ACL的原理与配置

ACL

ACL的组成

ACL由若干条permit或deny语句组成，每条语句就是该ACL的一条规则，每条语句中的perimit

或deny就是与这条规则对应的处理动作

通配符

通配符是一个32比特长度的数值，用于指示ip地址中，哪些比特位需要严格匹配，哪些比特位无需匹配

通配符通常采用类似网络掩码的点分十进制形式表示，但是含义却与网络掩码不同

子网掩码中1的含义是精确匹配，0的含义是忽略匹配

通配符掩码中0的含义是精确匹配，1的含义是忽略匹配

eg：172.16.40.0/24中16 20 24 28

16 ： 00010000

20 ： 00010100

24 ： 00011000

28 ： 00011100

反掩码：12（00001100）

ACL的分类

基本ACL（2000-2999）：只能匹配源ip地址。

高级ACL（3000-3999）：可以匹配源ip、目标ip、源端口、目标端口等三层和四层的字段和协议。

ACL的应用原则：

基本ACL：尽量用在靠近目的的点（outband）

高级ACL：尽量用在靠近源的地方（inband）

实验案例

首先配置离路由器最近的三个接口的ip

[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.254 24
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 192.168.2.254 24
[Huawei-GigabitEthernet0/0/1]int g0/0/2
[Huawei-GigabitEthernet0/0/2]ip address 192.168.3.254 24

问题1：实现第一个目标：仅允许PC1访问192.168.2.0/24网络（即仅允许PC1访问PC3）

[Huawei]acl number 2000
[Huawei-acl-basic-2000]rule permit source 192.168.1.10 0
[Huawei-acl-basic-2000]rule deny
[Huawei-acl-basic-2000]q
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]traffic-filter outbound acl 2000

问题2：禁止192.168.1.0/24网络ping Web服务器

[Huawei]acl number 3000
[Huawei-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 destination 192.168.3.30 0
[Huawei-acl-adv-3000]q
[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]traffic-filter inbound acl 3000

问题3：仅允许Client1访问WEB服务器的www服务（端口号80）

[Huawei]acl number 3001
[Huawei-acl-adv-3001]rule permit tcp source 192.168.1.30 0 destination 192.168.3.30 0 destination-port eq 80
[Huawei-acl-adv-3001]rule deny icmp source 192.168.1.10 0 destination 192.168.3.30 0
[Huawei-acl-adv-3001]rule deny icmp source 192.168.1.20 0 destination 192.168.3.30 0
[Huawei-acl-adv-3001]q
[Huawei]int g0/0/2
[Huawei-GigabitEthernet0/0/2]traffic-filter outbound acl 3001
[Huawei-GigabitEthernet0/0/2]q