ACL访问控制

已于 2024-03-04 14:57:11 修改
阅读量939 收藏 25
点赞数 20
文章标签： windows
于 2024-02-23 14:45:28 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_46041124/article/details/136255722
版权

ACL简介


        访问控制列表ACL（Access Control List）是由一条或多条规则组成的集合。所谓规则，是指描述报文匹配条件的判断语句，这些条件可以是报文的源地址、目的地址、端口号等。
        ACL本质上是一种报文过滤器，规则是过滤器的滤芯。设备基于这些规则进行报文匹配，可以过滤出特定的报文，并根据应用ACL的业务模块的处理策略来允许或阻止该报文通过。
        基于ACL规则定义方式，可以将ACL分为基本ACL、高级ACL、二层ACL等种类。基本ACL根据源IP地址、分片信息和生效时间段等信息来定义规则，对IPv4报文进行过滤。如果只需要根据源IP地址对报文进行过滤，可以配置基本ACL。

使用ACL限制FTP访问控制示例

组网需求

本例，就是将基本ACL应用在FTP模块中，实现只允许指定的客户端访问FTP服务器，以提高安全性。

如图3-237所示，Switch作为FTP服务器，对网络中的不同用户开放不同的访问权限：
1、子网1（172.16.105.0/24）的所有用户在任意时间都可以访问FTP服务器。
2、子网2（172.16.107.0/24）的所有用户只能在某一个时间范围内访问FTP服务器。
3、其他用户不可以访问FTP服务器。
已知Switch与各个子网之间路由可达，要求在Switch上进行配置，实现FTP服务器对客户端访问权限的设置。

操作步骤

1、配置时间段
<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] time-range ftp-access from 0:0 2014/1/1 to 23:59 2014/12/31  //配置ACL生效时间段，该时间段是一个绝对时间段模式的时间段
[Switch] time-range ftp-access 14:00 to 18:00 off-day    //配置ACL生效时间段，该时间段是一个周期时间段，表示每个休息日下午14:00到18:00，ftp-access最终生效的时间范围为以上两个时间段的交集
2、配置基本ACL
[Switch] acl number 2001
[Switch-acl-basic-2001] rule permit source 172.16.105.0 0.0.0.255  //允许172.16.105.0/24网段的所有用户在任意时间都可以访问FTP服务器
[Switch-acl-basic-2001] rule permit source 172.16.107.0 0.0.0.255 time-range ftp-access  //限制172.16.107.0/24网段的所有用户只能在ftp-access时间段定义的时间范围内访问FTP服务器
[Switch-acl-basic-2001] rule deny source any  //限制其他用户不可以访问FTP服务器
[Switch-acl-basic-2001] quit
3、配置FTP基本功能
[Switch] ftp server enable  //开启设备的FTP服务器功能，允许FTP用户登录。
[Switch] ftp server-source -i Vlanif 10    //配置服务器端的源接口为172.16.104.110对应的接口，假设该接口为Vlanif 10。
[Switch] aaa            
[Switch-aaa] local-user huawei password irreversible-cipher SetUserPassword@123  //配置FTP用户的用户名和密码，其中irreversible-cipher方式的密码仅适用于V200R003C00及以后版本，在V200R003C00之前版本上，仅适用cipher方式密码
[Switch-aaa] local-user huawei privilege level 15  //配置FTP用户的用户级别
[Switch-aaa] local-user huawei service-type ftp  //配置FTP用户的服务类型
[Switch-aaa] local-user huawei ftp-directory cfcard:/  //配置FTP用户的授权目录，在盒式交换机上需配置为flash:/
[Switch-aaa] quit
4、配置FTP服务器访问权限
[Switch] ftp acl 2001  //在FTP模块中应用ACL
5、验证配置结果
在子网1的PC1（172.16.105.111/24）上执行ftp 172.16.104.110命令，可以连接FTP服务器。

2014年某个周一在子网2的PC2（172.16.107.111/24）上执行ftp 172.16.104.110命令，不能连接FTP服务器；2014年某个周六下午15:00在子网2的PC2（172.16.107.111/24）上执行ftp 172.16.104.110命令，可以连接FTP服务器。

在PC3（10.10.10.1/24）上执行ftp 172.16.104.110命令，不能连接FTP服务器。
 

配置文件

Switch的配置文件

#
sysname Switch
#
FTP server enable
FTP server-source -i Vlanif 10
FTP acl 2001
#
time-range ftp-access 14:00 to 18:00 off-day
time-range ftp-access from 00:00 2014/1/1 to 23:59 2014/12/31
#
acl number 2001
 rule 5 permit source 172.16.105.0 0.0.0.255
 rule 10 permit source 172.16.107.0 0.0.0.255 time-range ftp-access
 rule 15 deny 
#
aaa
 local-user huawei password irreversible-cipher %^%#uM-!TkAaGB5=$$6SQuw$#batog!R7M_d^!o{*@N9g'e0baw#%^%#
 local-user huawei privilege level 15
 local-user huawei ftp-directory cfcard:/
 local-user huawei service-type ftp
#
return

使用ACL限制用户在特定时间访问特定服务器的权限示例

组网需求

本例，就是将高级ACL应用在流策略模块，使设备可以对用户在特定时间访问特定服务器的报文进行过滤，达到基于时间限制用户访问该服务器权限的目的。

如图3-238所示，某公司通过Switch实现各部门之间的互连。公司要求禁止研发部门和市场部门在上班时间（8:00至17:30）访问工资查询服务器（IP地址为10.164.9.9），总裁办公室不受限制，可以随时访问。

配置思路

采用如下的思路在Switch上进行配置：
1、配置时间段、高级ACL和基于ACL的流分类，使设备可以基于时间的ACL，对用户访问服务器的报文进行过滤，从而限制不同用户在特定时间访问特定服务器的权限。
2、配置流行为，拒绝匹配上ACL的报文通过。
3、配置并应用流策略，使ACL和流行为生效。

操作步骤

1、配置接口加入VLAN，并配置VLANIF接口的IP地址
# 将GE1/0/1～GE1/0/3分别加入VLAN10、20、30，GE2/0/1加入VLAN100，并配置各VLANIF接口的IP地址。下面配置以GE1/0/1和VLANIF 10接口为例，接口GE1/0/2、GE1/0/3和GE2/0/1的配置与GE1/0/1接口类似，接口VLANIF 20、VLANIF 30和VLANIF 100的配置与VLANIF 10接口类似，不再赘述。
<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] vlan batch 10 20 30 100
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] port link-type trunk
[Switch-GigabitEthernet1/0/1] port trunk allow-pass vlan 10
[Switch-GigabitEthernet1/0/1] quit
[Switch] interface vlanif 10
[Switch-Vlanif10] ip address 10.164.1.1 255.255.255.0
[Switch-Vlanif10] quit
2、配置时间段
# 配置8:00至17:30的周期时间段。
[Switch] time-range satime 8:00 to 17:30 working-day  //配置ACL生效时间段，该时间段是一个周期时间段
3、配置ACL
# 配置市场部门到工资查询服务器的访问规则。
[Switch] acl 3002
[Switch-acl-adv-3002] rule deny ip source 10.164.2.0 0.0.0.255 destination 10.164.9.9 0.0.0.0 time-range satime  //禁止市场部在satime指定的时间范围内访问工资查询服务器
[Switch-acl-adv-3002] quit
# 配置研发部门到工资查询服务器的访问规则。
[Switch] acl 3003
[Switch-acl-adv-3003] rule deny ip source 10.164.3.0 0.0.0.255 destination 10.164.9.9 0.0.0.0 time-range satime  //禁止研发部在satime指定的时间范围内访问工资查询服务器
[Switch-acl-adv-3003] quit
4、配置基于ACL的流分类
# 配置流分类c_market，对匹配ACL 3002的报文进行分类。
[Switch] traffic classifier c_market  //创建流分类
[Switch-classifier-c_market] if-match acl 3002  //将ACL与流分类关联
[Switch-classifier-c_market] quit
# 配置流分类c_rd，对匹配ACL 3003的报文进行分类。
[Switch] traffic classifier c_rd  //创建流分类
[Switch-classifier-c_rd] if-match acl 3003  //将ACL与流分类关联
[Switch-classifier-c_rd] quit
5、配置流行为
# 配置流行为b_market，动作为拒绝报文通过。
[Switch] traffic behavior b_market  //创建流行为
[Switch-behavior-b_market] deny  //配置流行为动作为拒绝报文通过
[Switch-behavior-b_market] quit
# 配置流行为b_rd，动作为拒绝报文通过。
[Switch] traffic behavior b_rd  //创建流行为
[Switch-behavior-b_rd] deny  //配置流行为动作为拒绝报文通过
[Switch-behavior-b_rd] quit
6、配置流策略
# 配置流策略p_market，将流分类c_market与流行为b_market关联。
[Switch] traffic policy p_market  //创建流策略
[Switch-trafficpolicy-p_market] classifier c_market behavior b_market  //将流分类c_market与流行为b_market关联
[Switch-trafficpolicy-p_market] quit
# 配置流策略p_rd，将流分类c_rd与流行为b_rd关联。
[Switch] traffic policy p_rd  //创建流策略
[Switch-trafficpolicy-p_rd] classifier c_rd behavior b_rd  //将流分类c_rd与流行为b_rd关联
[Switch-trafficpolicy-p_rd] quit
7、应用流策略
# 由于市场部访问服务器的流量从接口GE1/0/2进入Switch，所以可以在GE1/0/2接口的入方向应用流策略p_market。
[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/2] traffic-policy p_market inbound  //流策略应用在接口入方向
[Switch-GigabitEthernet1/0/2] quit
# 由于研发部访问服务器的流量从接口GE1/0/3进入Switch，所以在GE1/0/3接口的入方向应用流策略p_rd。
[Switch] interface gigabitethernet 1/0/3
[Switch-GigabitEthernet1/0/3] traffic-policy p_rd inbound  //流策略应用在接口入方向
[Switch-GigabitEthernet1/0/3] quit
8、验证配置结果

# 查看ACL规则的配置信息。
[Switch] display acl all
 Total nonempty ACL number is 2

Advanced ACL 3002, 1 rule
Acl's step is 5
 rule 5 deny ip source 10.164.2.0 0.0.0.255 destination 10.164.9.9 0 time-range satime (match-counter 0)(Active)

Advanced ACL 3003, 1 rule
Acl's step is 5
 rule 5 deny ip source 10.164.3.0 0.0.0.255 destination 10.164.9.9 0 time-range satime (match-counter 0)(Active) 

# 查看流分类的配置信息。
[Switch] display traffic classifier user-defined
  User Defined Classifier Information:
   Classifier: c_market
    Precedence: 5
    Operator: OR
    Rule(s) : if-match acl 3002

   Classifier: c_rd
    Precedence: 10
    Operator: OR
    Rule(s) : if-match acl 3003

Total classifier number is 2

# 查看流策略的配置信息。
[Switch] display traffic policy user-defined
  User Defined Traffic Policy Information:                                      
  Policy: p_market                                                              
   Classifier: c_market                                                         
    Operator: OR                                                                
     Behavior: b_market                                                         
      Deny                                                                      
                                                                                
  Policy: p_rd                                                                  
   Classifier: c_rd                                                             
    Operator: OR                                                                
     Behavior: b_rd                                                             
      Deny                                                                      

Total policy number is 2

# 查看流策略的应用信息。
[Switch] display traffic-policy applied-record
#                                                                                                                                   
-------------------------------------------------                                                                                   
  Policy Name:   p_market                                                                                                           
  Policy Index:  0                                                                                                                  
     Classifier:c_market     Behavior:b_market                                                                                      
-------------------------------------------------                                                                                   
 *interface GigabitEthernet1/0/2                          
    traffic-policy p_market inbound                                                                                                 
      slot 1    :  success                                                                                                          
-------------------------------------------------                                                                                   
  Policy total applied times: 1.                                                                                                    
#                                                                                                                                   
-------------------------------------------------                                                                                   
  Policy Name:   p_rd                                                                                                               
  Policy Index:  1                                                                                                                  
     Classifier:c_rd     Behavior:b_rd                                                                                              
-------------------------------------------------                                                                                   
 *interface GigabitEthernet1/0/3                                                                                                    
    traffic-policy p_rd inbound                                                                                                     
      slot 1    :  success                                                                                                          
-------------------------------------------------                                                                                   
  Policy total applied times: 1.                                                                                                    
# 
# 研发部门和市场部门在上班时间（8:00至17:30）无法访问工资查询服务器。

配置文件

Switch的配置文件
#
sysname Switch
#
vlan batch 10 20 30 100 
#
time-range satime 08:00 to 17:30 working-day
#
acl number 3002
 rule 5 deny ip source 10.164.2.0 0.0.0.255 destination 10.164.9.9 0 time-range satime
acl number 3003
 rule 5 deny ip source 10.164.3.0 0.0.0.255 destination 10.164.9.9 0 time-range satime
#
traffic classifier c_market operator or precedence 5
 if-match acl 3002
traffic classifier c_rd operator or precedence 10
 if-match acl 3003
#
traffic behavior b_market
 deny
traffic behavior b_rd
 deny
#
traffic policy p_market match-order config
 classifier c_market behavior b_market
traffic policy p_rd match-order config
 classifier c_rd behavior b_rd
#
interface Vlanif10
 ip address 10.164.1.1 255.255.255.0
#
interface Vlanif20
 ip address 10.164.2.1 255.255.255.0
#
interface Vlanif30
 ip address 10.164.3.1 255.255.255.0
#
interface Vlanif100
 ip address 10.164.9.1 255.255.255.0  
#
interface GigabitEthernet1/0/1
 port link-type trunk                                                           
 port trunk allow-pass vlan 10 
#
interface GigabitEthernet1/0/2
 port link-type trunk                                                           
 port trunk allow-pass vlan 20 
 traffic-policy p_market inbound
#
interface GigabitEthernet1/0/3
 port link-type trunk                                                           
 port trunk allow-pass vlan 30 
 traffic-policy p_rd inbound  
#
interface GigabitEthernet2/0/1
 port link-type trunk                                                           
 port trunk allow-pass vlan 100 
#
return 

叶落 无痕
关注
  • 20
    点赞
  • 踩
  • 25
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
10、ACL（访问控制列表）原理与配置
2301_76274559的博客
06-19 2484
本次主要介绍了ACL的相关技术知识，包括ACL的作用，ACL的组成、匹配和分类、通配符的使用方法，以及ACL的基本配置。
ACL—访问控制列表
qq_47175413的博客
06-03 4475
r2-acl-basic-2000]rule deny source 192.168.1.254 0.0.0.0 ——0.0.0.0为通配符，0代表不可变，1代表可变（若上述通配符为0.0.0.255相当于匹配192.168.1.X这样特征的流量）基础的ACL——只匹配源，表号范围2000-2999。抓取感兴趣流量——ACL的另一个作用就是和其他服务结合，ACL负责按照事先规定的规则抓取流量。访问控制—— 配置一张ACL列表，列表包含设置好的规则，之后所有的流量按照对应的规则进行执行，允许，拒绝。
华为ensp中高级acl (控制列表) 原理和配置命令 （详解）
最新发布
博客之路,前途漫漫
04-06 5698
高级acl（Access Control List）是一种访问控制列表，可以根据数据包的源IP地址、目标IP地址、源端口、目标端口、协议、ICMP类型等多种因素进行过滤。高级acl比基本acl更加灵活，可以提供更细粒度的控制。
华为交换机配置策略路由
AshQ
06-19 1万+
https://support.huawei.com/enterprise/zh/doc/EDOC1000069432?section=j00f 工作繁重，时间紧迫，先留图流链接。待来日有时间再整理。
复杂流分类的流策略配置流程
weixin_34343689的博客
07-13 1414
1.配置流分类： （1）配置基于二层信息的流分类 执行命令system-view，进入系统视图。 执行命令traffic classifier classifier-name [ operator { and | or } ] [ precedence precedence-value ]，创建一个二层流分类，进入流分类视图。 and表示流分类中各规...
ACL访问控制列表（详细配置教程）
热门推荐
亦在春风的博客
07-14 2万+
访问控制列表（Access Control List，ACL)是路由器和交换机接口的指令列表，用来控制端口进出的数据包。 这张表中包含了匹配关系、条件和查询语句，表只是一个框架结构，其目的是为了对某种访问进行控制。1~99 和 1300~1999:标准IP ACL。(基于源P地址过滤) 100~199 和 2000~2699:扩展IP ACL。 (基于源、目的IP地址;源、目的TCP/UDP端口;协议类型) AppleTalk: 600~699 IPX:800~899基于每种协议设置一个ACL(per p
ACL访问控制列表.docx
10-13
ACL 访问控制列表是路由器和交换机接口的指令列表，用来控制端口进出的数据包。下面是 ACL 访问控制列表的相关知识点： 1. ACL 访问控制列表的定义：ACL 是路由器和交换机接口的指令列表，用来控制端口进出的数据包...
ACL访问控制列表
03-14
ACL访问控制列表实验，有详细的拓扑图和命令。实验有扩展ACL和标准ACL
ACL访问控制列表·ppt
04-30
ACL 访问控制列表 ACL（Access Control List，访问控制列表）是一种非常重要的基础性工具，主要用于控制和过滤网络流量。它是由一系列有序的条目组成的，每个条目包含“条件”和“动作”两元素。 ACL 的类型： 1....
ACL访问控制列表说明
10-24
ACL
访问控制列表ACL学习
st3pby的博客
12-07 1281
需要注意的是，DACL 只是访问控制的一部分，它仅涵盖了资源的自由访问控制。在 Windows 操作系统中，还有其他类型的访问控制，如系统访问控制列表（SACL）用于审核和监视访问，以及对象所有者等。总而言之，DACL 是 Windows 操作系统中用于自由访问控制的权限机制，用于确定谁可以访问资源以及他们可以执行的操作。它提供了一种灵活的方式来定义和管理资源的访问权限，以满足安全性和数据保护的需求。
IT知识百科：什么是访问控制列表ACL？
网络技术联盟站
03-30 3262
ACL是一种常用的访问控制技术，可以在路由器、交换机、防火墙等网络设备中使用。ACL可以根据管理员的配置，控制网络中流入和流出的数据，提高网络的安全性。ACL具有灵活性强、安全性高、实现简单等优点，但是也存在配置复杂、性能影响、不可扩展等缺点。在使用ACL时，管理员需要根据网络的实际情况，综合考虑其优缺点，选择合适的ACL类型和配置方式，以确保网络的安全性和性能。
华为s5700经典配置实例_「实例」华为策略路由如何配置？
weixin_39785970的博客
11-23 3261
组网需求如上图所示，公司用户通过Switch双归属到外部网络设备。其中，一条是低速链路，网关为10.1.20.1/24；另外一条是高速链路，网关为10.1.30.1/24。公司希望上送外部网络的报文中，IP优先级为4、5、6、7的报文通过高速链路传输，而IP优先级为0、1、2、3的报文则通过低速链路传输。配置思路1、创建VLAN并配置各接口，实现公司和外部网络设备互连。2、配置ACL规则，分别匹配...
华为S5700系列交换机使用高级ACL限制不同网段的用户互访
a226433955的博客
11-20 5133
组网图形 图1使用高级ACL限制不同网段的用户互访示例 组网需求 如图一所示，某公司通过Switch实现各部门之间的互连。为方便管理网络，管理员为公司的研发部和市场部规划了两个网段的IP地址。同时为了隔离广播域，又将两个部门划分在不同VLAN之中。现要求Switch能够限制两个网段之间互访，防止公司机密泄露。 配置思路 采用如下的思路在Switch上进行配置： 1....
配置接口策略路由案例
知识改变命运，技术就是要分享，有问题随时联系，免费答疑，欢迎联系！
01-26 1076
厦门微思网络​​​​​​华为认证\华为HCIA-Datacom\华为HCIP-Datacom\华为HCIE-Datacom。
华为路由器双出口负载均衡+备份 （2）
weixin_34273481的博客
02-23 3595
上一个因为eNSP的问题，没有写具体的配置，本文补充一下，并添加了BFD联动，BFD需要两台设备都支持BFD，而NQA只需要一台支持即可，这点比较好，附件有完整的eNSP拓扑和配置文件。1.AR4[V200R003C00]#sysname AR4_AR2240#snmp-agent local-engineid 800007DB03000000000000snmp-ag...
ensp acl访问控制列表
08-30
ensp是华为设备上的一个命令行模式，用于配置和管理网络设备。而ACL（Access Control Lists）是一种用于控网络流量的机制，可以根据预定义的规则过滤和限制数据包的传输。 在ensp中配置ACL访问控制列表，可以通过以下步骤进行操作： 1. 进入ensp CLI命令行界面。 2. 使用acl命令创建一个ACL，并定义它的规则。例如，可以指定允许或拒绝哪些IP地址、端口、协议等等。 3. 将ACL应用到设备的特定接口上，以控制该接口上的数据流。可以使用interface命令选择要应用ACL的接口。 4. 配置ACL规则的匹配条件和动作，例如permit或deny。 5. 确认ACL配置无误后，保存并应用配置。 需要注意的是，具体的ACL配置命令可能有所不同，取决于使用的设备型号和操作系统版本。在实际操作中，请参考设备的官方文档或咨询网络设备厂商的技术支持。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值