ACL 3p原则

ACL 3p原则

记住 3P 原则，您便记住了在路由器上应用 ACL 的一般规则。您可以为每种协议 (per protocol)、每个方向 (per direction)、每个接口 (per interface) 配置一个 ACL：
每种协议一个 ACL 要控制接口上的流量，必须为接口上启用的每种协议定义相应的 ACL。
每个方向一个 ACL 一个 ACL 只能控制接口上一个方向的流量。要控制入站流量和出站流量，必须分别定义两个 ACL。
每个接口一个 ACL 一个 ACL 只能控制一个接口（例如快速以太网 0/0）上的流量。
ACL 的编写可能相当复杂而且极具挑战性。每个接口上都可以针对多种协议和各个方向进行定义。示例中的路由器有两个接口配置了 IP、AppleTalk 和 IPX。该路由器可能需要 12 个不同的 ACL — 协议数 (3) 乘以方向数 (2)，再乘以端口数 (2)。
正确放置ACL
ACL通过过滤数据包并且丢弃不希望抵达目的地的数据包来控制通信流量。然而，网络能否有效地减少不必要的通信流量，这还要取决于网络管理员把ACL放置在那个地方。
原则是：标准ACL要尽量靠近目的端，而扩展ACL要尽量靠近需要过滤的端
定义ACL时所应遵循的规范
1、ACL的列表号指出了是哪种协议的ACL。
2、一个ACL的配置是每协议、每接口、每方向的。
3、ACL的语句顺序决定了对数据包的控制顺序。
4、最有限制性的语句应该放在ACL语句的首行，“全部允许”和“全部拒绝”这样的语句放在末行。
5、新的表项只能被添加到ACL的末尾，这意味着不可能改变已有访问控制列表的功能。如果已经改变，只有先删除已存在的ACL，然后创建一个新ACL。
6、先建立ACL，才能应用在接口上
7、ACL语句不能被逐条的删除，只能一一次性删除整个ACL
8、在ACL的最后，有一条隐含的“全部拒绝”的命令，所以在ACL里一定至少有一条“允许”的语句
9、ACL只能过滤穿过的流量，不能过滤本路由产生的流量
10、在路由器选择进行以前，应用在接口进入方向的ACL起作用
11、在路由器选择决定以后，应用在接口离开方向的ACL起作用
12、line vty里，只能应用于标准ACL
动态ACL的创建和应用：
1、access-list 列表号 dynamic 表名 动作 允许的协议 源地址网络 目的网络
2、在接口上应用ACL
3、应用autocommand access-enable host timeout 5,自动执行如下命令：access-enable host timeout 5
access-enable host timeout 5 使远端telnet进来的主机创建一个动态ACL列表，超时时间是5分钟
如果不使用host 参数，则认为那个IP的整个网络可以访问。
自反ACL 的应用：
1、自反ACL永远是permit
2、自反ACL允许高层Session信息的IP包过滤
3、利用自反ACL可以只允许出去的流量，但是阻止从外部网络产生的向内部网络的流
量，从而可以更好地保护内部网络；
4、自反ACL是在有流量产生时（如出方向的流量）临时自动产生的，并且当Session
结束条目就删除；
5、自反ACL不是直接被应用到某个接口下的， 而是嵌套在一个扩展命名访问列表下的。
在ASA防火墙的ACL是正掩码，而路由器的IOS的ACL就是反掩码。