ACL访问控制列表 - 从零开始学习

最新推荐文章于 2023-10-28 11:44:00 发布

serendipity_cat

最新推荐文章于 2023-10-28 11:44:00 发布

阅读量1.6k

点赞数

分类专栏：网络基础文章标签：路由器网络 acl

本文链接：https://blog.csdn.net/qq_42427971/article/details/112292157

版权

网络基础专栏收录该内容

17 篇文章 3 订阅

订阅专栏

本文详细介绍了访问控制列表(Access Control List, ACL)的技术背景，包括其在路由器接口中的应用方向。内容涵盖基本ACL、高级ACL和二层ACL的差异，并阐述了如何在不同点应用ACL来保护网络资源。此外，还解析了ACL的配置指令，如创建和管理规则，以及如何在接口上绑定ACL以实现数据包的访问控制。

摘要由CSDN通过智能技术生成

技术背景

访问控制列表在接口应用的方向

出：已经过路由器的处理，正离开路由器接口的数据包
入：已到达路由器接口的数据包，将被路由器处理

三种不同的ACL

基本ACL 2000 ~ 2999 只匹配源IP

尽量靠近目的的点

高级ACL 3000 ~ 3999 只匹配源目IP和端口、三四层协议等

尽量靠近源点(保护带宽和其他资源)

二层ACL 4000 ~ 4999 只匹配源MAC 802.19优先

应用规则

一个接口同一方向只能调用一个ACL
一个ACL可以有多个rule

按ruleID从小到大排序从上往下匹配

用作数据包访问控制时，默认隐含放通所有

ACL配置指令

acl 2000
//创建一个基础ACL
[acl-basic-2000]rule [5] deny source [IP] [反掩码]
//添加一条拒绝某IP的规则 deny/permit
/* 数字5是ruleID，可选项 */
[acl-basic-2000]rule deny
//添加一条禁止所有访问源
/* 此时这条禁止规则的ID为10 */
acl 3000
//创建一个高级ACL
[acl-adv-3000]rule deny [协议，如:“ICMP”] soure [IP/IP网段] [反掩码] destination [目的IP] [反掩码] 
//禁止某IP或者某网段使用ICMP协议相关指令，如Ping，目的IP
[acl-adv-3000]rule deny [TCP] soure [IP/IP网段] [反掩码] destination [目的IP] [反掩码] destination-port eq www
//此处www可替换为80或指定端口
[SW1-Ethernet0/0/1]traffic-filter [outbound/inbound] acl [aclID]
//接口绑定访问控制策略 outbound 出口 inbound 进口