ACL的认知及配置

1. 访问控制列表（ACL）概念：

ACL（Access Control Lists，缩写ACL），是存取控制列表。它读取第三层和第四层的包头信息（这里就引出了通信四元素：原地址，目标地址，源端口。目标端口），根据预先设置的规则对包进行过滤。

ACL两种作用：

• 用来对数据包做访问控制（丢弃或放行）
• 结合其他协议，用来匹配范围

ACL工作原理：

当数据包从接口经过时，由于接口启用了acl，此时路由器会对报文进行检查，然后做出相应的处理

ACL 种类:

• 基本acl (2000-2999) :只能匹配源ip地址。

• 高级acl (3000-3999):可以匹配源ip、目标ip、源端口、目标端口等三层和四层的字段。

• 二层ACL(4000-49s):根据数据包的源Mac地址、目的Mac地址、802.1q优先级、二层协议类型等二层
  信息制定规则。

ACL(访问控制列表)的应用原则:

• 基本ACL，尽量用在靠近目的点

• 高级ACL，尽量用在靠近源的地方（可以保护带宽和其他资源)

ACL应用规则：

1.一个接口的同一个方向，只能调用一个acl
2、一个acl里面可以有多个rule 规则，按照规则Ip从小到大排序，从上往下依次执行
3、数据包一旦被某rule匹配，就不再继续向下匹配
4、用来做数据包访问控制时，默认隐含放过所有（华为设备)

2. 配置实验

1. 仅允许PC1访问192.168.2.0/24网络
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip add 192.168.1.254 24
[R1-GigabitEthernet0/0/0]un sh.
[R1-GigabitEthernet0/0/0]int g0/0/1
[R1-GigabitEthernet0/0/1]ip add 192.168.3.254 24
[R1-GigabitEthernet0/0/1]un sh
[R1-GigabitEthernet0/0/1]int g0/0/2
[R1-GigabitEthernet0/0/2]ip add 192.168.2.254 24
[R1-GigabitEthernet0/0/2]un sh
[R1-GigabitEthernet0/0/2]q
[R1]acl 2000
[R1-acl-basic-2000]rule permit source 192.168.1.1 0
[R1-acl-basic-2000]rule deny
[R1-acl-basic-2000]q
[R1]int g0/0/2
[R1-GigabitEthernet0/0/2]traffic-filter outbound acl 2000

2. 禁止192.168.1.0/24网络ping web服务器
[R1]acl 3000
[R1-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 destination 192.168.3.1 0
[R1-acl-adv-3000]q
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000
[R1-GigabitEthernet0/0/0]q

如果想要PC3ping web服务器

3. 仅允许client1访问web服务器WWW服务
[R1]acl 3000
[R1-acl-adv-3000]rule permit tcp source 192.168.1.3 0 destination 192.168.3.1 0 destination-port eq 80
[R1-acl-adv-3000]rule deny tcp source any