ACL

1.概述

• ACL，Access Control list ，是一种包过滤技术（基于三层和四层进行过滤），基于ip包头的IP地址，四层TCP/UDP头部的端口号。
• 可以在路由器上配置，也可以在防火墙上配置

2.分类

2.1.标准ACL

• 表号 ：1-99
• 特点：只能基于源IP对包进行过滤
• 命令：

配置ACL表：
	conf t
		access-list 表号 permit/deny 源网段 反子网掩码
		access-list 表号 permit/deny host 源IP
		no access-list 表号
		show ip access-list 表号
将ACl应用到接口：
	int f0/x
		ip access-group 表号 in/out
		exit
	sh run

2.2.扩展ACL

• 标号：100-199
• 特点：可以基于源IP，目标IP，端口号，协议等对包进行过滤

conf t 
	access 表号 permit/deny 协议（tcp/ip/udp/icmp） 源IP或源网段 反子网掩码 目标IP或目标网段 反子网掩码 [eq 端口号]

3.ACL原理

• ACL表必须应用到接口的进或出方向才生效！
• 一个接口的一个方向只能应用一张表
• 进还是出方向应用？取决于流量控制总方向
• ACL表是严格自上而下检查每一条，所以要注意书写顺序。
• 每一条是由条件和动作组成，当某流量没有满足某条件，则继续检查下一条
• 标准ACL尽量写在靠近目标的地方（以免过滤不必要的包）
• 扩展ACL尽量写在靠近源的地方（减少网络流量占用）
• wencoll小原理：
  • 做流量控制，首先要判断ACL写的位置
  • 再考虑怎么写ACL：首先要判断最终要允许所有还是拒绝所有。并且将严格的要求写在前面。
• 一般情况下，标准或扩展ACL一旦编写好，无法修改某一条，也无法删除某一条，也无法修改顺序，只能一直在最后添加新的条目（如果想修改插入删除，只能删除整张表重新写！）
• 命名ACL:可以对标准对扩展ACL进行自定义命名，更容易辨认，也便于记忆，可以任意修改某一条或删除某一条，也可以往中间插一条。

ip access-list standard 表名   //创建命名标准ACL
ip access-list extended 表名  //创建命名扩展ACL
	no 序号   //删除表中的某一项
	序号 命令  //像表中插入某一项