访问控制列表简介（Access List）
访问控制列表（ACL）
文章目录
一、访问控制列表概述
1）读取第三层、第四层包头信息
2）根据预先定义好的规则对包头进行过滤
类似于防火墙的工作原理
二、访问控制列表的工作原理
1.访问控制列表在接口应用的方向
1）出：已经经过路由器的处理，正离开路由器接口的数据包
2）入：已经到达路由器接口的数据包，将被路由器处理
列表应用到接口的方向与数据方向有关
2、访问控制列表的处理过程
当ACL处理数据包时，一旦数据包与某条ACL语句匹配，则会跳过列表中剩余的其他语句，根据该条匹配的语句内容决定允许或者拒绝该数据包。如果数据包内容与ACL语句不匹配，那么将依次使用ACL列表中的下一条语句测试数据包。该匹配过程会一直继续，直到抵达列表末尾。最后一条隐含的语句适用于不满足之前任何条件的所有数据包。这条最后的测试条件与这些数据包匹配，通常会隐含拒绝一切数据包的指令。此时路由器不会让这些数据进入或送出接口，而是直接丢弃。最后这条语句通常称为隐式的“deny any”语句。由于该语句的存在，所以在ACL中应该至少包含一条permit语句，否则，默认情况下，ACL将阻止所有流量。
3、ACL: access list 访问控制列表
1、ACL两种作用
1）用来对数据包做访问控制(丢弃或者放行)
2）结合其他协议,用来匹配范围
2、ACL 工作原理
当数据包从接口经过时,由于接口启用了acl,此时路由器会对报文进行检查,然后做出相应的处理。
3、ACL种类
1）基本acl (2000-2999) :只能匹配源ip地址。
2）高级acl (3000-3999) :可以匹配源ip、目标ip、源端口、目标端口等三层和四层的字段层
3）二层ACL (4000-4999) :根据数据包的源MAC地址、目的MAC地址、802.1p优先级、二层协议类型等二层信息制定规则。(仅作了解即可)
4、ACL(访问控制列表)的应用原则
基本ACL,尽量用在靠近目的点
高级ACI,尽量用在靠近源的地方(可以保护带宽和其他资源)
应用规则
1、一个接口的同一个方向,只能调用一个acl
2、一个 acl 里面可以有多个rule规则,按照规则ID从小到大排序,从上往下依次执行
3、数据包一旦被某 rule 匹配,就不再继续向下匹配
4、用来做数据包访问控制时,默认隐含放过所有(华为设备)
三、ACL相关命令
1.基本ACL配置命令
[Huawei]acl number 2000 ###创建acl 2000
[Huawei-acl-basic-2000]rule 5 deny source 192.168.1.1 0 ###拒绝源地址为192.168.10.1的流量, 0代表仅此一台, 5是这条规则的序号(可不加)
[Huawei]interface GigabitEthernet 0/0/1
[Huawei-GiqabitEthernet0/0/1]ip address 192.168.2.254 24
[Huawei-GiqabitEthernet0/0/1]traffic-filter outbound acl 2000 ###接口出方向调用acl， 其中outbound代表出方向, inbound代表进入方向
[Huawei-GigabitEthernet0/0/1]undo sh ###打开端口g0/0/1
[Huawei]acl number 2001 ###进入acl 2001列表
[Huawei-acl-basic-2001]rule permit source 192.168.1.0 0.0.0.255 ###permit代表允许, source代表来源，掩码部分为反掩码。允许源地址192.168.1.0网段访问
[Huawei-acl-basic-2001]rule deny source any ##拒绝所有访问, any代表所有0.0.0.0 255.255.255.255 或者 rule deny
[Huawei]interface GigabitEthernet 0/0/1 ###进入出口接口
[Huawei-GiqabitEtherneto/0/1]ip address 192.168.2.254 24
[Huawei-GiqabitEtherneto/0/1]traffic-filter outbound acl 2001
2.高级ACL配置命令
[Huawei]acl nmuber 3000 ###拒绝tcp为高级控制,所以3000起
[Huawei-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 destination 192.168.3.1 0 ###拒绝Ping
[Huawei-acl-adv-3000]rule permit tcp source 192.168.1.3 0 destination 192.168.3.1 0 destination-port eq 80 ###destination代表目的地地址, destination-port代表目的端口号, 80可用www代替
[Huawei-acl-adv-3000]rule deny tcp source any destination 192.168.3.1 0 destination-port eq 80
[Huawei-acl-adv-3000]rule deny tcp source 192.168.10.0 0.0.0.255 destination 12.0.0.2 destination-port eq 21 ###拒绝源地址192.168.10.0网段访问FTP服务器12.0.0.2
[Huawei-acl-adv-3000]dis this ###查看当前ACL配置是否配置成功
[Huawei]interface g0/0/0
[Huawei-GigabitEtherneto/0/1]ip address 192.168.2.254 24
[Huawei-GigabitEtherneto/0/0]traffic-filter inbound acl 3000 ###在接口入方向应用acl
[Huawei-GigabitEtherneto/0/1]undo traffic-filter inbound ##在接口上取消acl的应用
[Huawei]display acl 3000 ###显示acl配置
[Huawei]acl nmuber 3000
[Huawei-acl-adv-3000]dis this ###查看规则序号
[Huawei-acl-adv-3000]undo rule 5 ###删除一条acl语句
[Huawei]undo acl number 3000 ###删除整个ACL