ACL的概述以及命令应用

一、ACL的概述

ACL:访问控制列表
※是由一系列permit和deny语句组成的(后面跟着条件列表)、有序规则的列表,它通过匹配报文的相关信息实现对报文的分类;
※ACL本身只能够用于报文的匹配和区分,而无法实现对报文的过滤功能(此功能侧面可以说明ACL可以提高网络的安全性),针对AC所匹配的报文的过滤功能,需要特定的机制来实现(例如在交换机的接口上使用traffic-filter命令调令ACL来进行报文过滤),ACL只是一个匹配用的工具;
※ACL除了能够对报文进行匹配,还能够用于匹配路由
主要应用于流量过滤,实际上是一条一条规则的集合,是一种工具,可以应用在任何场合

二、ACL是什么

ACL能够匹配一个IP数据包中的源IP地址、目的IP地址、协议类型、源目的端口等元素的基础性工具;ACL还能够用于匹配路由条目。说了这么多,那么ACL到底是什么呢?下面就让我们从ACL的配置深入了解它吧。
1、ACL的标识种类
①:利用数字标识
②:利用名称标识
具体分为以下四类
在这里插入图片描述
2、ACL的匹配顺序
在这里插入图片描述
Rule:代表第一条,第二条
5:步长
permit:允许
deny:拒绝
在这里插入图片描述

这里需要提一点的是,为什么一般rule 5步长写5,而不是从1/2/3开始,这个没有固定的数字,以上图举例,如果说步长写5,临时想在中间插入一个不允许访问192.168.1.4,就可以在中间插入,如果是rule1/2/3,就没办法中间插入。
3、ACL的配置
创建ACL:

acl num 编号范围是2000~2999

创建一个规则

rule 5 (permit/deny)source src-address wildcard 
source:源;wildcare:通配符

查看acl信息

display acl num

激活需进出口接口:

traffic-filter outbound/inbound acl num  
outbound:出的流量接口;inbound:进的流量接口

允许/不允许所有通过

rule permit/deny source any

4、wildcare:通配符
这里要说明一个wildcare(通配符)的概念:
通配符是一个32比特长度的数值,用于指示IP地址中,哪些比特为需要严格匹配,哪些比特位则无所谓
通配符通常采用类似网络掩码的点分十进制形式表示,但是汉语却与网络掩码完全不同
在这里插入图片描述
如上图,0:表示需匹配;1:表示无所谓

再举个通俗易懂的例子:
在这里插入图片描述
有两个特殊的通配符
192.168.1.1 0.0.0.0 =192.168.1.1 0
0.0.0.0 255.255.255.255 = any

三、实验加深理解

1、实验要求:允许PC2通过数据在这里插入图片描述
只有pc2可以访问
先配置网关

[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add 192.168.1.254 24
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip add 192.168.2.254 24
[Huawei-GigabitEthernet0/0/1]int g0/0/2
[Huawei-GigabitEthernet0/0/2]ip add 10.0.0.254 24

先创建列表

[Huawei]acl 2000

定义规则

rule deny source 192.168.1.0 0.0.0.255   **阻挡1.0网段的所有访问**

查看acl 2000信息

[Huawei-acl-basic-2000]dis acl 2000

在这里插入图片描述
这时候是可以ping通的,配置了接口但是还没有激活所以可以ping通
在这里插入图片描述
然后激活接口

[Huawei]int g0/0/2 先进要激活的接口

对于接口而言,有出的流量接口(outbound),也有进的流量接口(inbound)
在这里插入图片描述

[Huawei-GigabitEthernet0/0/2]traffic-filter outbound acl 2000

然后查看下信息
在这里插入图片描述
这时候pc1就无法ping通了
在这里插入图片描述
pc2可以ping通
在这里插入图片描述
在这里插入图片描述
1.2实验一的基础上发生更改,改为:仅允许1.0可以通过。
先断掉之前配置的rule 5
在这里插入图片描述
创建acl

[Huawei]acl 2000

允许192.168.1.0网段

[Huawei-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255

阻断所有网段

[Huawei-acl-basic-2000]rule deny source any

ping发现pc1可以ping通,pc2不可以
在这里插入图片描述
1.3、在实验一的基础上,更改实验要求:若允许1.1可以ping通pc3,但是2.1不能ping通pc3。
在g0/0/2出接口配置outbound
创建acl

[Huawei]acl 3000    **有源有目标地址,acl等级要3000**

在这里插入图片描述
允许源地址192.168.1.0访问目的地址10.0.0.1网段

[Huawei-acl-adv-3000]rule permit ip source 192.168.1.1 0 destination 10.0.0.1  0

不允许源地址192.168.2.0访问目的地址10.0.0.1网段

 [Huawei-acl-adv-3000]rule deny ip source 192.168.2.1 0 destination 10.0.0.1  0

查看一下
在这里插入图片描述
在这里插入图片描述
然后激活acl 3000之前需要先询关闭掉acl2000的
在这里插入图片描述

[Huawei-GigabitEthernet0/0/2]undo traffic-filter outbound

进入接口g0/0/2 ,激活acl 3000

[R1-acl-adv-3000]int g0/0/2
[Huawei-GigabitEthernet0/0/2]traffic-filter outbound acl 3000

达成结果,1.1可以ping通,1.2无法ping通
在这里插入图片描述
实验二、在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
①、首先实现全网互通

sw1
[Huawei]sys SW1
[SW1]vlan batch 10 20
[SW1]int e0/0/1
[SW1-Ethernet0/0/1]p l a
[SW1-Ethernet0/0/1]p d v 10
[SW1-Ethernet0/0/1]int e0/0/2
[SW1-Ethernet0/0/2]p l a
[SW1-Ethernet0/0/2]p d v 20
[SW1-Ethernet0/0/2]int e0/0/3
[SW1-Ethernet0/0/3]p l a
[SW1-Ethernet0/0/3]p d v 10
[SW1-Ethernet0/0/3]int e0/0/4
[SW1-Ethernet0/0/4]p l a
[SW1-Ethernet0/0/4]p d v 20
[SW1-Ethernet0/0/4]int e0/0/5
[SW1-Ethernet0/0/5]p l t
[SW1-Ethernet0/0/5]p t a v a
R1
[Huawei]sys R1
[R1]int g0/0/0.1
[R1-GigabitEthernet0/0/0.1]ip add 192.168.1.254 24
[R1-GigabitEthernet0/0/0.1]d t v 10
[R1-GigabitEthernet0/0/0.1]a b e
[R1-GigabitEthernet0/0/0.1]int g0/0/0.2
[R1-GigabitEthernet0/0/0.2]ip add 192.168.2.254 24
[R1-GigabitEthernet0/0/0.2]d t v 20
[R1-GigabitEthernet0/0/0.2]a b e
[R1]int g0/0/1
[R1-GigabitEthernet0/0/1]ip add 12.1.1.1 24
[R1]ip route-static 0.0.0.0 0.0.0.0 12.1.1.2
R2
[R2]int g0/0/0
[R2-GigabitEthernet0/0/0]ip add 12.1.1.2 24
[R2-GigabitEthernet0/0/0]int g0/0/1
[R2-GigabitEthernet0/0/1]ip add 100.1.1.254 24
[R2]ip route-static 192.168.1.0 24 12.1.1.1
[R2]ip route-static 192.168.2.0 24 12.1.1.1

全网ping通,实现全网互通
在这里插入图片描述
②、配置ACL使得vlan10和vlan20不通
阻止vlan10和vlan20,需要阻止192.168.10.0的方向
在这里插入图片描述

rule permit source any:允许所有通过
[R1]acl 2000  
[R1-acl-basic-2000]rule permit source any 	
[R1-GigabitEthernet0/0/0.2]traffic-filter outbound acl 2000

结果如下图,已实现
在这里插入图片描述
③、配置ACL使R1不能访问webserver
在这里插入图片描述

[R1]acl 3000
[R1-acl-adv-3000]rule deny tcp source 192.168.1.0 0.0.0.255 destination 10.1.1.2
 0 destination-port eq 80

display acl 3000 查看一下配置是否正确
在这里插入图片描述

  • 13
    点赞
  • 49
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值