网络基础之ACL（访问控制列表）

网络基础之ACL（访问控制列表）

@[toc](目录

一、概念

1、ACL

2、ACL在接口应用的方向

3、ACL的作用

（1）用来对数据包做访间控制(丢弃或者放行)（2）结合其他协议,用来匹配范围

4、ACL的工作原理

ACL工作原理:当数据包从接口经过时，由于接口启用了ACL，此时路由器会对报文进行检查，然后做出相应的处理其实就是从上往下一条一条的匹配，直到最后，丢弃或者发送出去。

5、ACL种类

基本ACL（2000-2999）:只能匹配源IP地址。 高级ACL（3000-3999）:可以匹配源IP、目标IP、源端口、目标端口等三层和四层的字段和协议。 二层ACL（4000-4999）:根据数据包的源MAC地址、目的MAC地址、802.1Q优先级、二层协议类型等二层信息制定规则\但是因为二层ACL使用MAC地址匹配，但更换主机后，规则需要重新设置，对于经常更换主机的比较麻烦，所以很少使用。常用的是基本ACL和高级ACL。 6、ACL的应用原则和规则

ACL的应用原则:基本ACL。尽量用在靠近目的点高级ACL，尽量用在靠近源的地方（可以保护带宽和其他资源）

ACL的应用规则1、一个接口的同一个方向，只能调用一个ACL2、一个ACL里面可以有多个rule规则，按照规则ID从小到大排序，从上往下依次执行3、数据包一旦被某rule匹配，就不再继续向下匹配4、用来做数据包访问控制时，默认隐含放过所有(华为设备)

二、配置实验

[Huawei]acl number2000 ------( 创建acl2000）[Huawei-acl-basic-2000]rule 5 deny source 192.168.1.10 0（拒绝源地址为192.168.1.1的流量，0代表仅此一台，5是这条规则的序号(可不加)[Huawei]interface GigabitEthernet o/o/1[Huawei-GigabitEtherneto/o/l]ip address 192.168.2.254 24[Huawei-GigabitEtherneto/o/l]traffic-filter outbound acl 2000(接口出方向调用acl2000，outbound代表出方向，inbound代表进入方向）

[Huawei-GigabitEtherneto/o/l]undo sh[Huawei]acl number 2001 (进入acl2001列表)[Huawei-acl-basic-2oo1]rule permit source 192.168.1.0 0.0.0.255 (permit代表允许，source代表来源，掩码部分为反掩码)反掩码代表主机，正掩码代表网段[Huawe1-acl-basic-2001]rule deny source any 或者rule deny （ 拒绝所有访问，any代表所有0.0.0.0 255.255.255.255）

[Huawei]interface GigabitEthernet 0/0/1 (进入出口接口)[Huawei-GigabitEtherneto/0/1]ip address 192.168.2.254 24[Huawei-GigabitEtherneto/0/1]traffic-filter outbound acl 2001

[Huawei]acl nmuber 3000 (拒绝tcp为高级控制,所以3000起)[Huawei-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 destination 192.168.3.1 0 (拒绝Ping)[Huawei-acl-adv-3000]rule permit tcp source 192.168.1.3 0 destination 192.168.3.1 0 destination-port eq 80 (destination代表目的地地址，destination-port代表目的端口号，80可用deny tcp source any destination 192.168.3.1 0 destination-port eq 80

[Huawei-acl-adv-3000]rule deny tcp source 192.168.10.0 0.0.0.255 destination 12.0.0.2 destination-port eq 21 （拒绝源地址192.168.10.o网段访问FTP服务器12.0.0.2）[Huawei-acl-adv-3000]dis this ---查看当前ACL配置是否配置成功

[Huawei]interface go/o/o[Huawei-GigabitEtherneto/0/1]ip address 192.168.2.254 24[Huawei-GigabitEtherneto/o/o]traffic-filter inbound acl 3000 ---在接口入方向应用acl[Huawei-GigabitEtherneto/0/1]undo traffic-filter inbound (在接口上取消acl的应用)[Huawei]display acl 3000 显示acl配置

[Huawei]acl nmuber 3000[Huawei-acl-adv-3000]dis this 查看规则序号[Huawei-ac1-adv-3000] undo rule 5 删除一条ac1语句[Huawei]undo acl number 3000 删除整个acl

版权声明：本文内容由网络用户投稿，版权归原作者所有，本站不拥有其著作权，亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容，请联系我们jiasou666@gmail.com 处理，核实后本网站将在24小时内删除侵权内容。