了解ACL及其配置方法

最新推荐文章于 2024-05-14 13:19:15 发布
最新推荐文章于 2024-05-14 13:19:15 发布
阅读量8.7k 收藏 24
点赞数
文章标签： udp tcp/ip java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wanghaoyang0324/article/details/119960355
版权

目录

一.ACL概念

ACL——访问控制列表
ACL：访问控制列表(ACL)是一种基于包过滤的访问控制技术，它可以根据设定的条件对接口上的数据包进行过滤，允许其通过或丢弃。访问控制列表被广泛地应用于路由器和三层交换机，借助于访问控制列表，可以有效地控制用户对网络的访问，从而最大程度地保障网络安全。

二.ACL作用

读取三层，四层头部信息，根据预先定义好的规则对流量进行筛选、过滤。
三层头部信息：源、目标IP；四层头部信息：TCP/UDP协议、源、目标端口号

三.访问控制列表的调用方向

3.1、入接口

流量将要进入本地路由器，将被本地路由器处理

3.2、出接口

已经被本地路由器处理过了，流量将离开本地路由器

四.入接口调用与出接口调用的区别

策略做好后，在入接口调用和在出接口调用的区别
入接口调用的话，是对本地路由器生效
出接口调用的话，是对本地路由器不生效，流量将在数据转发过程中的下一台路由器生效

五.访问控制列表的处理原则

1.路由条目只会被匹配一次
2.路由条目在ACL访问列表中匹配的顺序是从上往下匹配
3.ACL访问控制列表隐含一个拒绝所有
4.ACL访问控制列表至少要放行一个路由条目
在这里插入图片描述

六.访问控制列表类型

6.1、标准访问控制列表

只能基于源IP地址进行过滤；标准访问控制列表的列表号是2000-2999 调用原则：靠近目标

6.2、扩展访问控制列表

可以根据源、目的IP地址，TCP/UDP协议，源、目的端口号进行过滤；相比较标准访问控制列表，流量控制的更加精准；扩展访问控制列表的列表号是3000-3999 调用原则：靠近源

七.ACL配置

7.1、项目测试拓扑图

项目测试目的：用标准访问控制列表让VLAN10的客户机不能访问vlan20的客户机、用扩展ACL访问控制列表禁止Client访问FTP服务器
本次项目测试使用eNSP软件
在这里插入图片描述

7.2、Client客户机设置

在这里插入图片描述

7.3、二层交换机设置

LSW1：

<Huawei>sys	
<Huawei>system-view 
Enter system view, return user view with Ctrl+Z.
[Huawei]sys	
[Huawei]sysname SW1
[SW1]user-int	
[SW1]user-interface c	
[SW1]user-interface co	
[SW1]user-interface console 0
[SW1-ui-console0]idle-t	
[SW1-ui-console0]idle-timeout 0 0
[SW1-ui-console0]q
[SW1]int g0/0/1
[SW1-GigabitEthernet0/0/1]port l	
[SW1-GigabitEthernet0/0/1]port link-type tr	
[SW1-GigabitEthernet0/0/1]port link-type trunk 
[SW1-GigabitEthernet0/0/1]port tr	
[SW1-GigabitEthernet0/0/1]port trunk allo	
[SW1-GigabitEthernet0/0/1]port trunk allow-pass vlan all
[SW1-GigabitEthernet0/0/1]q
[SW1]int e0/0/1
[SW1-Ethernet0/0/1]port l	
[SW1-Ethernet0/0/1]port link-type acc	
[SW1-Ethernet0/0/1]port link-type access 
[SW1-Ethernet0/0/1]q
[SW1]vlan bat 10 20
Info: This operation may take a few seconds. Please wait for a moment...done.
[SW1]int e0/0/1
[SW1-Ethernet0/0/1]port l	
[SW1-Ethernet0/0/1]port link-type access
[SW1-Ethernet0/0/1]port de	
[SW1-Ethernet0/0/1]port default vlan 10
[SW1-Ethernet0/0/1]int e0/0/2
[SW1-Ethernet0/0/2]port l	
[SW1-Ethernet0/0/2]port link-type acc	
[SW1-Ethernet0/0/2]port link-type access 
[SW1-Ethernet0/0/2]port de	
[SW1-Ethernet0/0/2]port default vlan 20
[SW1-Ethernet0/0/2]int e0/0/3
[SW1-Ethernet0/0/3]port l	
[SW1-Ethernet0/0/3]port link-type acc	
[SW1-Ethernet0/0/3]port link-type access 
[SW1-Ethernet0/0/3]port de	
[SW1-Ethernet0/0/3]port default vlan 10
[SW1-Ethernet0/0/3]int e0/0/4
[SW1-Ethernet0/0/4]port l	
[SW1-Ethernet0/0/4]port link-type acc
[SW1-Ethernet0/0/4]port link-type acc	
[SW1-Ethernet0/0/4]port link-type access 
[SW1-Ethernet0/0/4]port de	
[SW1-Ethernet0/0/4]port default vlan 20

7.4、路由器设置

AR2：

<Huawei>ter	
<Huawei>terminal mo	
<Huawei>terminal monitor 
Info: Current terminal monitor is on.
<Huawei>sys	
<Huawei>system-view 
Enter system view, return user view with Ctrl+Z.
[Huawei]sys	
[Huawei]sysname R1
[R1]user-in	
[R1]user-interface co	
[R1]user-interface console 0
[R1-ui-console0]idle-	
[R1-ui-console0]idle-timeout 0 0
[R1-ui-console0]q
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]undo sh	
[R1-GigabitEthernet0/0/0]undo shutdown 
Info: Interface GigabitEthernet0/0/0 is not shutdown.
[R1-GigabitEthernet0/0/0]int g0/0/0.1
[R1-GigabitEthernet0/0/0.1]dotq	
[R1-GigabitEthernet0/0/0.1]dot1	
[R1-GigabitEthernet0/0/0.1]dot1q ter	
[R1-GigabitEthernet0/0/0.1]dot1q termination vid 10
[R1-GigabitEthernet0/0/0.1]ip add 192.168.10.1 24
Aug 27 2021 16:53:31-08:00 R1 %%01IFNET/4/LINK_STATE(l)[0]:The line protocol IP 
on the interface GigabitEthernet0/0/0.1 has entered the UP state. 
[R1-GigabitEthernet0/0/0.1]arp br	
[R1-GigabitEthernet0/0/0.1]arp broadcast en	
[R1-GigabitEthernet0/0/0.1]arp broadcast enable 
[R1-GigabitEthernet0/0/0.1]int g0/0/0.2
[R1-GigabitEthernet0/0/0.2]dot1	
[R1-GigabitEthernet0/0/0.2]dot1q ter	
[R1-GigabitEthernet0/0/0.2]dot1q termination v	
[R1-GigabitEthernet0/0/0.2]dot1q termination vid 20
[R1-GigabitEthernet0/0/0.2]ip add 192.168.20.1 24
Aug 27 2021 16:54:01-08:00 R1 %%01IFNET/4/LINK_STATE(l)[1]:The line protocol IP 
on the interface GigabitEthernet0/0/0.2 has entered the UP state. 
[R1-GigabitEthernet0/0/0.2]arp br	
[R1-GigabitEthernet0/0/0.2]arp broadcast en	
[R1-GigabitEthernet0/0/0.2]arp broadcast enable 
[R1-GigabitEthernet0/0/0.2]q
[R1]ac	
[R1]acl 2000
[R1-acl-basic-2000]rule de	
[R1-acl-basic-2000]rule deny so	
[R1-acl-basic-2000]rule deny source 192.168.10.0 0.0.0.255
[R1-acl-basic-2000]rule per	
[R1-acl-basic-2000]rule permit sou	
[R1-acl-basic-2000]rule permit source any
[R1-acl-basic-2000]q
[R1]int g0/0/0.2
[R1-GigabitEthernet0/0/0.2]traffic	
[R1-GigabitEthernet0/0/0.2]traffic-filterou	
[R1-GigabitEthernet0/0/0.2]traffic-filter ou	
[R1-GigabitEthernet0/0/0.2]traffic-filter outbound acl 2000
[R1-GigabitEthernet0/0/0.2]
Aug 27 2021 17:46:04-08:00 R1 %%01IFPDT/4/IF_STATE(l)[2]:Interface GigabitEthern
et0/0/1 has turned into UP state.
[R1-GigabitEthernet0/0/0.2]q
[R1]int g0/0/1
[R1-GigabitEthernet0/0/1]ip add 10.1.1.1 24
Aug 27 2021 18:41:36-08:00 R1 %%01IFNET/4/LINK_STATE(l)[3]:The line protocol IP 
on the interface GigabitEthernet0/0/1 has entered the UP state. 
[R1-GigabitEthernet0/0/1]ip add 10.1.1.1 24
Error: The address already exists.
[R1-GigabitEthernet0/0/1]undo sh	
[R1-GigabitEthernet0/0/1]undo shutdown 
Info: Interface GigabitEthernet0/0/1 is not shutdown.
[R1-GigabitEthernet0/0/1]q
[R1]ip rou	
[R1]ip route-st	
[R1]ip route-static 0.0.0.0 0 10.1.1.2
[R1]acl 3000
[R1-acl-adv-3000]rule de	
[R1-acl-adv-3000]rule deny tc	
[R1-acl-adv-3000]rule deny tcp sou	
[R1-acl-adv-3000]rule deny tcp source 192.168.10.10 0 des	
[R1-acl-adv-3000]rule deny tcp source 192.168.10.10 0 destination 201.20.100.100
 0 des	
[R1-acl-adv-3000]rule deny tcp source 192.168.10.10 0 destination 201.20.100.100
 0 destination-port eq 21
[R1-acl-adv-3000]rule pe	
[R1-acl-adv-3000]rule permit tcp	
[R1-acl-adv-3000]rule permit tcp sour	
[R1-acl-adv-3000]rule permit tcp source any de	
[R1-acl-adv-3000]rule permit tcp source any destination any de	
[R1-acl-adv-3000]rule permit tcp source any destination any destination-port eq 
21
[R1-acl-adv-3000]rule pe	
[R1-acl-adv-3000]rule permit ip sou	
[R1-acl-adv-3000]rule permit ip source an	
[R1-acl-adv-3000]rule permit ip source any de	
[R1-acl-adv-3000]rule permit ip source any destination any
[R1-acl-adv-3000]dis this
[V200R003C00]
#
acl number 3000  
 rule 5 deny tcp source 192.168.10.10 0 destination 201.20.100.100 0 destination
-port eq ftp 
 rule 10 permit tcp destination-port eq ftp 
 rule 15 permit ip 
#
return
[R1-acl-adv-3000]q
[R1]int g0/0/0.1
[R1-GigabitEthernet0/0/0.1]traff	
[R1-GigabitEthernet0/0/0.1]traffic-filter in	
[R1-GigabitEthernet0/0/0.1]traffic-filter inbound ac;	
[R1-GigabitEthernet0/0/0.1]traffic-filter inbound ac	
[R1-GigabitEthernet0/0/0.1]traffic-filter inbound acl 3000

AR3：

<Huawei>undo te	
<Huawei>undo terminal m	
<Huawei>undo terminal monitor 
Info: Current terminal monitor is off.
<Huawei>sys	
<Huawei>system-view 
Enter system view, return user view with Ctrl+Z.
[Huawei]sys	
[Huawei]sysname R2
[R2]user-i	
[R2]user-interface co	
[R2]user-interface console 0
[R2-ui-console0]id	
[R2-ui-console0]idle-timeout 0 0
[R2-ui-console0]q
[R2]int g0/0/0
[R2-GigabitEthernet0/0/0]ip add 10.1.1.2 24
[R2-GigabitEthernet0/0/0]undo s	
[R2-GigabitEthernet0/0/0]undo shutdown 
Info: Interface GigabitEthernet0/0/0 is not shutdown.
[R2-GigabitEthernet0/0/0]int g0/0/1
[R2-GigabitEthernet0/0/1]ip add 201.20.100.2 24
[R2-GigabitEthernet0/0/1]q
[R2]int g0/0/1
[R2-GigabitEthernet0/0/1]undo s	
[R2-GigabitEthernet0/0/1]undo sh	
[R2-GigabitEthernet0/0/1]undo shutdown 
Info: Interface GigabitEthernet0/0/1 is not shutdown.
[R2-GigabitEthernet0/0/1]q
[R2]ip rou	
[R2]ip route-s	
[R2]ip route-static 0.0.0.0 0 10.1.1.1

7.5、服务器设置

在这里插入图片描述

7.6、测试ACL配置

标准访问控制检测VLAN10不能访问VLAN20：
在这里插入图片描述
用扩展ACL访问控制列表禁止Client访问FTP服务器：
原本VLAN10客户机是可以像vlan20客户机一样在服务器上上传文件并下载
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
设置完扩展ACL访问控制表后就访问不了
在这里插入图片描述

我是驴
关注
  • 0
    点赞
  • 踩
  • 24
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
ACL
weixin_50339323的博客
05-21 1041
ACL技术 背景 ACL概念 ACL实现方式 高级ACL 一、ACL技术背景 企业网络中的设备进行通信时，需要保障数据传输的安全可靠和网络的性能稳定。 访问ACL(Access Control List )可以定义一系列不同的规则，设备根据这些规则对数据包进行分类，并针对不同类型的数据报文进行不同处理，从而可以实现对访问行为的控制、限制网络流量、提高网络性能、防止网络攻击等。 ACL可以通过定义规则来允许或拒绝流量的通过。 二、ACL概念 ACL访问控...
12_扩展ACL实验1
08-03
1. 熟悉并掌握标准访问控制列表（Standard ACL）的规则及其配置方法。 2. 学习和理解扩展访问控制列表（Extended ACL）的规则及配置过程。 3. 了解标准访问列表和扩展访问列表之间的区别。 【实验内容】： 实验主要...
ACL配置方法
最新发布
扮瘦人的博客
05-14 576
ACL概述，ACL配置
ACL(访问控制列表)
Liangheng32的博客
08-27 345
目录 ACL-访问控制列表 访问控制列表的调用的方向: 策略做好后，在入接口调用和出接口调用的区别: 访问控制列表的处理原则: 访问控制列表类型: 实验1： 标准访问控制列表 ACL-访问控制列表 作用:读取三层、四层头部信息，根据预先定义好的规则对流量进行筛选、过滤。 三层头部信息:源、目IP 四层头部信息:源、目端口号 访问控制列表的调用的方向: 入:流量将要进入本地路由器，将被本地路由器处理。 出:已经被本地路由器处理过了，流量将离开本地路由器。 （所谓的接口的出和...
ACL详解
qq_20411471的博客
10-23 9038
一. ACL概述 ACL(Access Control List)访问控制列表,主要用于过滤网络中的流量，是控制访问的一种技术手段。网络设备为了过滤报文，需要配置一系列的匹配条件对报文进行分类，应用在端口上，根据预先设定的策略，对特定端口的流量起到控制作用。 访问控制列表(ACL)由一组规则组成，在规则中定义允许或拒绝通过路由器的条件。 利用ACL可以对经过路由器的数据包按照...
ACL原理及配置
zhangchang3的博客
02-10 2343
ACL原理及配置
路由交换基本配置 升级备份 VLAN RIP IGRP EIGRP OSPF ACL NAT PPP
09-29
下面将逐一详细介绍这些概念及其配置。 1. **路由交换基本配置**：这是网络设备的基础操作，包括设置设备接口、配置IP地址、子网掩码和默认网关，以及建立设备间的连接。配置过程中可能涉及命令行界面（CLI）操作，...
华为配置命令及其编程规范
05-14
在配置这些设备时，了解相应的命令语法和编程规范是必不可少的。以下是一些核心的知识点： 1. **CLI（命令行接口）**：华为Quidway设备主要通过CLI进行配置，它提供了一种交互式的文本界面，用户可以通过输入特定的...
基本ACL故障处理与优化案例及故障分析.pptx
11-26
首先，我们需要了解基本ACL在网络中的应用。在某公司的网络环境中，为了实现子公司A的人事部门能够与公司总部通信，同时禁止后勤部门与总部的通信，需要在OSPF协议的基础上，通过配置ACL来实现这一需求。这涉及到...
ACL8112例程
05-04
在使用ACL8112例程时，开发者通常会先阅读源代码（Util8112.c）了解数据采集的流程，然后配置和编译项目（Util8112.dsp或Util8112.dsw），最后运行Util8112.exe来验证数据采集功能。通过学习和修改这些文件，开发者...
acl 的使用方法
07-17
如何使用和配置acl,以及acl 创建原理和创建规则，acl 的使用方法
COM原理及应用----可连接对象
snail8384的专栏
11-18 768
1、COM的高级特性       COM规范中有一些高级特性，如可连接对象、永久存储、一致的数据传输等，使COM规范具有更强的生命力，它们也是OLE的基础，但它们的应用又不仅仅局限于OLE，这些高级特性已经广泛应用于Windows操作系统上。 2、入接口、出接口与接收器       入接口（incoming interface）是组件暴露给客户，被动地监听并为客户请求作出反应的接口
案例1：文件系统ACLs
Siobhan_Mxin的博客
03-09 612
文件系统ACLs：创建hdfs文件，修改对象权限、修改对象所有者权限
ACL原理以及配置
热门推荐
zy748539的博客
05-23 2万+
一.什么是ACL?   访问控制列表（Access Control list，ACL）是应用在路由器接口的指令列表（即规则）。它读取的是TCP/IP五层模型的第三层、第四层的报文头信息，根据预先定义好的规则对报文进行过滤。 IP数据报报头结构 TCP报头结构   ACL根据IP报头中的源地址、协议号、目标地址和TCP报头中的源端口、目标端口这5个元素来定义规则。 ACL的作用   ACL的作用是用于控制设备之间的数据包的互通。 二.ACL的类型 基本ACL   编号范围2000-2999   参数：
ACL的原理及配置
zcien的博客
11-15 1952
ALC的原理及配置，附实验
ACL配置
云计算运维工程师的成长之路
07-19 7097
访问控制列表(ACL)是一种基于包过滤的访问控制技术，它可以根据设定的条件对接口上的数据包进行过滤，允许其通过或丢弃。访问控制列表被广泛地应用于路由器和三层交换技术，借助于访问控制列表，可以有效地控制用户对网络的访问，从而最大程度地保障网络安全。......
网络基础之ACL（访问控制列表）
ljj的学习笔记
11-01 1397
本章目录一、概念1、ACL2、ACL在接口上的应用3、ACL的工作原理4、ACL的作用5、ACL种类6、ACL的应用原则和规则二、配置实验 一、概念 1、ACL ACL（Access Control Lists，缩写ACL），是存取控制列表。它读取第三层和第四层的包头信息（这里就引出了通信四元素：原地址，目标地址，源端口。目标端口），根据预先设置的规则对包进行过滤。 2、ACL在接口上的应用 在入口上：数据包从入口进路由器，就会被路由器处理 在出口上：数据包在经过路由器处理后，才会让它从出口出去 3、AC
华为路由器 ACL 配置方法
03-28
ACL（Access Control List）是一种路由器的安全控制策略，用于控制网络流量的访问权限。以下是华为路由器 ACL 配置方法： 1. 登录路由器管理页面。在浏览器中输入路由器的 IP 地址，输入用户名和密码登录路由器管理页面。 2. 进入 ACL 配置页面。在路由器管理页面中找到“安全”或“ACL”选项，进入 ACL 配置页面。 3. 创建 ACL 规则。在 ACL 配置页面中，点击“新建”或“添加”按钮，创建一个 ACL 规则。ACL 规则包括源地址、目的地址、协议、端口等信息。 4. 配置 ACL 规则。在创建 ACL 规则后，需要配置 ACL 规则的具体内容。例如，可以配置源地址为“192.168.1.0/24”，目的地址为“any”，协议为“TCP”，端口为“80”，表示只允许 192.168.1.0/24 网段的计算机通过 TCP 协议访问 80 端口的网站。 5. 应用 ACL 规则。在配置 ACL 规则后，需要将 ACL 规则应用到路由器的接口或 VLAN 上。在 ACL 配置页面中，选择需要应用 ACL 规则的接口或 VLAN，并将 ACL 规则应用到该接口或 VLAN 上。 6. 测试 ACL 规则。在 ACL 规则应用到接口或 VLAN 后，需要测试 ACL 规则是否生效。可以通过访问指定的网络资源，测试 ACL 规则是否允许或拒绝访问。如果 ACL 规则未生效，可以检查 ACL 规则配置是否正确，或者检查路由器的其他配置是否影响 ACL 规则的生效。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值