ACL的基本原理与配置

服务器 0

目录

  • 一、ACL概述
    • 1.ACL的工作原理
  • 二、ACL的组成
    • 1.规则编号
    • 2.通配符
  • 二、ACL的分类与标签
  • 三、基本ACL与高级ACL
  • 四、ACL的匹配机制
  • 五、ACL的匹配顺序及匹配结果
    • 1.ACL的匹配位置
    • 2.入站(Inbound)及出站(Outbound)方向
  • 六、ACL的实验配置


一、ACL概述

ACL,中文名称是“访问控制列表”,它由一系列规则(即描述报文匹配条件的判断语句)组成。这些条件通常被称为五元组-分别是报文的源地址、目的地址、源端口、目的端口、端口号等。这样解释ACL,大大家肯定听不懂,那么我打个比喻,ACL相当于一个过滤器,ACL规则就是过滤器的滤芯,安装什么样的滤芯(即根据报文特征匹配的一系列ACL规则),ACL就能过滤出什么样的报文了。

  • ACL是由一系列permit或deny语句组成的、有序规则的列表。
  • ACL是一个匹配工具,能够对报文进行匹配和区分。
    在这里插入图片描述

1.ACL的工作原理

ACL的工作原理:当数据包从接口经过时,由于接口启用了ACL,此时路由器会对报文进行检查,然后做出相应的处理。

二、ACL的组成

ACL由若干条permit或deny语句组成。每条语句就是该ACL的一条规则,每条语句中的permit或deny就是与这条规则相对应的处理动作。
在这里插入图片描述

1.规则编号

在这里插入图片描述

在这里插入图片描述

2.通配符

在这里插入图片描述

  • 子网掩码:1的含义是精确匹配,0的含义是忽略匹配
  • 通配符掩码:1的含义是忽略匹配,0的含义是精确匹配
    在这里插入图片描述

二、ACL的分类与标签

在这里插入图片描述

三、基本ACL与高级ACL

在这里插入图片描述

四、ACL的匹配机制

在这里插入图片描述

五、ACL的匹配顺序及匹配结果

  • 配置顺序(config模式)
    在这里插入图片描述

1.ACL的匹配位置

在这里插入图片描述
ACL在接口上的应用:
在入口上:数据包从入口进路由器,就会被路由器处理。
在出口上:数据包在经过路由器处理后,才会让它从出口出去。

ACL的应用原则:
基本ACL,尽量用在靠近目的点。
高级ACL,尽量用在靠近源的地方。

应用规则
1、一个接口的同一个方向,只能调用一个ACL
2、一个ACI里面可以有多个rule规则,按照规则ID从小到大排序,从上往下依次执行
3、数据包一旦被某rule匹配,就不再继续向下匹配
4、用来做数据包访问控制时,默认隐含放过所有(华为设备)

2.入站(Inbound)及出站(Outbound)方向

在这里插入图片描述

  1. 有测匹配,无则放行
  2. 接口响应配置,要被调用

六、ACL的实验配置

一、实现第一个目标:仅允许PC1访问192.168.2.0/24网络(即仅允许PC1访问PC3)
在这里插入图片描述
在这里插入图片描述

<Huawei>sys	[Huawei]sysname AR1[AR1]int g0/0/0	[AR1-GigabitEthernet0/0/0]ip address 192.168.1.254 24[AR1-GigabitEthernet0/0/0]int g0/0/1[AR1-GigabitEthernet0/0/1]ip address 192.168.3.254 24[AR1-GigabitEthernet0/0/1]int g0/0/2[AR1-GigabitEthernet0/0/2]ip address 192.168.2.254 24[AR1-GigabitEthernet0/0/2]q[AR1]acl 2000	[AR1-acl-basic-2000]rule permit source 192.168.1.10 0 	[AR1-acl-basic-2000]rule deny [AR1-acl-basic-2000]q[AR1]int g0/0/2	[AR1-GigabitEthernet0/0/2]traffic-filter outbound acl 2000[AR1-GigabitEthernet0/0/2]q

在这里插入图片描述
在这里插入图片描述

1、配置路由器R1
2、配置PC机
3、分别在PC1和PC2上ping PC3
4、发现只有PC1可以Ping同PC3,PC2不能ping同PC3,实验目的实现

二、禁止192.168.1.0/24网络ping Web服务器
在这里插入图片描述

[AR1]acl 3000	[AR1-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 destination 192.168.3.30 0[AR1-acl-adv-3000]q[AR1]int g0/0/1[AR1-GigabitEthernet0/0/1]traffic-filter outbound acl 3000[AR1-GigabitEthernet0/0/1]q

在这里插入图片描述

在这里插入图片描述
在这里插入图片描述

1、配置路由器R1上的acl功能
2、配置服务器
3、用PC1和PC2 ping 服务器,发现不能接通,实验目的达到
4、为什么PC3也不能连通客户端,因为一开始完成目的一时,创建的acl2000是配置在G0/0/2端口上的,所以客户端 的请求不能达到PC3,所以不能接通。

三、仅允许Client1访问WEB服务器的www服务
在这里插入图片描述

在这里插入图片描述

<AR1>sys[AR1]acl 3001	[AR1-acl-adv-3001]rule permit tcp source 192.168.1.30 0 destination 192.168.3.30 0 destination-port eq 80[AR1-acl-adv-3001]rule deny icmp source 192.168.1.10 0 destination 192.168.3.30 0[AR1-acl-adv-3001]rule deny icmp source 192.168.1.20 0 destination 192.168.3.30 0[AR1-acl-adv-3001]q[AR1]int g0/0/0[AR1-GigabitEthernet0/0/0]traffic-filter inbound acl 3001[AR1-GigabitEthernet0/0/0]q

1、配置路由器R1,此时注意配置acl时有端口号配置,所以需要用高级acl功能
2、配置服务器和客户端,获取文件

也许您对下面的内容还感兴趣: