ACL的原理与配置

ACL概述

读取数据包中的IP头部，TCP/DUP 头部中的源IP地址，目的IP地址，和源端口，目的端口根据设置好的ACL决定数据的丢弃还是允许通过。

ACL工作原理

1. ACL 在接口上定义N条规则过滤数据包，要么放行，要么丢弃;

2. ACL匹配规则：从上往下依次匹配，匹配即停止，不会继续匹配下一条;

3. 当数据包从接口经过时，由于接口启用了ACL，此时路由器会对报文进行检查，然后做出相应的丢弃或允许通过.

 ACL类型：

分类	编号范围	规则定义描述
基本ACL	2000-2999	只匹配源IP
高级ACL	3000-3999	可恨据源IP地址，目的IP地址，和源端口，目的端口匹配
二层ACL	4000-4999	可根据源MAC地址、目的MAC地址和MAC二层协议类型等
用户自定义ACL	5000-5999	使用报文头、偏移位置、字符串掩码和用户自定义字符串来定义规则

ACL的组成

ACL由若干条permit或deny语句组成。每条语句就是该ACL的一条规则，每条语句的permit或deny就是与这条规则相对应的处理动作。

ACL的基本配置

需求：

1.PC1可以ping通Server1
2.PC2不可以ping通Server1

终端IP配置 

 

拓扑 

注意：路由器一定要选对，要不然后面直接代码一直显示出错。 

配置 

交换机的配置

<Huawei>system-view   //进入系统
[Huawei]undo info-center enable  //关闭路由器输出信息
[Huawei]sysname SW1  //更改设备名称
[SW1]vlan batch 10 20  //创建VLAN 10和20
[SW1]interface g0/0/1   //进入接口g0/0/1
[SW1-GigabitEthernet0/0/1]port link-type access  //配置接口模式access
[SW1-GigabitEthernet0/0/1]port default vlan 10   //把接口划入VLAN10
[SW1-GigabitEthernet0/0/1]quit
[SW1]interface g0/0/1
[SW1-GigabitEthernet0/0/1]quit
[SW1]interface g0/0/2
[SW1-GigabitEthernet0/0/2]port link-type access  //配置接口模式access
[SW1-GigabitEthernet0/0/2]port default vlan 20   //把接口划入VLAN20
[SW1-GigabitEthernet0/0/2]quit
[SW1]interface g0/0/3
[SW1-GigabitEthernet0/0/3]port link-type trunk    //配置接口模式trunk
[SW1-GigabitEthernet0/0/3]port trunk allow-pass vlan 10 20  //允许10和20通过
[SW1-GigabitEthernet0/0/3]quit
[SW1]

路由器的配置

<Huawei>system-view
[Huawei]undo info-center enable
[Huawei]sysname R 
[R]interface g0/0/1
[R-GigabitEthernet0/0/1]undo shutdown
Info: Interface GigabitEthernet0/0/1 is not shutdown.
[R-GigabitEthernet0/0/1]quit
[R]interface g0/0/1.10
[R-GigabitEthernet0/0/1.10]dot1q termination vid 10
[R-GigabitEthernet0/0/1.10]ip address 192.168.10.254 24
[R-GigabitEthernet0/0/1.10]arp broadcast enable
[R-GigabitEthernet0/0/1.10]quit
[R]interface g0/0/1.20
[R-GigabitEthernet0/0/1.20]dot1q termination vid 20
[R-GigabitEthernet0/0/1.20]ip address 192.168.20.254 24
[R-GigabitEthernet0/0/1.20]arp broadcast enable
[R-GigabitEthernet0/0/1.20]quit
[R]interface g0/0/0
[R-GigabitEthernet0/0/0]ip address 10.1.1.254 24
[R-GigabitEthernet0/0/0]undo shutdown
[R-GigabitEthernet0/0/0]quit
[R]acl 2000         //创建ACL，编号为2000
[R-acl-basic-2000]rule 10 deny source 192.168.20.0 0.0.0.255   //拒绝192.168.20.0网段
[R-acl-basic-2000]quit
[R]interface g0/0/1
[R-GigabitEthernet0/0/1]traffic-filter inbound acl 2000   //在G0/0/1接口的方向配置流量过滤，当匹配到ACL2000流量是，执行相应的过滤动作
[R-GigabitEthernet0/0/1]quit
[R] 

 实验调试

实验总结 ：

ACL是网络管理中重要的工具，不仅能够提高网络的安全性，还能优化网络性能和服务质量。合理配置和应用ACL，能够有效控制网络访问，保障企业重要资源的安全。