ACL及NAT
访问控制列表
ACL(访问控制列表)
- 读取第三层,第四层包头信息
- 根据预先定义好的规则对包头进行过滤
访问控制列表在接口应用的方向
- 出口:已经经过路由器的处理,正离开路由器接口的数据包
- 入口:已经到达路由器接口的数据 包,将被路由器处理
- 列表应用到接口的方向与数据方向有关
访问控制列表(ACL)处理过程
ACL工作原理
当数据包从接口经过时,由于接口启用了ACL,路由器会对报文进行检查并做出相应的处理,从上往下一条一条匹配,直到最后丢弃或者发送出去。
ACL分类
- 基本ACL(2000~2999):只能匹配源IP地址
- 高级ACL(3000~3999):可以匹配源IP,目标IP,源端口,目标端口等三层和四层的字段层
- 二层ACL(4000~4999):根据数据包的源MAC地址、目的MAC地址、802.1q优先级、二层协议类型等二层信息制定规则。
ACL应用规则和应用原则
- 基本ACL:尽量用在靠近目的点
- 高级ACL:尽量用在靠近源的地方(可以保护带宽和其他资源)
- 一个接口的同一个方向,只能调用一个acl
- 一个 acl 里面可以有多个rule规则,按照规则ID从小到大排序,从上往下依次执行
- 数据包一旦被某 rule 匹配,就不再继续向下匹配
- 用来做数据包访问控制时,默认隐含放过所有(华为设备)
ACL配置命令
基本acl配置命令
[Huawei] acl number 2000 ###创建acl 2000
[Huawei-acl-basic-2000] rule 5 deny source 192.168.1.1 0 ###拒绝源地址为192.168.10.1的流量, 0代表仅此一台, 5是这条规则的序号(可不加)
[Huawei] interface GigabitEthernet 0/0/1
[Huawei-GiqabitEthernet0/0/1]ip address 192.168.2.254 24
[Huawei-GiqabitEthernet0/0/1]traffic-filter ou