第七章：ACL技术及其实验

一、ACL功能

ACL--访问控制列表，用于数据流的匹配和筛选

功能：

访问控制：ACL+Packet-filter（包过滤）

路由控制：ACL+Route-policy（路由策略）

流量控制：ACL+QOS（服务质量）

二、ACL组成

组成：由若干条permit或deny语句组成，每条语句就是一条规则

语句形式：rule permit source 192.168.1.0 0.0.0.255

rule deny source 172.16.0.0 0.0.255.255

手动指定：0、1、2、3、4、5……

自动生成：5、10、15…… 5的倍数

通配符：哪些位需要严格匹配，哪些位可以随意，0表示严格匹配，1表示随意匹配

三、ACL分类

基本ACL：只关心报文的源地址，2000-2999

高级ACL：对数据包的五元组（源IP、目的IP、源端口、目的端口、协议类型）进行检查，编号3000-

3999

二层ACL：检查二层帧的头部信息，源MAC\目的MAC\二层协议类型等等，编号4000-4999

用户自定义ACL：使用报文头部、字符串掩码和用户自定义字符串来定义规则。编号5000-5999

四、匹配机制

包过滤方向：

出方向：数据流出的方向

入方向：数据流入的方向

注：包过滤必须配置在接口某个方向上才能生效，一个接口的一个方向只能配置一个包过滤策略

建议：在不影响实际效果的前提下，包过滤尽量配置在离源地址最近的接口的入方向

匹配机制：

1.数据包到达接口先检查是否应用ACL

2.按照ACL编号顺序（从小到大）匹配第一条规则，匹配进一步检查该条规则的动作，

否则与下一条规则进行匹配……

3.所有规则都不匹配，检查默认动作，默认动作允许则放行，默认动作拒绝则放弃

练习1：

rule permit source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

练习2：

rule deny source 192.168.1.5 0.0.0.0 destination 192.168.2.10 0.0.0.0

练习3：

rule permit source 100.1.1.1 0.0.0.0 destination 192.168.10.1 0.0.0.0

rule deny source 100.1.1.0 0.0.0.255 destination 192.168.10.1 0.0.0.0

练习4：

rule deny source 100.1.1.0 0.0.0.255 destination 192.168.10.1 0.0.0.0

rule permit source 100.1.1.1 0.0.0.0 destination 192.168.10.1 0.0.0.0

练习5：

rule permit source 0.0.0.0 255.255.255.255 destination 192.168.10.1 0.0.0.0

练习6：

rule permit source 100.2.2.0 0.0.0.255 destination any

五、ACL实验：

一、实验拓扑

• 实验需求

1. 全网互通；
2. PC1可以访问Telnet R1，不能ping R1
3. PC1不能访问Telnet R2，但可以ping R2
4. PC2和PC1相反

三、实验步骤

1、配置IP地址，实现全网可达

[R1]int g0/0/0

[R1-GigabitEthernet0/0/0]ip add 192.168.1.254 24

[R1-GigabitEthernet0/0/0]int g0/0/1

[R1-GigabitEthernet0/0/1]ip add 192.168.2.1 24

[R2]int g0/0/0

[R2-GigabitEthernet0/0/0]ip add 192.168.2.2 24

[R2]ip route-static 192.168.1.0 24 192.168.2.1

[PC1]int g0/0/0

[PC1-GigabitEthernet0/0/0]ip add 192.168.1.10 24

[PC1]ip route-static 0.0.0.0 0 192.168.1.254-------模拟网关

[PC2]int g0/0/0

[PC2-GigabitEthernet0/0/0]ip add 192.168.1.11 24

[PC2]ip route-static 0.0.0.0 0 192.168.1.254-------模拟网关

2、配置Telnet

[R1]aaa

[R1-aaa]local-user wangdaye privilege level 15 password cipher wdy12345

[R1-aaa]local-user wangdaye service-type telnet

[R1]user-interface vty 0 4

[R1-ui-vty0-4]authentication-mode aaa

[R2]aaa

[R2-aaa]local-user zhangdaye privilege level 15 password cipher zdy12345

[R2-aaa]local-user zhangdaye service-type telnet

[R2]user-interface vty 0 4

[R2-ui-vty0-4]authentication-mode aaa

1. 配置ACL

[R1]acl 3000

[R1-acl-adv-3000]rule deny icmp source 192.168.1.10 0.0.0.0 destination 192.168.2.1 0.0.0.0

[R1-acl-adv-3000]rule deny icmp source 192.168.1.10 0.0.0.0 destination 192.168.1.1 0.0.0.0

[R1-acl-adv-3000]rule deny tcp source 192.168.1.10 0.0.0.0 destination 192.168.2.2 0.0.0.0 destination-port eq 23

[R1-acl-adv-3000]rule deny tcp source 192.168.1.11 0.0.0.0 destination 192.168.2.1 0.0.0.0 destination-port eq 23

[R1-acl-adv-3000]rule deny tcp source 192.168.1.10 0.0.0.0 destinatiorule deny tcp source 192.168.1.11 0.0.0.0 destination 192.168.1.1 0.0.0.0 destination-port eq 23

[R1-acl-adv-3000]rule deny icmp source 192.168.1.11 0.0.0.0 destination 192.168.2.2 0.0.0.0

[R1]int g0/0/0

[R1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

1. 测试