ensp-acl访问控制实验

最新推荐文章于 2024-06-19 22:42:37 发布
最新推荐文章于 2024-06-19 22:42:37 发布
阅读量7.3k 收藏 45
点赞数 8
分类专栏： 网络工程 文章标签： 网络 路由器
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_45089570/article/details/105619563
版权

IP ACL概述

ACL-Access Control List

它的作用是对网络流量的访问行为进行控制，是管理员管理、监控网络流量的得力工具；
ACL常常会和服务质量（Quality of Service，QoS）、路由策略等技术结合起来使用，为某项后续的操作定义流量的匹配标准。

在华为设备上，IP ACL分为两种类型：
基本IP ACL
只能基于源IP地址进行匹配
高级IP ACL
基于多种参数进行匹配，这些参数包括三层信息，比如源和目的IP地址，以及四层信息，比如TCP/UDP的源和目的端口号。

IP ACL工作原理

ACL是一个由多条匹配规则和行为构成的过滤列表，每个ACL中都可以包含多个匹配规则，每个匹配规则必须关联一个行为（允许或拒绝）；
当与数据包相匹配的规则中指定了拒绝行为，设备就会丢弃这个数据包。当与数据包相匹配的规则中指定了允许行为，设备就会继续处理这个数据包。

如下为ACL的工作示意图
在这里插入图片描述数据包与ACL中的“允许”行为相匹配时的操作：
在这里插入图片描述数据包与ACL中的“拒绝”行为相匹配时的操作：
在这里插入图片描述

通配符掩码

通配符掩码有两种表现形式：

  • 十进制（点分十进制）
  • 二进制
    在这里插入图片描述
    通配符掩码中，0和1的匹配规则如下：
  • 二进制0：必须与IP地址中的对应位取值相匹配；
  • 二进制1：无需与IP地址中的对应位取值相匹配。
    通配符掩码与网络掩码的区别:
    在这里插入图片描述
    通配符掩码示例：
只匹配一个IP地址（主机地址）192.168.8.10：
192.168.8.10 0.0.0.0
匹配一个连续的IP地址范围：
192.168.8.10 0.0.0.255
匹配一个连续的IP地址范围192.168.8.0～192.168.15.255：
192.168.8.10 0.0.7.255
匹配所有IP地址：
192.168.8.10 255.255.255.255

通配符掩码深入理解案例一：
以IP地址10.10.10.10为例

在这里插入图片描述匹配多个连续的IP地址：通配符掩码（十进制）非0位的取值必须是1、3、7、15、31、63、127、255。

通配符掩码深入理解案例二:

在这里插入图片描述案例总结:

此案例中，0和1之间的分界线移到了通配符掩码的第3个八位组，这样一来匹配的IP地址数量就增多了。也就是说，0和1之间的分界线越往左侧移动，匹配的IP地址数量就越多；
在描述连续范围内的IP地址时，二进制格式的通配符掩码要满足：

前半部分必须是连续的0
后半部分必须是连续的1

通配符掩码总结：

在这里插入图片描述
描述一个连续的IP地址范围：二进制通配符掩码中的1从右侧起就是连续的，不能在任意两个1之间出现0。

IP ACL中的匹配顺序

  • 在有多条匹配规则的ACL中，数据包是按顺序从上到下与多个规则进行一一匹配的；
  • ACL中的每个条目（匹配规则）都有一个相应的编号，在使用这个ACL对数据包进行匹配时，设备会按照编号从小到大的顺序来对数据包进行匹配。

在设计ACL中的条目及其顺序时，管理员要考虑到以下几点：

  • 设备会按照从上到下（即编号从小到大）的顺序来依次匹配数据包；
  • 一旦数据包与当前规则匹配成功，设备就会按照当前规则中指定的行为来处理数据包，同时ACL匹配行为也就到此结束了，设备不会继续在ACL中查找其他匹配条目。
如果ACL中没有定义任何规则，则ACL匹配结果为：未命中；
如果ACL中定义了规则，则设备按照规则编号逐个查找匹配规则：
如果数据包与允许语句相匹配，则匹配结果为：匹配（允许）；
如果数据包与拒绝语句相匹配，则匹配结果为：匹配（拒绝）；
如果数据包与管理员明确配置的语句都不匹配，则匹配结果为：未命中。

入向IP ACL

路由器转发数据包时会由一个接口接收数据包并从另一个接口转发出去。因此这个数据包可能会经由两个ACL进行过滤：

  • 在入站接口上由入向ACL进行过滤
  • 在出站接口上再由出站ACL进行过滤
    在这里插入图片描述数据包在进入路由器接口时，会受到入站接口上应用的入向IP ACL的过滤，并且会产生以下两种结果：
  • 路由器把数据包转交给路由转发进程进行处理
  • 路由器丢弃数据包

入向IP ACL的应用位置和方向示意图:

在这里插入图片描述入站数据包过滤流程图
在这里插入图片描述

出向IP ACL

当路由器通过查询IP路由表，找到了转发数据包所使用的出站接口后，数据包就会受到出站接口应用的出向IP ACL的过滤，并且会产生以下两种结果：

  • 路由器把数据包转发出去
  • 路由器丢弃数据包

出向IP ACL的应用位置和方向示意图:
在这里插入图片描述
出站数据包过滤流程图:

在这里插入图片描述

基本IP ACL

在使用基本IP ACL进行流量过滤时，管理员只能在匹配规则中设置以下参数：

  • 源IP地址
  • 分片信息
  • 生效时间

当在一条匹配规则中同时配置了上述参数时，必须所有参数都满足条件，路由器才会认为数据包与这条规则相匹配；
管理员可以根据实际需求有选择地使用上述参数。

在流控制/简化流控制模块中应用ACL来过滤流量时，管理员可以使用以下三个步骤来创建并应用基本IP ACL：

步骤1

acl [number] acl-number
  • 系统视图命令；
  • 创建一个IP ACL，并进入IP ACL视图；
  • 管理员可以使用这条命令创建任意类型的ACL（IP ACL、MAC ACL或用户自定义ACL），只是要注意根据ACL类型来选择ACL的编号。

步骤2

rule [rule-id] {deny | permit} [source {source-address source-wildcard | any}]

基本IP ACL视图命令；
作用是定义一条匹配规则。

步骤3

traffic-filter {inbound | outbound} {acl | ipv6 acl} {acl-number | name acl-name}

接口视图命令；
作用是在接口上应用ACL。

创建基本IP ACL

在这里插入图片描述场景介绍
AR1作为网络中唯一一台路由器，负责不同VLAN之间的数据转发，同时作为企业网的网关为局域网中的主机提供Internet连接。

地址规划
在这里插入图片描述在这个企业网环境中，管理员要通过基本IP ACL实现以下需求：
源IP地址为私有地址的流量不能从Internet进入企业网络；
财务部门服务器VLAN（10.10.10.0/24）中的服务器只能由财务部VLAN（10.10.30.0/24）中的主机进行访问。

为了满足上述需求，管理员决定在AR1的G6/0/0和G6/0/1接口上实施相应的过滤行为，并创建了下面两个基本IP ACL；
管理员在ACL 2000中拒绝了所有源为私有IP地址的访问，在ACL 2010中只允许VLAN 30的主机访问。

[AR1]acl 2000
[AR1-acl-basic-2000]rule deny source 10.0.0.0 0.255.255.255
[AR1-acl-basic-2000]rule deny source 172.16.0.0 0.15.255.255
[AR1-acl-basic-2000]rule deny source 192.168.0.0 0.0.255.255
[AR1-acl-basic-2000]quit
[AR1]acl 2010
[AR1-acl-basic-2010]rule permit source 10.10.30.0 0.0.0.255  #只允许这个网段的计算机访问
[AR1-acl-basic-2010]rule deny source any  # 其他网段都不允许访问

使用display acl命令查看了这两个IP ACL的配置。

[AR1]display acl all
 Total quantity of nonempty ACL number is 2 
 
Basic ACL 2000, 3 rules
Acl's step is 5
 rule 5 deny source 10.0.0.0 0.255.255.255 
 rule 10 deny source 172.16.0.0 0.15.255.255 
 rule 15 deny source 192.168.0.0 0.0.255.255 
 
Basic ACL 2010, 2 rules
Acl's step is 5
 rule 5 permit source 10.10.30.0 0.0.0.255 
 rule 10 deny

在相应的接口上应用创建的IP ACL。

[AR1]interface g6/0/0
[AR1-GigabitEthernet6/0/0]traffic-filter inbound acl 2000
[AR1-GigabitEthernet6/0/0]quit
[AR1]interface g6/0/1
[AR1-GigabitEthernet6/0/1]traffic-filter outbound acl 2010

ISP路由器向AR1的G6/0/0接口发起了ping测试：
在这里插入图片描述分别从PC30和PC20向服务器10发起了ping测试
在这里插入图片描述在这里插入图片描述

高级IP ACL

在使用高级IP ACL进行流量过滤时，管理员能够在匹配规则中设置多种参数；
管理员可以使用以下三个步骤来创建并应用高级IP ACL。

步骤一：

acl [number] acl-number
  • acl：必选关键字，表示管理员将要配置一个ACL；
  • number：可选关键字，表示管理员要为这个ACL定义一个编号。在本节的配置案例中，我们会省略这个关键字；
  • acl-number：必选参数，在这里设置管理员要配置的ACL编号。高级IP ACL的编号取值范围是3000～3999。

步骤二：

rule [rule-id] {deny | permit} ip [destination {destination-address destination-wildcard | any } | source {source-address source-wildcard | any}

  • rule：必选关键字，表示管理员将要配置一条规则；

  • rule-id：可选关键字，表示管理员为这条规则设置编号；

  • deny | permit：必选关键字（二选一），指定这条匹配规则的行为。如果要丢弃与这条规则相匹配的IP数据包，就使用关键字deny。如果要放行与这条规则相匹配的IP数据包，就使用关键字permit

  • destination {destination-address destination-wildcard | any }：可选关键字组，关键字destination表示管理员要配置目的IP地址信息；destination-address destination-wildcard参数用来指定具体的IP地址；关键字any表示这条规则要匹配任意目的IP地址的数据包；

  • source {source-address source-wildcard | any}：可选关键字组，关键字source表示管理员要配置源IP地址信息；source-address source-wildcard参数用来指定具体的IP地址；关键字any表示这条规则要匹配任意源IP地址的数据包。

步骤三：

traffic-filter {inbound | outbound} {acl | ipv6 acl} {acl-number | name acl-name}

traffic-filter：必选关键字；
inbound | outbound：必选关键字（二选一）；
acl | ipv6 acl：必选关键字（二选一）；
acl-number | name acl-name：必选关键字（二选一）。

创建高级IP ACL

基本IP ACL案例中添加了一台路由器后的拓扑：
在这里插入图片描述高级IP ACL环境中的IP地址规划：
在这里插入图片描述财务部门服务器VLAN（10.10.10.0/24）中的服务器只能由财务部VLAN（10.10.30.0/24）中的主机进行访问：
AR1上创建高级IP ACL

[AR1]acl 3000
[AR1-acl-adv-3000]rule deny ip destination 10.10.10.0 0.0.0.255

管理员在ACL 3000中禁止VLAN 20中的用户PC访问VLAN 10：
查看管理员创建的高级IP ACL

[AR1]display acl 3000
Advanced ACL 3000, 1 rule
Acl's step is 5 
 rule 5 deny ip destination 10.10.10.0 0.0.0.255

高级IP ACL应用在相应的位置上：

[AR1]interface g6/0/2
[AR1-GigabitEthernet6/0/2]traffic-filter inbound acl 3000

配置缺省路由

[AR1]ip route-static 0.0.0.0 0 10.10.12.2
[AR2]ip route-static 0.0.0.0 0 10.10.12.1

测试高级IP ACL的效果：

PC20:
在这里插入图片描述PC30:
在这里插入图片描述
使用基本IP ACL和高级IP ACL来实现相同的访问限制的区别：
在这里插入图片描述单独删除指定规则：

[AR1] display acl 2000
Basic ACL 2000, 4 rules
Acl's step is 5
rule 5 deny source 10.0.0.0 0.255.255.255 
 rule 10 permit source 10.10.0.0 0.0.255.255 
 rule 15 deny source 172.16.0.0 0.0.15.255 
 rule 20 deny source 192.168.0.0 0.0.255.255 
 
[AR1] acl 2000
[AR1-acl-basic-2000]undo rule 10
[AR1-acl-basic-2000]quit
[AR1]display acl 2000
Basic ACL 2000, 3 rules
Acl's step is 5
 rule 5 deny source 10.0.0.0 0.255.255.255 
 rule 15 deny source 172.16.0.0 0.0.15.255 
 rule 20 deny source 192.168.0.0 0.0.255.255

利用ACL步长重新自动编号

[AR1]display acl 2000
Basic ACL 2000, 3 rules
Acl's step is 5
 rule 5 deny source 10.0.0.0 0.255.255.255 
 rule 15 deny source 172.16.0.0 0.0.15.255 
 rule 20 deny source 192.168.0.0 0.0.255.255 
 
[AR1]acl 2000
[AR1-acl-basic-2000]rule 4 permit source 10.10.0.0 0.0.255.255
[AR1-acl-basic-2000]display acl 2000
Basic ACL 2000, 4 rules
Acl's step is 5
 rule 4 permit source 10.10.0.0 0.0.255.255 
 rule 5 deny source 10.0.0.0 0.255.255.255 
 rule 15 deny source 172.16.0.0 0.0.15.255 
 rule 20 deny source 192.168.0.0 0.0.255.255 
 
[AR1-acl-basic-2000]step 10
[AR1-acl-basic-2000]display acl 2000
Basic ACL 2000, 4 rules
Acl's step is 10
 rule 10 permit source 10.10.0.0 0.0.255.255 
 rule 20 deny source 10.0.0.0 0.255.255.255 
 rule 30 deny source 172.16.0.0 0.0.15.255 
 rule 40 deny source 192.168.0.0 0.0.255.255

其他高级acl语句

[R1]acl 3000（定义一个扩展ACL3000）
[R1-acl-adv-3000]rule 5 permit ip source 192.168.1.20 0.0.0.0 destination.168.2.10
0.0.00（允许以C2为源C3为目标的流量）
[R1-acl-adv-3000]rule 10 deny ip source 192.168.1.00.0.0.255 destination 192.168.2.0
0.0.0.255（注意此条语句位置！拒绝所有van10为源van20为目标的流量）
[R1-acl-adv-3000]rule 15 deny tcp source 192.168.1.10 0.0.0.0 destination.0.0.2
0.00.0 destination-port eq80（拒绝C1为源访问目标为 Server的TCP80端口）
[R1ac-adv-3000]rule 20 permit ip source any（最后允许所有未匹配的流量）
[R1]int g0/0/1.10
[R1- GigabitEtherneto/0/1.10] traffic-filter inbound acl 3000（在van10网关的n方向调用)acl
西部壮仔
关注
  • 8
    点赞
  • 踩
  • 45
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
华为eNSP—ACL访问控制实验（含高级ACL基本配置）
weixin_45745641的博客
12-10 4804
配置OSPF实现全网互通 配置ACL，实现PC1不能访问PC2，但可以正常访问PC3 PC2不能访问PC3 实验步骤 配置PC1-PC3 IP地址 ​ 配置AR1 ip [AR1]int g 0/0/0 [AR1-GigabitEthernet0/0/0]ip add 192.168.1.254 24 [AR1-GigabitEthernet0/0/0]int
eNSp中的ACL实验
weixin_49252364的博客
05-24 1614
分析： 第一步：配置静态路由 R2: ip route-static 192.168.1.0 255.255.255.0 192.168.2.1 R1: [r1-GigabitEthernet0/0/0]ip address 192.168.1.1 24 [r1-acl-adv-3001]rule deny tcp source 192.168.1.10 0.0.0.0 destination 192.168.2.2 0.0.0.0 destination-port eq 23 PC1: ..
ensp关于ACL实验的基本概念和操作
最新发布
2301_82106265的博客
06-19 548
访问控制列表（Access Control List，简称ACL）是网络设备中用于控制数据包进出的一种重要工具。本文将详细介绍ACL的理论基础、类型、配置方法以及在实际网络环境中的应用。
华为eNSP ACL访问控制列表 实验
weixin_74452917的博客
04-28 1640
如果明确说做在哪里，按要求，没有说明，就靠近目标网段。服务，同时允许财务部向销售部和研发部提供。步骤三：配置网络互通（静态路由、步骤三：配置网络互通（静态路由、靠近目标网段接口，出方向。步骤二：配置路由器各接口。宣告各自路由器连接的网段。步骤二：配置路由器各接口。宣告各自路由器连接的网段。限制销售部访问财务部。禁止销售部访问财务部。
(7)华为ensp--访问控制列表ACL
MasterIE的博客
06-09 3436
ACL的理论和实操了解
010-Ensp-实验-配置ACL
qq_41149775的博客
01-08 806
1.通过ACL 使PC1无法访问PC3。
华为ensp---ACL实验1---路由器设置ACL限制终端访问外网
qq_33754943的博客
03-07 5154
LSW2 [Huawei]vlan batch 10 20 30 [Huawei]int g0/0/1 [Huawei-GigabitEthernet0/0/1]p l a [Huawei-GigabitEthernet0/0/1]port default vlan 10 [Huawei-GigabitEthernet0/0/1]int g0/0/2 [Huawei-GigabitEthernet0/0/2]p l a [Huawei-GigabitEthernet0/0/2]port default v.
华为ensp---ACL实验2---三层交换机限制VLAN互访
qq_33754943的博客
03-23 1万+
场景：三层交换机，多个VLAN 需求：ACL限制VLAN间的互访 VLAN和VLANIF配置省略 PC3可以PING通PC4 [Huawei]traffic classifier tc1 [Huawei-classifier-tc1]if-match acl 3000 [Huawei-classifier-tc1]q [Huawei]traffic behavior tb1 [Huawei-behavior-tb1]deny [Huawei-behavior-tb1]q [Huawei]traffic
华为ensp-高级ACL单通实验-存在BUG
白话聊网络的博客
08-30 1213
很多小伙伴在做毕设实验中都需要增加高级acl的应用，这是访问限制的板块，也是为自己的毕设交份满意的答卷，突出亮点。通过以上实验结论，证明ensp中的交换机无法模拟单通测试，相同的命令AR系列路由器可以，但还是那个问题，总不能在财务部上加台路由器吧，在内网中终端都是在接入交换机3700，汇聚及核心一般都是用5700模拟，即便是做访问控制也是在交换机上做，但ensp环境中的确无法实现，只是模拟器环境哦，真机是肯定没问题的。5700交换机-不OK。3700交换机-不OK。
华为模拟器eNSP练习题-ACL
01-04
本练习题专注于ACL（Access Control List），这是一种网络安全策略，用于控制网络流量的访问权限。通过在华为设备上配置ACL，我们可以实现对网络数据包的过滤，以保护网络资源，防止未授权的访问。 **HCIA认证与...
ENSP实验Acl nat server
10-20
在ENSP实验中，你可以通过配置ACL来控制流量的进出，实现对网络资源的精细访问管理。ACL规则通常基于源IP地址、目的IP地址、端口号、协议类型等参数。例如，你可以创建一条规则，只允许特定IP地址的主机访问特定的...
华为模拟器eNSP-HCIA综合实验2
01-04
配置文件通常包括接口设置、IP地址分配、路由协议（如OSPF、RIP等）、访问控制列表（ACL）和QoS策略等内容。 例如，`7BC19E16-F82A-4b9c-99F0-7441B99F23B5`可能是一个路由器的配置，包含接口的激活、IP地址的指定...
9.5-ACL用于控制Telnet
04-21
在IT行业中，访问控制列表（Access Control List, ACL）是一种常用的安全管理机制，它允许网络管理员定义特定的规则来控制网络流量。在这个“9.5-ACL用于控制Telnet”的主题中，我们将深入探讨如何利用ACL来管理和...
eNSP-campus-network-用eNSP建立园区网
02-02
ensp 园区网络就是我们在工作与生活的园区内使用的网络，园区网络一直处在网络的战略核心位置。园区包括工厂、政府机关、商场、写字楼、校园、公园等，可以说，在一个城市中，...访问控制列表ACL；网络地址转换NAT。
ensp-端口配置
热门推荐
西部壮仔的博客
05-07 1万+
端口安全 实验拓扑: SW1: [SW1]int gi0/0/1 [SW1-GigabitEthernet0/0/1]port-security enable #开启端口安全，该接口就只允许一个mac地址通信 [SW1-GigabitEthernet0/0/1]port-security mac-address sticky # 开启mac地址自动粘贴，第一个用户的mac地址会自动被粘贴到该接...
ensp-STP的配置实验
西部壮仔的博客
04-13 1万+
实验拓扑: SWA: <Huawei>system-view [Huawei]sysname SWA [SWA]stp enable [SWA]stp mode stp #stp协议的类型为传统stp [SWA]stp priority 4096 #修改优先级为4096 SWB: <Huawei>system-view [Huawei]sysname ...
dhclient的基本命令
西部壮仔的博客
03-19 1万+
dhclient命令的作用是：使用动态主机配置协议动态的配置网络接口的网络参数，也支持BOOTP协议。 语法格式：dhclient [参数] [网络接口] 常用参数： 参数 作用 -p 指定dhcp客户端监听的端口号（默认端口号86） -d 总是以前台方式运行程序 -q 安静模式，不打印任何错误的提示信息 -r 释放ip地址 -n 不配置任何接口 -x 停止正在...
ensp-MSTP配置
西部壮仔的博客
05-10 1万+
Muliti stp 多生成树协议（华为交换机默认运行mstp）工作原理：将多个vlan 捆绑在一起，运行在一个stp 实例里面，不同实例间的stp 互相独立。注：默认情况下所有vlan 都在实例0 里面。 实验拓扑: 根据不同的vlan，走不同的线路 交换机需要提前创建vlan 和trunk SW1： [SW1]stp region-configuration # 进入MST 域视图 [SW1-mst-region]region-name hcnp #配置MST 域的域名 [SW1-mst-reg
华为ensp acl配置实验
12-14
ACL（Access Control List）是一种网络安全技术，用于控制网络流量，实现网络访问控制。为eNSP是一款网络仿真软件，可以用于模拟网络环境，进行ACL配置实验。下面是ACL配置实验的步骤： 1. 创建网络拓扑：在eNSP中创建网络拓，包括交换机、路由器和主机等设备。 2. 配置IP地址：为每个设备配置IP地址，使它们能够相互通信。 3. 配置ACL规则：根据实验需求，设计ACL规则，包括基本ACL和高级ACL。ACL规则可以根据源IP地址、目的IP地址、协议类型、端口号等条件进行匹配，从而实现对网络流量的控制。 4. 应用ACL规则：将ACL规则应用到相应的接口上，使其生效。 5. 测试ACL效果：通过发送数据包测试ACL规则的效果，验证ACL是否能够正确地控制网络流量。 下面是一个简单的ACL配置实验范例： 1. 创建网络拓扑：在eNSP中创建一个包含两台主机和一台路由器的网络拓扑。 2. 配置IP地址：为路由器和两台主机分别配置IP地址，使它们能够相互通信。 3. 配置ACL规则：设计一个基本ACL规则，允许主机A向主机B发送HTTP流量，禁止其他流量通过。ACL规则如下： ```shell acl number 2001 rule 5 permit source 192.168.1.2 0 destination 192.168.1.3 0 http rule 10 deny ``` 4. 应用ACL规则：将ACL规则应用到路由器的接口上，使其生效。假设路由器的接口为GigabitEthernet 0/0/1，应用ACL规则的命令如下： ```shell interface GigabitEthernet 0/0/1 ip address 192.168.1.1 24 traffic-filter inbound acl 2001 ``` 5. 测试ACL效果：在主机A上发送HTTP流量到主机B，验证ACL规则是否生效。
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值