ACL访问控制列表概述

一、ACL的概述

访问控制列表(ACL)是一种基于包过滤的访问控制技术，它可以根据设定的条件对接口上的数据包进行过滤，允许其通过或丢弃。访问控制列表被广泛地应用于路由器和三层交换机，借助于访问控制列表，可以有效地控制用户对网络的访问，从而最大程度地保障网络安全。

ACL原理：在接口上定义N条规则过滤数据包，要么放行要么丢弃

作用：用于过滤经过接口的数据包，根据规则要么放通，要么丢弃

读取第三层、第四层包头信息

根据预先定义好的规则对包进行过滤

**通信四元素：**源地址、目的地址、源端口、目的端口

**通信五元素：**源地址、目的地址、源端口、目的端口、协议

---

二、访问控制列表

1）访问控制列表在接口应用的方向

访问控制列表在接口应用的方向

出:已经过路由器的处理，正离开路由器接口的数据包

入:已到达路由器接口的数据包，将被路由器处理

列表应用到接口方向与数据方向有关

PS:

inbound 入口

outbound 出口

白名单：默认拒绝所有，放一个 可以通信一个 自己内 部的业务

黑名单：默认开放所有，加入一个，不能通信一个

2）访问控制列表的处理过程

PS:思科 隐含拒绝所有

华为 隐含允许所有

3）ACL的种类

编号2000-2999	基本ACL	依据依据数据包当中的 源IP地址匹配数据（数据时从 哪个IP地址 过来的）
编号3000-3999	高级ACL	可根据 协议、源IP、目的IP 源端口、目的端口、匹配
编号4000-4999	二层ACL	可根据 源MAC 目的MAC 二层协议

4）ACL的应用原则

基本ACL:尽量用在靠近目的点

高级ACL:尽量用在靠近源的地方(可以保护带宽和其他资源)

5）匹配规则

①一个接口的同一个方向，只能调用一个ACL

②一个ACL可配置多条规则，匹配时是从上往下依次匹配，匹配到即停止

③用来做数据包访问控制时，默认隐含放过所有(华为设备)

三、ACL配置

[Huawei]acl number 2000

###创建acl 2000

[Huawei-acl-basic-2000]rule 5 deny source 192.168.1.1 0

#拒绝源地址为192.168.1.1的流量，0代表仅此一台，5是这条规则的序号（可不加）

[Huawei]interface GigabitEthernet 0/0/1

[Huawei-GigabitEthernet0/0/1]ip address 192.168.2.254 24

[Huawei-GigabitEthernet0/0/1]traffic-filter outbound acl 2000

###接口出方向调用acl 2000，outbound代表出方向，inbound代表进入方向

[Huawei-GigabitEthernet0/0/1]undo sh

[Huawei]acl number 2001

###进入acl 2001 列表

[Huawei-acl-basic-2001]rule permit source 192.168.1.0 0.0.0.255

###permit代表允许，source代表来源，掩码部分为反掩码

[Huawei-acl-basic-2001]rule deny source any

###拒绝所有访问，any代表所有 0.0.0.0 255.255.255.255

或者 rule deny

[Huawei]interface GigabitEthernet 0/0/1

###进入出口接口

[Huawei-GigabitEthernet0/0/1]ip address 192.168.2.254 24

[Huawei-GigabitEthernet0/0/1]traffic-filter outbound acl 2001

[Huawei]acl nmuber 3000

###拒绝tcp为高级控制,所以3000起

[Huawei-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 destination 192.168.3.1 0

###拒绝Ping

[Huawei-acl-adv-3000]rule permit tcp source 192.168.1.3 0 destination 192.168.3.1 0 destination-port eq 80

###destination代表目的地地址，destination-port代表目的端口号，80可用www代替

[Huawei-acl-adv-3000]rule deny tcp source any destination 192.168.3.1 0 destination-port eq 80

[Huawei-acl-adv-3000]rule deny tcp source 192.168.10.0 0.0.0.255 destination 12.0.0.2 destination-port eq 21

###拒绝源地址192.168.10.0网段访问FTP服务器12.0.0.2

[Huawei-acl-adv-3000]dis this

###查看当前ACL配置是否配置成功

[Huawei]interface g0/0/0

[Huawei-GigabitEthernet0/0/1]ip address 192.168.2.254 24

[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

###在接口入方向应用acl

[Huawei-GigabitEthernet0/0/1]undo traffic-filter inbound

###在接口上取消acl的应用

[Huawei] display acl 3000

###显示acl配置

[Huawei]acl nmuber 3000

[Huawei-acl-adv-3000]dis this

###查看规则序号

[Huawei-acl-adv-3000]undo rule 5

###删除一条acl语句

[Huawei]undo acl number 3000

###删除整个ACL

总结：

#定义ACL

acl number

rule permit/deny [协议] [source/destination] <反掩码> ……

#在接口的指定方向调用ACL

int <接口>

traffic-filter inbound/outbound acl

具体使用方法见ACL实验

链接：ACL实验（eNSP）

---