ACL、VLAN、NAT笔记

一、ACL ---访问控制列表

1.ACL的作用

1，访问控制：在路由器流量流入或流出的接口上，匹配流量，然后

执行设定好的动作。 ---- permit 允许 , deny 拒绝

2，抓取感兴趣流：ACL可以和其他服务结合使用。ACL只负责匹配流

量，其他服务则对匹配上的流量执行对应的动作。

ACL的匹配规则：自上而下，逐一匹配，如果匹配上，则按照对应的动作

执行，不再向下匹配。

思科体系的设备：在ACL列表末尾隐含一条拒绝所有的规则

华为体系的设备：在ACL列表末尾隐含一条允许所有的规则

2.ACL列表的分类

基本ACL --- 仅关注数据包中的源IP地址

高级ACL --- 不仅关注数据包中的源IP地址，还会关注数据包中的目

标IP地址，以及协议和目标端口号

二层ACL

用户自定义ACL

需求一：PC1可以访问PC3和PC4，但是PC2不行

基本ACL的位置原则：因为基本ACL只关注数据包中的源IP地址，故调用时

尽可能的靠近目标，避免对其他地址访问造成误伤。

1). 创建一张ACL列表

[r2]acl ?

   INTEGER<2000-2999> Basic access-list(add to current using rules)

 ---- 基本ACL

   INTEGER<3000-3999> Advanced access-list(add to current using rules)

 ---- 高级ACL

   INTEGER<4000-4999> Specify a L2 acl group

  --- 二层ACL

ipv6                        ACL IPv6

name                     Specify  a  named  ACL

number                  Specify  a  numbered  ACL

[r2]acl 2000

[r2-acl-basic-2000]

2). 在ACL列表中添加规则

[r2-acl-basic-2000]rule deny source 192.168.1.3 0.255.0.255 --- 通配符 --- 0代表不可变，1代表可变 --- 通配符中0和1可以穿插使用

[r2-acl-basic-2000]rule permit source any --- 允许所有

[r2]display acl 2000

       华为默认以5为步调，自动添加ACL的规则的序号。其目的在于匹配规则是从上向下按顺序匹配，这样便于在其中插入规则。

[r2-acl-basic-2000]rule 6 deny source 192.168.1.2 0.0.0.0 --- 自 定义序号添加规则

[r2-acl-basic-2000]undo rule 6 --- 按照序号删除规则

3).在接口上调用ACL列表

[r2-GigabitEthernet0/0/0]traffic-filter outbound acl 2000

注意：在一个接口的一个方向上，只能调用一张ACL列表。

需求二：要求PC1可以访问PC3，但是不能访问PC4

高级ACL的位置原则：因为高级ACL是精准匹配，不会造成误伤，所以，在

调用时应该尽量靠近源目标，避免造成额外的链路资源浪费。