访问控制列表----ACL

---

---

前言

随着网络的不断发展，在实际环境中经常会面临左右为难的的局面，如必须拒绝那些不希望的访问连接，同时又要允许正常的访问连接，本文介绍的ACL可以提供基本的通信流量过滤能力，从而满足上面的要求，解决实际工作中的问题机

---

一、ACL是什么？

ACL就是访问控制列表，是由一系列permit或deny语句组成的、有序规则的列表，根据预先定义好的规则，对包进行过滤，从而达到访问控制的目的

二、ACL简述

1.工作原理

ACL是一组规则的集合。它应用在路由器的某个接口上。对路由器接口而言，如果对接口应用了ACL，也就是说该接口应用了一组规则，那么路由器将对数据包应用该组规则进行顺序检查
如果匹配了第一条规则，则不再往下检查，路由器将决定允许该数据包通过或拒绝通过
如果不匹配第一条规则，则一次往下检查，直到有任何一条规则匹配，路由器才决定允许该数据包通过或拒绝通过
如果没有任何一条规则匹配，则路由器根据默认的规则将放行或丢弃该数据包
由此可见，数据包要么被允许，要么被拒绝

2.ACL类型

Basic ACL（标准） 只能够对IP头的源IP地址进行匹配，标准ACL的访问控制列表号是2000-2999

Advanced ACL（扩展） 能够针对数据包的源、目的IP地址、协议类型、源目的端口号等元素进行匹配，扩展ACL的访问控制列表号是3000-3999

二层ACL 访问控制列表号是4000-4999

自定义ACL 访问控制列表号是5000-4999

---

3.通配符

通配符是一个32比特长度的数值，用于指示IP地址中，哪些比特位需要严格匹配，哪些比特位则无所谓，通配符中为1的比特表示无需匹配，通配符为0的比特表示需严格匹配

实验

实验要求：1.pc1和pc2可以ping通webser
1.配置acl使得vlan10和vlan20不通
2.配置acl，使client1不能访问webserver

(1)SW1配置

<SW1>dis cu
#
sysname SW1
#
undo info-center enable
#
vlan batch 10 20

#
interface Ethernet0/0/1
 port link-type access
 port default vlan 10
#
interface Ethernet0/0/2
 port link-type access
 port default vlan 20
#
interface Ethernet0/0/3
 port link-type access
 port default vlan 10
#
interface Ethernet0/0/4
 port link-type access
 port default vlan 20
#
interface Ethernet0/0/5
 port link-type trunk
 port trunk allow-pass vlan 2 to 4094
#
interface Ethernet0/0/6
 port link-type access
 port default vlan 10

（2）R1配置

<R1>dis cu
[V200R003C00]
#
 sysname R1
#
acl number 3000  
 rule 5 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255
 
#
interface GigabitEthernet0/0/0.1
 dot1q termination vid 10
 ip address 192.168.10.254 255.255.255.0 
 arp broadcast enable
#
interface GigabitEthernet0/0/0.2
 dot1q termination vid 20
 ip address 192.168.20.254 255.255.255.0 
 traffic-filter outbound acl 3000
 arp broadcast enable
#
interface GigabitEthernet0/0/1
 ip address 12.0.0.1 255.255.255.0 
#
interface NULL0
#
ip route-static 192.168.30.0 255.255.255.0 12.0.0.2
#

（3）R2配置

<R2>dis cu
[V200R003C00]
#
 sysname R2
#
#
acl number 3000  
 rule 5 deny tcp source 192.168.10.3 0 destination 192.168.30.1 0 destination-po
rt eq www 
#

#
interface GigabitEthernet0/0/0
 ip address 12.0.0.2 255.255.255.0 
#
interface GigabitEthernet0/0/1
 ip address 192.168.30.254 255.255.255.0 
 traffic-filter outbound acl 3000
#
interface NULL0
#
ip route-static 192.168.0.0 255.255.0.0 12.0.0.1
#

（4）检验
①pc1和pc2可以ping通webserver

②vlan10和vlan20不通

③在没有acl时，client可以访问webserver

④加上acl