概述
- 读取第三层、第四层(传输层和网络层)包头信息
- 根据预先定义好的规则对包进行过滤
访问控制列表利用这4个元素定义和规则
ACL工作原理
当数据包从接口经过时,由于接口启用了ACL,此时路由器会对报文进行检查,然后做出相应的处理
出:已经过路由器的处理,正离开路由器接口的数据包
入:已到达路由器接口的数据包,将被路由器处理
列表方向与数据方向有关
ACL 两种作用
- 用来对数据包做访问控制(丢弃或者放行)
- 结合其他协议,用来匹配范围
ACL 的种类
基本ACL(2000-2999):只能匹配源IP地址。
高级ACL(3000-3999):可以匹配源IP、目标IP、源端口、目标端口等三层和四层的字段。
二层ACL(4000-4999):根据数据包的源Mac地址、目标Mac地址、802.1q优先级、二层协议类型等二层信息指定规则。(仅做了解即可)
建议:基本ACL尽量用在靠近目的的点,高级ACL尽量用在靠近源的地方(可以保护带宽和其他资源)[习惯性设置具体按照公司和当前的生产的要求和规范来配置]
ACL应用规则
- 一个接口的同一个方向,只能调用一个ACL
- 一个ACL里面可以有多个rule规则,按照规则id从小到大排序,从上往下一次执行
(第一个规则的默认序号是5第二个是10以此类推方便以后增加规则) - 数据包一旦被某rule匹配,就不再继续向下匹配
- 用来做数据包访问控制时,默认隐含放过所有(华为设备)
(所有的匹配条件都没匹配到就会选择隐含规则)
ACL命令及相关配置
基本ACL配置
规定某个源IP地址拒绝访问,默认通过别的IP数据访问
[Huawei]acl number 2000
#翻译#:创建 ACL 2000 列表
[Huawei-acl-basic-2000]rule 5 deny source 192.168.1.1 0
#翻译#:拒绝源地址为192.168.1.1的流量,0代表仅此一台(用的是反掩码),5是这条规则的序号(可不加默认是5)
[Huawei]interface GigabitEthernet 0/0/1
[Huawei-GigabitEthernet 0/0/1]ip address 192.168.2.254 24
[Huawei-GigabitEthernet 0/0/1]traffic-filter outbound acl 2000
#翻译#:接口出方向调用ACL2000规则组 ,outbound代表出方向,inbound代表进入方向
[Huawei-GigabitEthernet 0/0/1]undo sh
规定某个IP网段允许访问不允许其他所有IP流量访问
[Huawei]acl number 2001
#翻译#:创建 ACL 2001 列表
[Huawei-acl-basic-2001]rule permit source 192.168.1.0 0.0.0.255
#翻译#:permit代表允许,source代表来源,掩码部分为反掩码
[Huawei-acl-basic-2001]rule deny source any
#翻译#:拒绝所有访问,any代表所有 0.0.0.0 255.255.255.255 或者 rule deny
[Huawei]interface GigabitEthernet 0/0/1
[Huawei-GigabitEthernet 0/0/1]ip address 192.168.2.254 24
[Huawei-GigabitEthernet 0/0/1]traffic-filter outbound acl 2001
#翻译#:定制好规则后到一号出口调用ACL2001组
高级ACL配置
[Huawei]acl number 3000
#注#:拒绝TCP为高级控制,所以3000起
[Huawie-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 destination 192.168.3.1 0
#翻译#:制定规则为拒绝源192.168.1.0网段的所有主机去ping192.168.3.1这台主机
[Huawie-acl-adv-3000]rule permit tcp source 192.168.1.3 0 destubation 192.168.3.1 0 destination-port eq 80
#翻译#:destination代表目的地地址,destination-port代表端口号,80可用www代替
表示1.3的主机可用访问3.1主机的80端口即可以访问web服务
[Huawie-acl-adv-3000]rule deny tcp source any destination 192.168.3.1 0 destination-port eq 80
#翻译#:指定规则为拒绝所有主机访问IP为192.168.3.1主机的80端口即拒绝访问web服务
[Huawie-acl-adv-3000]rule deny tcp source 192.168.10.0 0.0.0.255 destination 12.0.0.2 destination-port eq 21
#翻译#:拒绝原地址192.168.10.0网段访问FTP服务器12.0.0.2
[Huawie-acl-adv-3000]dis this #查看当前ACL是否配置完成#
[Huawei]int g0/0/1
[Huawei-GigabitEthernet 0/0/1]ip add 192.168.2.254 24
[Huawei-GigabitEthernet 0/0/1]traffic-filter intbound acl 3000
#注#:在接口入方向应用ACL
[Huawei-GigabitEthernet 0/0/1]undo traffic-filter intbound
#翻译#:在接口上取消ACL的应用
[Huawei] dis acl 3000
#显示ACL的配置#
[Huawie-acl-adv-3000]undo rule 5
#删除一条ACL语句#
[Huawei]undo acl number 3000
#删除整个ACL#