ACL技术

一、ACL功能

        访问控制列表---数据流的抓取和匹配

        访问控制：ACL+packet-filter（数据包抓取）

        路由控制：ACL+Route-policy（路由策略）

        流量控制：ACL+QOS（服务质量）

二、ACL组成

        组成：由若干条允许或者拒绝的规则组成

        rule 1 deny source 192.168.1.0 0.0.0.255（反掩码/通配符）

        规则的ID的来源：ID范围：<0-4294967294>

        手工配置：

        自动生成：编号从5开始，是5的倍数，比如：0、5、10、15、20

三、ACL分类

        1、基本ACL：2000-2999 Basic access-list 只关心数据的源地址，容易出现误伤

       2、高级ACL：3000-3999 Advanced access-list 精确匹配，数据五元组（源IP、目标IP地址、协议、源端口、目标端口）

        3、二层ACL：4000-4999 源MAC、目标MAC地址、协议

        4、基于IPv6的ACL

        5、命名的ACL ：name

四、匹配机制

        1、数据包到达接口后，会被检查，是否设置了ACL规则，如果设置了，就按ACL规则执行，如果没有设置就正常转发

        2、按照ACL的编号从上至下逐一匹配，直到有与之匹配规则出现

        3、所有规则都不匹配，则执行默认动作，默认允许则允许，默认拒绝则丢弃

练习1：拒绝除192.168.1.1外192.168.1.0/24网段其他ip的访问

rule permit source 192.168.1.1 0.0.0.0

rule deny source 192.168.1.0 0.0.0.255

练习2：拒绝192.168.1.0/24网段的访问

rule deny source 192.168.1.0 0.0.0.255

rule permit source 192.168.1.1 0.0.0.0

练习3：拒绝所有人去访问192.168.10.1

rule deny ip source any destionation 192.168.10.1

练习4：拒绝192.168.1.1去访问任何人

rule deny ip source 192.168.1.1 destionation any

练习5：允许192.168.1.0去访问任何人

rule permit ip source 192.168.1.0 destionation any