ACL访问控制列表

概述

• 读取第三层、第四层（传输层和网络层）包头信息
• 根据预先定义好的规则对包进行过滤
  
  访问控制列表利用这4个元素定义和规则

ACL工作原理

当数据包从接口经过时，由于接口启用了ACL，此时路由器会对报文进行检查，然后做出相应的处理
出：已经过路由器的处理，正离开路由器接口的数据包
入：已到达路由器接口的数据包，将被路由器处理
列表方向与数据方向有关

ACL 两种作用

1. 用来对数据包做访问控制（丢弃或者放行）
2. 结合其他协议，用来匹配范围

ACL 的种类

基本ACL（2000-2999）：只能匹配源IP地址。
高级ACL（3000-3999）：可以匹配源IP、目标IP、源端口、目标端口等三层和四层的字段。

二层ACL（4000-4999）：根据数据包的源Mac地址、目标Mac地址、802.1q优先级、二层协议类型等二层信息指定规则。（仅做了解即可）

建议：基本ACL尽量用在靠近目的的点，高级ACL尽量用在靠近源的地方（可以保护带宽和其他资源）[习惯性设置具体按照公司和当前的生产的要求和规范来配置]

ACL应用规则

1. 一个接口的同一个方向，只能调用一个ACL
2. 一个ACL里面可以有多个rule规则，按照规则id从小到大排序，从上往下一次执行
   （第一个规则的默认序号是5第二个是10以此类推方便以后增加规则）
3. 数据包一旦被某rule匹配，就不再继续向下匹配
4. 用来做数据包访问控制时，默认隐含放过所有（华为设备）
   （所有的匹配条件都没匹配到就会选择隐含规则）

ACL命令及相关配置

基本ACL配置
规定某个源IP地址拒绝访问，默认通过别的IP数据访问
[Huawei]acl number 2000
#翻译#：创建 ACL 2000 列表
[Huawei-acl-basic-2000]rule 5 deny source 192.168.1.1 0
#翻译#：拒绝源地址为192.168.1.1的流量，0代表仅此一台(用的是反掩码)，5是这条规则的序号（可不加默认是5）
[Huawei]interface GigabitEthernet 0/0/1
[Huawei-GigabitEthernet 0/0/1]ip address 192.168.2.254 24
[Huawei-GigabitEthernet 0/0/1]traffic-filter outbound acl 2000
#翻译#：接口出方向调用ACL2000规则组 ，outbound代表出方向，inbound代表进入方向
[Huawei-GigabitEthernet 0/0/1]undo sh

规定某个IP网段允许访问不允许其他所有IP流量访问
[Huawei]acl number 2001
#翻译#：创建 ACL 2001 列表
[Huawei-acl-basic-2001]rule permit source 192.168.1.0 0.0.0.255
#翻译#：permit代表允许，source代表来源，掩码部分为反掩码
[Huawei-acl-basic-2001]rule deny source any
#翻译#：拒绝所有访问，any代表所有 0.0.0.0 255.255.255.255 或者 rule deny
[Huawei]interface GigabitEthernet 0/0/1
[Huawei-GigabitEthernet 0/0/1]ip address 192.168.2.254 24
[Huawei-GigabitEthernet 0/0/1]traffic-filter outbound acl 2001
#翻译#：定制好规则后到一号出口调用ACL2001组

高级ACL配置
[Huawei]acl number 3000
#注#：拒绝TCP为高级控制，所以3000起
[Huawie-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 destination 192.168.3.1 0
#翻译#：制定规则为拒绝源192.168.1.0网段的所有主机去ping192.168.3.1这台主机
[Huawie-acl-adv-3000]rule permit tcp source 192.168.1.3 0 destubation 192.168.3.1 0 destination-port eq 80
#翻译#：destination代表目的地地址，destination-port代表端口号，80可用www代替
表示1.3的主机可用访问3.1主机的80端口即可以访问web服务
[Huawie-acl-adv-3000]rule deny tcp source any destination 192.168.3.1 0 destination-port eq 80
#翻译#：指定规则为拒绝所有主机访问IP为192.168.3.1主机的80端口即拒绝访问web服务

[Huawie-acl-adv-3000]rule deny tcp source 192.168.10.0 0.0.0.255 destination 12.0.0.2 destination-port eq 21
#翻译#：拒绝原地址192.168.10.0网段访问FTP服务器12.0.0.2

[Huawie-acl-adv-3000]dis this #查看当前ACL是否配置完成#

[Huawei]int g0/0/1
[Huawei-GigabitEthernet 0/0/1]ip add 192.168.2.254 24
[Huawei-GigabitEthernet 0/0/1]traffic-filter intbound acl 3000
#注#：在接口入方向应用ACL
[Huawei-GigabitEthernet 0/0/1]undo traffic-filter intbound
#翻译#：在接口上取消ACL的应用

[Huawei] dis acl 3000
#显示ACL的配置#
[Huawie-acl-adv-3000]undo rule 5
#删除一条ACL语句#
[Huawei]undo acl number 3000
#删除整个ACL#