访问控制列表（acl）

1、标准访问控制列表概述

      当我们想要阻止来自某一网络的所有通信流量，或者允许来自某一特定网络的所有通信流量，或者想要拒绝某一协议簇的所有通信流量时，可以使用标准访问控制列表来实现这一目标。

      标准访问控制列表只检查数据包的源地址，从而允许或者拒绝基于网络子网或者主机的IP地址的所有通信流量通过路由器接口。

2、访问控制列表的使用准则

（1）每个端口的每个方向上只能对应于一条访问列表

（2）具有严格限制条件的语句应放在访问列表的所有语句的最上面

（3）在访问列表的最后有一条隐含的声明：deny any（拒绝所有）

（4）入口方向acl优先路由 出口路由优先acl

3、标准访问列表的配置 

标准访问列表使用的位置应尽量靠近目标。在端口上应用访问列表，指明进出方向

access-list-number：访问列表号，标准访问列表号范文：1-99 华为（2000-2999）

通配符：决定数据包中的源地址 （0位对应的必须相同1对应的任意）

仿真实验：

R1(config)#access 10 deny 10.1.1.0 0.0.0.255 //配置ACL10,拒绝ip包中源地址范围是10.1.1.0-255的数据包 //permit为允许

R1(config)#access 10 permit any //允许所有数据包，any表示所有

R1(config)#int g0/1

R1(config-if)#ip access-group 10 out //在out方向上应用ACL10 //in代表进入

验证：应用acl后无法ping通

huawei：

[Huawei]acl 2001  //2001-2999

[Huawei-acl-basic-2001]rule permit source  10.1.1.0 0.0.0.2 //deny禁止

[Huawei-if]acl 2001 inbound  //outbound出去方向

4、扩展访问控制列表概述

（1）扩展访问列表允许用户根据如下内容过滤报文

• 源和目标的地址
• 协议
• 源和目标的端口
• 特定报文字段中允许进行特殊位比较的各种选项

（2）列表号范围：100-199

如果源地址所在网段是10.1.1.0/24，目标地址所在网段是10.1.2.0/24，上面的配置可按如下方式书写：

sike：access-list 101 permit tcp 10.1.1.0 0.0.0.255 10.1.1.2.0 0.0.0.255 eq 25

huawei：rule 10 permit tcp  source any destination 10.1.12.2 0  destination-port eq 21

//tcp代表协议 ，eq后数字代表接口（不同协议不同接口对应不同功能具体百度）

如果不允许源网段10.1.1.0/24中的主机10.1.1.100，访问目标网段10.1.2.0/24中的主机10.1.2.100提供的WWW服务，可按如下方式配置：

sike：access-list 120 deny host 10.1.1.100 host 10.1.2.100 eq 80 //host代表具体到某个ip而不是网段

huawei： rule deny icmp source 192.168.1.20 0 destination 192.168.2.10 0

仿真实验：

R1(config)#access-list 110 deny icmp any any echo //禁止ping包

R1(config)#access-list 110 permit tcp 10.1.1.0 0.0.0.255 host 10.1.2.2 eq 80 //允许HTTP

R1(config)#access-list 110 permit tcp 10.1.1.0 0.0.0.255 host 10.1.2.2 eq 443 //允许HTTPS

R1(config)#int g0/0

R1(config-if)#ip access-group 110 in

验证：无法向服务器发送ping包但可以访问服务器开启的https （eq443）服务

[Huawei]acl 3001                                                         

[Huawei-acl-adv-3001]rule 10 deny icmp source any destination any icmp-type echo   //禁止ping

[Huawei-acl-adv-3001]rule 10 permit tcp  source any destination 10.1.12.2 0 

[Huawei-acl-adv-3001]rule 10 permit tcp  source any destination 10.1.12.2 0  destination-port eq 443

后边的 0 表示本机

[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl 3001  //将acl加入端口