访问控制列表协议——ACL

时间  2021-06-19 标签 acl 路由器

访问控制列表（ACL）

  • 读取第三层、第四层包头信息
  • 根据预先定义好的规则对包进行过滤 （类似于防火墙的功能 ，防火墙就是控制一些IP地址和端口进行筛选和过滤）
    在这里插入图片描述

源地址、目的地址、源端口、目的端口称为通信的四元素 （要是加上应用层的协议如HTTP那就变成了通信的五元素）

访问控制列表的工作原理

访问控制列表在接口应用的方向

  • 出：已经过路由器的处理，正离开路由器接口的数据包

  • 入：已到达路由器接口的数据包，将被路由器处理
    在这里插入图片描述

  • 访问控制列表（ACL）应用到接口的方向与数据方向有关

访问控制列表的处理过程

在这里插入图片描述
ACL两种作用：1.用来对数据包做访问控制（丢弃或者放行）

​ 2.结合其他协议，用来匹配范围

ACL的工作原理：当数据包从接口经过时，由于接口启用了ACL，此时路由器会对报文进行检查，然后做出相应的处理。

ACL的种类：

  • 基本ACL（2000-2999）：只能匹配源IP地址
  • 高级ACL（3000-3999）：可以匹配源IP、目标IP、源端口、目标端口等三层和四层的字段。
  • 二层ACL（4000-4999）：根据数据包的源MAC地址、目标MAC地址、802.1q优先级、二层协议类型等二层协议类型等二层信息制定规则。（了解即可用的较少）

ACL（访问控制列表）的应用原则：

基本ACL：尽量用在靠近目的点

高级ACL：尽量用在靠近源的地方（可以保护带宽和其他资源）

ACL（访问控制列表）的应用规则：

1.一个接口的同一个方向，只能调用一个ACL

2.一个ACL里面可以有多个rule（规则），按照规则ID从小到大排序，从上往下依次执行

3.数据包一旦被某rule匹配，就不再继续向下匹配

4.用来做数据包访问控制，默认隐含放过所有（华为设备）

ACL配置命令

[Huawei]acl number 2000 ###创建acl 2000

[Huawei-acl-basic-2000]rule 5 deny source 192.168.1.1 0 ###拒绝源地址为192.168.10.1的流量，0代表仅此一台，5是这条规则的序号（不可加）

[Huawei] interface GigabitEthernet 0/0/1

[ huawei GigabitEthernet 0/0/1]ip address 192.168.2.254.24

[huawei-GigabitEthernet 0/0/1]traffic-filter outbound acl 2000 ###接出口方向调用acl2000，outbound代表出方向，inbound代表进入方向

[huawei-GigabitEthernet 0/0/1]undo sh

[huawei] acl number 2001 ###进入acl 2000列表

[huawei-acl-basic-2001] rule permit source 192.168.1.0 0.0.0.255 ###permit代表允许，source代表来源，掩码部分为反掩码

[huawei-acl-basic-2001]rule deny source any ##拒绝所有访问，any代表所有 0.0.0.0 255.255.255.255 或者直接输入rule deny也行

【huawei】interface GigabitEthernet 0/0/1###进入出口接口

[huawei-GigabitEthernet 0/0/1]ip address 192.168.2.254 24

[huawei-GigabitEthernet 0/0/1]traffic-filter outbound acl 2001

[huawei]acl number 3000 ###拒绝tcp为高级控制，所以3000起

[huawei-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 destination 192.168.3.1 0 destination-port eq(等于的意思）80 ###destinstion代表目的地地址，destination-port代表目的端口号，80可用www代替

[huawei-a cl-adv-3000]rule deny tcp source any destination 192.168.3.1 0 destination-port eq 80

[huawei-acl-adv-3000]rule deny tcp source any 192.168.10.1 0.0.0.255 destination 12.0.0.2 destination-port eq 21 ###拒绝源地址192.168.10.0 网段访问ETP服务器12.0.0.2

[huawei-acl-adv-3000]dis this ###查看当前ACL配置是否配置成功

[huawei]interface g0/0/0

[huawei-GigabitEthernet0/0/1]ip address 192.168.2.254 24

  • [huawei-GigabitEthernet0/0/0]traffic-filter inbound acl 3000 ###在接入口方向应用acl

  • [huawei-GigabitEthernet0/0/0]traffic-filter outbound acl 3000 ###在出口方向应用acl

[huawei-GigabitEthernet0/0/1]undo traffic-filter inbound ###在接口上取消acl的应用

[huawei] display acl 3000 ###显示acl配置

[huawei]acl number 3000

[huawei-acl-adv-3000]disthis ###查看规则序号

[huawei-acl-adv-3000]undo rule 5 ###删除一条acl语句

[huawei]undo acl number 3000 ###删除整个ACL

联系我们 沪ICP备13005482号-10