ACL技术

最新推荐文章于 2024-10-13 00:43:14 发布

qq_52825616

最新推荐文章于 2024-10-13 00:43:14 发布

阅读量1.9k

点赞数

文章标签：网络以太坊数字货币

本文链接：https://blog.csdn.net/qq_52825616/article/details/121405650

版权

本文介绍了访问控制列表（ACL）的概念及其在网络中的作用，包括标准和扩展ACL的分类。通过一个拓扑案例展示了如何配置ACL以限制特定设备间的通信，实现网络安全。最终验证了ACL配置的有效性，强调了合理使用ACL对于保障网络安全的重要性。

摘要由CSDN通过智能技术生成

ACL综合案例

前言

访问控制列表（Access Control Lists，ACL）是应用在路由器接口的指令列表。

一、acl的概念

1、acl的作用

读取第三层、第四层包头信息

根据预先定义好的规则对包进行过滤

2、acl的分类

（1）标准访问控制列表

基于源IP地址过滤数据包，标准访问控制列表的访问控制列表号是1 ~ 99。

（2）扩展访问控制列表

基于源IP地址、目的IP地址、指定协议、端口和标志来过滤数据包，扩展访问控制列表的访问控制列表号是100~ 199。

（3）命名访问控制列表

命名访问控制列表允许在标准和扩展访问控制列表中使用，名称代替表号。

二、案例拓扑

ACL综合拓扑

图中pc1和pc3都属于vlan10 ，pc2和pc4属于vlan20，要求全网互通的情况下，pc1不能访问pc2，pc1不能访问服务器的ftp服务。

各设备的配置如下

LSW1
<Huawei>undo terminal monitor 关闭弹窗
<Huawei>sys 用户视图
[Huawei]sysname LSW1 更改LSW1
[LSW1]user-interface console 0 用不超时
[LSW1-ui-console0]id 0 0
[LSW1-ui-console0]q 退回到上一级
[LSW1]vlan batch 10 20 创建vlan10、20
[LSW1]int e0/0/1 进入e0/0/1接口
[LSW1-Ethernet0/0/1]port link-type access 选择access模式
[LSW1-Ethernet0/0/1]port default vlan 10 划给vlan10
[LSW1-Ethernet0/0/1]int e0/0/2 进入e0/0/2接口
[LSW1-Ethernet0/0/2]port link-type access 选择access模式
[LSW1-Ethernet0/0/2]port default vlan 20 划给vlan20
[LSW1-Ethernet0/0/2]int e0/0/3 进入e0/0/3接口
[LSW1-Ethernet0/0/3]port link-type access 选择access模式
[LSW1-Ethernet0/0/3]port default vlan 10 划给vlan10
[LSW1-Ethernet0/0/3]int e0/0/4 进入e0/0/4接口
[LSW1-Ethernet0/0/4]port link-type access 选择access模式
[LSW1-Ethernet0/0/4]port default vlan 20 划给vlan20
[LSW1-Ethernet0/0/4]q 退回到上一级
[LSW1]int g0/0/1 进入g0/0/1接口
[LSW1-GigabitEthernet0/0/1]port link-type trunk 选择trunk模式
[LSW1-GigabitEthernet0/0/1]port trunk allow-pass vlan all 允许所有标签流量通过

AR1
<Huawei>undo terminal monitor 关闭弹窗
<Huawei>sys 用户视图
[Huawei]sysname AR1 更改用户名为AR1
[AR1]user-interface console 0 永不超时
[AR1-ui-console0]id 0 0
[AR1-ui-console0]q 退回上一级
[AR1]int g0/0/0.1 进入 g0/0/0.1接口
[AR1-GigabitEthernet0/0/0.1]dot1q termination vid 10 分装协议号 vid10
[AR1-GigabitEthernet0/0/0.1]ip add 192.168.10.1 24 配置ip地址192.168.10.1/24
[AR1-GigabitEthernet0/0/0.1]un sh 激活端口
[AR1-GigabitEthernet0/0/0.1]int g0/0/0.2 进入 g0/0/0.2接口
[AR1-GigabitEthernet0/0/0.2]dot1q termination vid 20 分装协议号 vid20
[AR1-GigabitEthernet0/0/0.2]ip add 192.168.20.1 24 配置ip地址192.168.20.1/24
[AR1-GigabitEthernet0/0/0.2]un sh 激活端口
[AR1-GigabitEthernet0/0/0.2]int g0/0/0.1 进入 g0/0/0.1接口
[AR1-GigabitEthernet0/0/0.1]arp broadcast enable 开启arp广播
[AR1-GigabitEthernet0/0/0.1]int g0/0/0.2 进入 g0/0/0.2接口
[AR1-GigabitEthernet0/0/0.2]arp broadcast enable 开启arp广播
[AR1-GigabitEthernet0/0/0.2]int g0/0/1 进入 g0/0/1接口
[AR1-GigabitEthernet0/0/1]ip add 10.1.1.1 24 配置ip地址10.1.1.1/24
[AR1-GigabitEthernet0/0/1]un sh 激活端口
[AR1-GigabitEthernet0/0/1]q 退回上一级
[AR1]ip route-static 10.1.2.0 24 10.1.1.2 获取10.1.2.0的地址，下一跳地址10.1.1.2
[AR1]acl 2000 进入 acl 2000
[AR1-acl-basic-2000]rule 5 deny source 192.168.10.10 0.0.0.0 拒绝192.168.10.10 流量通过
[AR1-acl-basic-2000]rule 10 permit source any 允许其他流量通过
[AR1-acl-basic-2000]q 退回到上一级
[AR1]int g0/0/0.2 进入 g0/0/0.2接口
[AR1-GigabitEthernet0/0/0.2]traffic-filter outbound acl 2000 应用acl 2000
[AR1]acl 3000 进入acl3000
[AR1-acl-adv-3000]rule 5 deny tcp source 192.168.10.10 0.0.0.0 destination 10.1.
2.254 0.0.0.0 destination-port eq 21 拒绝192.168.10.10访问10.1.2.254 的ftp服务
[AR1-acl-adv-3000]rule 10 permit ip source any destination any 允许所有其他流量通过
[AR1-acl-adv-3000]q 退回到上一级
[AR1]int g0/0/0.1 进入 g0/0/0.1接口
[AR1-GigabitEthernet0/0/0.1]traffic-filter inbound acl 3000 应用acl 2000

AR2
<Huawei>undo terminal monitor 关闭弹窗
<Huawei>sys 用户视图
[Huawei]sysname AR2
[AR2]user-interface console 0
[AR2-ui-console0]id 0 0 永不超时
[AR2-ui-console0]q 退回到上一级
[AR2]int g0/0/0 进入g0/0/0接口
[AR2-GigabitEthernet0/0/0]ip add 10.1.1.2 24 配置ip地址10.1.1.2/24
[AR2-GigabitEthernet0/0/0]un sh 激活端口
[AR2-GigabitEthernet0/0/0]int g0/0/1 进入g0/0/1接口
[AR2-GigabitEthernet0/0/1]ip add 10.1.2.1 24 配置ip地址10.1.2.1/24
[AR2-GigabitEthernet0/0/1]un sh 激活端口
[AR2-GigabitEthernet0/0/1]q 退回到上一级
[AR2]ip route-static 192.168.10.0 24 10.1.1.1 获取192.168.10.0的地址，下一跳地址10.1.1.1
[AR2]ip route-static 192.168.20.0 24 10.1.1.1 获取192.168.20.0的地址，下一跳地址10.1.1.1