网络安全学习--ACL

最新推荐文章于 2024-05-08 11:58:42 发布
最新推荐文章于 2024-05-08 11:58:42 发布
阅读量1.1k 收藏 4
点赞数
分类专栏： 网络安全 文章标签： 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xuwenpeng/article/details/121984975
版权
ACL
  • ACL(Access Control List)访问控制列表
  • ACL是一种包过滤技术
    ACL基于IP包头的IP地址、四层TCP/UDP头部的端口号，基于三、四层过滤
  • ACL在路由器上配置，也可在防火墙上配置(一般称为策略)
ACL分类
  • 标准ACL
  • 扩展ACL
标准ACL
  • 表号：1-99
  • 特点：只能基于源IP对包进行过滤
  • 命令：
    反子网掩码：
  • 将正子网掩码0和1倒置
  • 作用：用来匹配，与0对应的需要严格匹配，与1对应的忽略
#该条目用于拒绝源IP以10开头的
access-list 1 deny 10.0.0.0 0.255.255.255
#拒绝所有源IP为10.1.1.1的主机
access-list 1 deny 10.1.1.1 0.0.0.0
access-list 1 deny host 10.1.1.1
#拒绝所有
access-list 1 deny 0.0.0.0 0.0.0.0
access-list 1 deny any
#查看ACL表
show ip access-list [表ID]
#将ACL应用至接口
interface fa0/x
ip access-group 表号 in/out
exit
扩展ACL
  • 表号：100 - 199
  • 特点：可以基于源IP、目标IP、端口号、协议及包进行过滤。
  • 命令：
    access-list 100 permit/deny 协议 源IP或源网段 反子网掩码 目标IP或目标网段 反子网掩码 [eq 端口号]
    协议：TCP/UDP/ICMP/IP
access-list permit tcp host 10.1.1.1 host 20.1.1.2 eq 80
access-list permit tcp host 10.1.1.1 20.1.1.0 0.0.0.255
access-list permit ip any any
ACL原理
  • ACL表必须应用到接口的进或出方向才生效
  • 一个接口的一个方向只能应用一张表
  • 进还是出，取决于流量控制总方向
  • ACL表是严格自上而下检查每一条，注意书写顺序
  • 每一条是由条件和动作组成，当流量完全满足，当某流量没有满足条件，则继续检查下一条
  • 标准ACL要写在靠近目标的地方
  • 做流量控制，首先判断ACL写的位置(哪个路由器，哪个接口，哪个方向)
  • 再考虑如何写ACL
    • 首先判断最终要允许所有还是拒绝所有
    • 将严格控制的写在前面
  • 标准或扩展ACL一旦写好，无法修改某一条，无法删除某一条，也无法修改顺序，只能一直在最后面添加新条目，如想修改、插入或删除，只能删除整张表
  • 命名ACL：可以对标准或扩展ACL进行自定义命名，自定义命名更容易辨认，也便于记忆，可以任意修改、删除或插入某一条
#定义ACL条目
ip access-list standard/extended 自定义名称
开始从deny或permit编写ACL条目
exit
#删除ACL条目
no 条目ID
exit
#插入ACL条目
条目ID 动作 条目信息

实验一：
实验要求(使用标准ACL实现)：
1.要求10网段禁止访问整个50网段，访问其他不受限
2.要求40.1.1.1PC禁止访问50网段，其他访问不受限
3.要求10.1.1.1禁止访问40网段，其他不受影响

实验文件下载在这里插入图片描述

  1. 先将各PC的IP地址，子网掩码和网关配置好
  2. 设置好路由器名个接口IP
  3. 配置各个路由器的路由，实现各个网段互通
#Router0设置
Router>enable
Router#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#interface fa0/0
Router(config-if)#ip addr 10.1.1.254 255.255.255.0
Router(config-if)#no shutdown

Router(config-if)#
%LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up

%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to up

Router(config-if)#exit
Router(config)#interface fa0/1
Router(config-if)#ip addr 20.1.1.1 255.255.255.0
Router(config-if)#no shutdown

Router(config-if)#
%LINK-5-CHANGED: Interface FastEthernet0/1, changed state to up

%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1, changed state to up

Router(config-if)#do show ip route
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
       i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
       * - candidate default, U - per-user static route, o - ODR
       P - periodic downloaded static route

Gateway of last resort is not set

     10.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
C       10.1.1.0/24 is directly connected, FastEthernet0/0
L       10.1.1.254/32 is directly connected, FastEthernet0/0
     20.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
C       20.1.1.0/24 is directly connected, FastEthernet0/1
L       20.1.1.1/32 is directly connected, FastEthernet0/1

Router(config-if)#exit
Router(config)#ip route 0.0.0.0 0.0.0.0 20.1.1.2
# --------Router1配置
Router>enable
Router#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#interface fa1/0
Router(config-if)#ip addr 50.1.1.254 255.255.255.0
Router(config-if)#no shutdown

Router(config-if)#
%LINK-5-CHANGED: Interface FastEthernet1/0, changed state to up

%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet1/0, changed state to up

Router(config-if)#exit
Router(config)#interface fa0/0
Router(config-if)#ip addr 20.1.1.2 255.255.255.0
Router(config-if)#no shutdown

Router(config-if)#
%LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up

Router(config-if)#exit
Router(config)#interface fa0/1
Router(config-if)#ip addr 30.1.1.1 255.255.255.0
Router(config-if)#no shutdown

Router(config-if)#
%LINK-5-CHANGED: Interface FastEthernet0/1, changed state to up

Router(config-if)#
%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1, changed state to up

%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to up

Router(config-if)#exit
Router(config)#do show ip route
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
       i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
       * - candidate default, U - per-user static route, o - ODR
       P - periodic downloaded static route

Gateway of last resort is not set

     20.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
C       20.1.1.0/24 is directly connected, FastEthernet0/0
L       20.1.1.2/32 is directly connected, FastEthernet0/0
     30.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
C       30.1.1.0/24 is directly connected, FastEthernet0/1
L       30.1.1.1/32 is directly connected, FastEthernet0/1
     50.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
C       50.1.1.0/24 is directly connected, FastEthernet1/0
L       50.1.1.254/32 is directly connected, FastEthernet1/0

Router(config)#ip route 10.1.1.0 255.255.255.0 20.1.1.1
Router(config)#ip route 40.1.1.0 255.255.255.0 30.1.1.2
#-------------Router2配置
Router>enable
Router#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#interface fa0/1
Router(config-if)#ip addr 40.1.1.254 255.255.255.0
Router(config-if)#no shutdown

Router(config-if)#
%LINK-5-CHANGED: Interface FastEthernet0/1, changed state to up

%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1, changed state to up

Router(config-if)#exit
Router(config)#interface fa0/0
Router(config-if)#ip addr 30.1.1.2 255.255.255.0
Router(config-if)#no shutdown

Router(config-if)#
%LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up

%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to up

Router(config-if)#exit
Router(config)#ip route 0.0.0.0 0.0.0.0 30.1.1.1
  1. 配置完成后,通过ping测试网段之间的连通
    在这里插入图片描述
  2. 配置ACL
#Router1上配置ACL
Router(config)#access-list 50 deny 10.0.0.0 0.255.255.255
Router(config)#access-list 50 deny host 40.1.1.1
Router(config)#access-list 50 permit any
Router(config)#interface fa1/0
Router(config-if)#ip access-group 50 out
#查看ACL配置
Router(config)#do show access-list
Standard IP access list 50
    10 deny 10.0.0.0 0.255.255.255
    20 deny host 40.1.1.1
    30 permit any
#Router2上配置ACL
Router(config)#access-list 40 deny host 10.1.1.1
Router(config)#access-list 40 permit any
Router(config)#interface fa0/1
Router(config-if)#ip access-group 40 out
丢爸
关注
专栏目录
华为设备配置 |基本ACL| 对源IP做配置
闫露坤
02-02 3804
实验需求：  0、确保互通  1、禁止PC1访问server  2、允许所有流量访问server 实验拓扑： 理解： ACL 是应用在路由器接口的指令列表  规则 ACL 读取第三层第  四层报文头部信息 对报文进行过滤 实验配置： [ar1]int g0/0/0 [ar1-GigabitEthernet0/0/0]ip add 192.168.100.254 24 [ar1-Gigab...
ACL实验
weixin_46966890的博客
05-27 1601
一、实验内容 将上图路由关系在Ensp软件内部署，完成以下要求： 1、PC1可以telnet R1，但不能ping R1；PC1可以ping R2，但不能telnet R2； 2、PC2不可以telnet R1，但能ping R1；PC2不可以ping R2，但能telnet R2； 二、分析及实验步骤 分析：先给各个路由器配置合理的IP地址，并在PC1和PC2路由器上配置到达2.0网段的路由；在R1、R2路由器上建立开启telnet服务；之后在R1上创建ACL列表，键入ACL规则，最后进入到
网络安全之ACL
最新发布
m0_65858385的博客
05-08 556
要求禁止PCA与1.1.1.0通信，网络中的路由该学习学习不做处理，这时我们要把PCA访问1.1.1.0这一网段的所有流量抓取出来做一个过滤，这也要通过ACL进行控制，但这时控制的是数据层面的信息，是PCA访问1.1.1.0的具体流量，ICMP等。若在3上做了几条ACL条目，过来一个数据在ACL条目上没有匹配上拒绝或允许，思科中将过滤，华为则该转发转发，当没有这个ACL则该执行执行，该拒绝拒绝。2、ACL列表的调用分为in（先匹配ACL再查看路由）和out（先查看路由再匹配ACL）。
网络安全笔记-20-ACL
wwxxee
08-12 218
ACL(访问控制列表) 分类: 标准ACL：基于源IP过滤 扩展ACL：基于源IP，目标IP，协议，端口号过滤 注意 ACL表必须应用到接口的进或出方向 一个接口的一个方向只能应用一张表 ACL表是严格自上而下检查每一个条目 每一个条目都是由条件和动作构成，当没有满足条件时，则继续检查下一条 标准ACL一般应用到靠近目标的out方向 扩展ACL一般应用到靠近源的in方向 in方向：先ACL，再路由 out方向：先路由，再ACL 默认最后一条拒绝所有 命令 标准ACL：表号范围为1-99，1300-1
ACL是网络安全的配置和STP
M78NB666的博客
04-17 996
随着大规模开放式网络的开发，网络面临的威胁也就越来越多。网络安全问题成为网络管理员必须面对的问题。一方面，为了业务的发展，必须允许对网络资源的开放访问权限;另一方面，又必须确保数据和资源的尽可能安全。网络安全采用的技术很多，而通过ACL可以对数据流进行过滤,是实现基本的网络安全手段之一。本章只讨论基于IPv4和IPv6的ACL功能、工作原理、使用原则、标准ACL和扩展ACL 以及IPv4 ACL和 IPv6 ACL的配置。
网络安全技术——ACL技术（访问控制列表）
热门推荐
weixin_62594100的博客
04-03 1万+
一、ACL概述 访问控制列表（ACL）就是一种对经过路由器的数据流进行判断、分类和过滤的方法。网络设备为了过滤报文，需要配置一系列的匹配条件对报文进行分类，这些条件可以是报文的源地址、目的地址、端口号等。当设备的端口接收到报文后，即根据当前端口上应用的ACL规则对报文的字段进行分析，在识别出特定的报文之后，根据预先设定的策略允许或禁止该报文通过。 ACL有不同的类别，通过不同的编号来区别，华为设备中的ACL分类如下表： ACL类型 编号范围 规则制定依据 基本ACL 2000~2
网络安全学习-标准ACL
12-17
网络安全学习-标准ACL
网络设计与集成-ACL配置-实验三报告.doc
04-27
ACL可以用于安全防护、流量管理、资源保护等多种场景。 **实验配置步骤** 1. **拓扑图与地址分配**：实验中使用了两台路由器（HQ和BR）、四台交换机以及若干台计算机。每个设备都有相应的IP地址和子网掩码，例如，...
《网络安全》-课程标准.doc
06-07
将网络安全所需的安全理论和安全技术根据情境需要融入 到学习项目中，经过这些项目的学习，不但可以让学生掌握基本的网络安全知识和技能 ，而且还能全面培养学生的团队合作、沟通表达、职业规范与职业道德等综合素质...
网络安全绝地求生-面试之战
08-30
通过阅读"美河学习在线eimhe.com_网络安全绝地求生-面试之战.pdf"这份资料，求职者可以系统地复习这些关键知识点，并学习如何在面试中有效展示自己的专业能力。准备充分的面试者不仅能够解答面试官的问题，还应能...
Mac3-ACL-20210329.7z
03-29
【标题】"Mac3-ACL-20210329.7z" 提供的文件信息似乎属于计算机安全领域，尤其是与访问控制（Access Control Lists, ACLs）相关的内容...对于系统管理员、开发人员和网络安全专业人士来说，这是一个非常有价值的资源。
2024年网安最全TCP IP安全 之 ACL访问控制列表_acl icmp tcp
2401_84247760的博客
05-03 650
标准—Standard表号：1-99或1300-1999特点：只能基于源IP地址对包进行过滤！扩展—Extended表号：100-199或2000-2699特点：可以基于源IP地址、目标IP地址、目标端口号、协议等对包进行过滤！表号：1-99条件：源IP+反子网掩码反子网掩码：0.0.0.255 0代表严格匹配 255代表不需要匹配！表号：100-199协议：TCP/UDP/IP/ICMP （当写了端口号，只能写tcp或udp）
网络边界安全ACL基本配置
智的博客
12-02 1760
ACL配置IP地址搭建ospf网络配置基本ALC控制访问 企业网络中的设备进行通信时，需要保障数据传输的安全可靠和网络的性能稳定，网络安全很重要。 访问控制列表ACL(Access Control List)可以定义一系列不同的规则，设备根据这些规则对数据包进行分类，并针对不同类型的报文进行不同的处理，从而可以实现网络访问行为的控制、限制网络流量、提高网络性能、防止网络攻击等。 一、实验目的： 掌握 ACL 的工作原理 2.熟悉 基本ACL和高级ACL的配置 3.掌握ACL 在企业网中的安全控制 二、
网络ACL简介
weixin_44869629的博客
05-27 8019
网络ACL是一个子网级别的可选安全层，通过与子网关联的出方向/入方向规则控制出入子网的数据流。 如图1所示。 图1安全组与网络ACL 网络ACL与安全组类似，都是安全防护策略，当您想增加额外的安全防护层时，就可以启用网络ACL。安全组只有“允许”策略，但网络ACL可以“拒绝”和“允许”，两者结合起来，可以实现更精细、更复杂的安全访问控制。 网络ACL与安全组的详细区别请参见安全...
定义ACL控制策略
Z_xiao_feng的博客
05-20 414
定义ACL控制策略 1)创建账户：mike、john、kaka 2)创建文件：/data/file1.txt 3)mike对文件有读写权限，john只有读权限。其他用户没有任何权限 4)kaka具有与john相同权限 5)创建lily用户，lily对file1.txt具有读执行权限，其他用户没有任何权限 并不是所有的分区都支持ACL策略设置，后续会学习怎样让一个分区支持ACL。在安装系统时划分的分...
ACL策略
五彩斑斓的黑@的博客
06-07 2726
高级acl命令：rule deny icmp soure 192.168.10.1 0 destination 192.168.0.20 0（这里的意思为拒绝192.168.10.1的所有网段访问目的ip 192.168.0.20 其中icmp即通过网际控制协议来达到控制访问的目的）3000~3999 高级acl 可以匹配源ip、目标ip以及源端口和目的端口号、以及三层和四层的相关协议（例：icmp udp tcp）根据通配符规则：0表示匹配（即不变的） 1表示随机分配（即有变化的）
Tailscale ACL 访问控制策略完全指南！
云原生实验室
11-28 1906
❝原文链接????：https://icloudnative.io/posts/tailscale-acls/或者点击左下角的 阅读原文 直接查看原文????大家好，我是米开朗基杨。前面几篇文章给大家给介绍了 Tailscale 和 Headscale，包括 ????Headscale 的安装部署和各个平台客户端的接入，以及如何打通各个节点所在的局域网。同时还介绍了????如何自建私有的 DERP 服务器，并让 Tail...
计算机网络（ACL策略）
qq_44685426的博客
11-15 6391
ACL--访问控制列表 配置了ACL的网络设备，根据事先设定好的报文匹配规则，对经过该设备的流量按照规则进行匹配，对匹配上的流量执行设定好的动作 ACL的功能： 1.访问控制：在路由器流量流入或者流出的接口上，匹配流量，然后执行设定好的动作。-- permit（允许），deny（拒绝） 2.抓举感兴趣流：ACL和其他的服务结合使用，ACL负责匹配对应的流量，而其他的服务对匹配到的流量执行相应的动作（流量控制--ACL和Qos--服务质量技术） ACL控制列表的匹配规则： 自上而...
1. ACL策略（ACL权限）及案例分析
weixin_45655356的博客
11-14 3005
ACL策略（ACL权限） 文档归属的局限性 任何人只属于三种角色：属主、属组、其他人 无法实现更精细的控制 acl访问策略 能够对个别用户、个别组设置独立的权限 大多数挂载的EXT3/4、XFS文件系统默认已支持 setfacl命令 – 格式：setfacl [选项] u:用户名:权限 文件… setfacl [选项] g:组名:权限 文件… 常用命令选项 – -m：定义一条ACL策略 – -x：清除指定的ACL策略 – -b：清除所有已设置的ACL策略 – -R：递归设置ACL策略 [ro
局域网10-ACL配置操作手册：安全分册详解ACL配置
通过学习这些章节，读者可以了解如何在实际网络中配置和应用ACL。 总的来说，本次总结对"局域网10-ACL配置；10-ACL配置;操作手册安全分册ACL"进行了总结。该操作手册通过介绍ACL的概念、分类和命名规则来帮助读者...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值