1]undo shutdown
[R1-GigabitEthernet0/0/1]quit
[R1]acl 3000
[R1-acl-adv-3000]rule 10 permit tcp source 192.168.2.0 0.0.0.255 destination 192
.168.1.0 0.0.0.255 tcp-flag syn ack      //允许pc2到PC1的SYN+ACK报文通过，即允许对PC1发起的TCP连接进行回应
[R1-acl-adv-3000]rule 20 deny tcp source 192.168.2.0 0.0.0.255 destination 192.1
68.1.0 0.0.0.255 tcp-flag syn         //拒绝PC2到PC1的SYN请求报文通过防止PC2主动发起TCP连接
[R1-acl-adv-3000]rule 30 deny icmp source 192.168.2.0 0.0.0.255 destination 192.
168.1.0 0.0.0.255 icmp-type echo        //拒绝PC2到PC1的echo请求报文通过，防止PC2主动发起ping连通性测试
[R1-acl-adv-3000]int g0/0/1
[R1-GigabitEthernet0/0/1]traffic-filter inbound acl 3000       //
[R1-GigabitEthernet0/0/1]quit

测试：

没设置自反ACL的测试

PC1pingPC2：

 可以看出PC1是可以pingPC2的。

PC2pingPC1：

可以看出PC2也是可以访问PC1的。

设置自反ACL的测试

PC1pingPC2：

在设置之后PC1也是可以访问PC2的。

PC2pingPC1：

设置之后PC2就不能访问PC1了这就是自反ACL。

四、总结

综上所述，自反ACL通过动态创建临时的反向规则来允许响应流量进入，而阻止未被请求的外部流量。这种技术可以有效地保护内部网络，同时确保合法通信的顺畅。在实际应用中，管理员需综合考虑安全需求、管理复杂性和性能影响，以合理部署自反ACL，从而最大化其优势。