NA-ACL访问控制列表

ACL-访问控制列表

概述

• ACL，中文名称是“访问控制列表”，它由一系列规则（即描述报文匹配条件的判断语句）组成。

• 实现对网络中报文流的精确识别和控制，达到控制网络访问行为，保障网络环境安全可靠

• ACL相当于一个过滤器，ACL规则就是过滤器的滤芯，安装什么样的滤芯（即根据报文特征匹配的一系列ACL规则），ACL就能过滤出什么样的报文了。

标准ACL/基本ACL

• 只对SIP感兴趣-只对源ip匹配--基于源IP过滤数据包

• 需要调用才能生效，建议配置在靠近目的地的地方

思科

• 编号：1-99/1300-1999

• access-list XX permit/deny host x.x.x.x/网段

• 命名acl

R1(config)#ip access-list standard pc 
​
R1(config-std-nacl)#deny/permit host x.x.x.x /网段 

• 思科ACL有一条隐式拒绝所有，写了deny必须要有permit

华为/华三

• 编号：2000-2999

[R3]acl XX
[R3-acl-basic-2000]rule deny/permit source x.x.x.x x.x.x.x 
命名：
[R1]acl name pc basic
[R1-acl-basic-pc]rule deny source x.x.x.x x.x.x.x

扩展ACL/高级ACL

• 对五元组感兴趣

  • 源地址

  • 目的地址

  • 源端口

  • 目的端口

  • 端口号

• 需要调用才能生效，建议部署在靠近源的地方

思科

• 编号：100-199/2000-2699

• 选择协议

  • icmp--ping echo--请求包/echo-reply-回复包

access-list XX permit/deny ip host x.x.x.x/网段  host x.x.x.x/网段
​
access-list 100 deny   icmp 192.168.30.0 0.0.0.255 192.168.20.0 0.0.0.255 echo 
​

• 命名：

R1(config)#ip access-list extended pc 
​
R1(config-ext-nacl)#permit/deny ip host x.x.x.x/网段  host x.x.x.x/网段  eq  xx

• ￥思科ACL有一条隐式拒绝所有，写了deny必须要有permit

华为/华三

• 编号：3000-3999

[R3]acl XX
[R3-acl--adv-3000]rule deny/permit ip source x.x.x.x x.x.x.x  destination  x.x.x.x x.x.x.x
命名：
[R3]acl name p advance
[R3-acl--adv-p]rule deny/permit ip source x.x.x.x x.x.x.x  destination  x.x.x.x x.x.x.x

配置

• 思科标准ACL

Router(config)#access-list 1 deny ?
  A.B.C.D  Address to match    ---网段
  any      Any source host     ---全部
  host     A single host address  ---绑定
Router(config)#access-list 1 deny 192.168.10.0 0.0.0.255
Router(config)#access-list 1 permit any
Router(config)#int f0/0   ---在接口做调用
(可以是vty,子接口,)
Router(config-if)#ip access-group ?---接上表编号
Router(config-if)#ip access-group 1 ? --跟上方向
  in   inbound packets
  out  outbound packets
Router(config-if)#ip access-group 1 out 

• 华三基本ACL

[H3C]acl basic 2000
[H3C-acl-ipv4-basic-2000]rule ?
  INTEGER<0-65534>  ID of an ACL rule
  deny              Specify matched packet deny
  permit            Specify matched packet permit
[H3C-acl-ipv4-basic-2000]rule deny source 192.168.10.0 0.0.0.255
[H3C-acl-ipv4-basic-2000]int g1/0
[H3C-GigabitEthernet1/0]packet-filter 2000 ?
  inbound   Inbound direction
  outbound  Outbound direction
[H3C-GigabitEthernet1/0]packet-filter 2000 outbound 

• 扩展ACL

Router(config)#access-list 100 deny ?
  ahp    Authentication Header Protocol
  eigrp  Cisco's EIGRP routing protocol
  esp    Encapsulation Security Payload
  gre    Cisco's GRE tunneling
  icmp   Internet Control Message Protocol
  ip     Any Internet Protocol
  ospf   OSPF routing protocol
  tcp    Transmission Control Protocol
  udp    User Datagram Protocol
Router(config)#access-list 100 deny icmp 192.18.30.0 0.0.0.255 host 12.12.12.1  --实现30网段不能ping通12.1
Router(config)#access-list 100 permit ip any any 
Router(config)#int f0/0
Router(config-if)#ip access-group 100 in
​
实现1可以ping5,5不能ping1
Router(config)#ACcess-list 100 deny icmp host 192.168.50.5 host 192.168.10.1 ?
  <0-256>               type-num
  echo                  Echo (ping)  --回报
  echo-reply            Echo reply  --请求包
  host-unreachable      Host unreachable
  net-unreachable       Net unreachable
  port-unreachable      Port unreachable
  protocol-unreachable  Protocol unreachable
  ttl-exceeded          TTL exceeded
  unreachable           All unreachables
  <cr>
Router(config)#ACcess-list 100 deny icmp host 192.168.50.5 host 192.168.10.1 echo
Router(config)#access-list 100 permit ip any any
Router(config)#

• 华三高级ACL

实现1.1不能telnet到3.1
[H3C-acl-ipv4-adv-3000]rule deny ?
  INTEGER<0-255>  Protocol number
  gre             GRE tunneling (47)
  icmp            Internet Control Message Protocol (1)
  igmp            Internet Group Management Protocol (2)
  ip              Any IP protocol
  ipinip          IP in IP tunneling (4)
  ospf            OSPF routing protocol (89)
  tcp             Transmission Control Protocol (6)
  udp             User Datagram Protocol (17)
[H3C-acl-ipv4-adv-3000]rule deny tcp source 192.168.1.1 ?
  0        Wildcard bits: 0.0.0.0 (a host)
  X.X.X.X  Wildcard of source
[H3C-acl-ipv4-adv-3000]rule deny tcp source 192.168.1.1 0 destination 192.168.3.1 0
[H3C-acl-ipv4-adv-3000]int g1/0
[H3C-GigabitEthernet1/0]packet-filter 3000 inbound