[ACL]访问控制列表

原创已于 2023-03-27 19:09:25 修改 · 1k 阅读

6 ·

CC 4.0 BY-SA版权

文章标签：

#网络 #智能路由器

于 2023-03-23 19:28:01 首次发布

ACL

1.ACL的定义：

访问控制列表ACL（Access Control List）是由一条或多条规则组成的集合。所谓规则，是指描述报文匹配条件的判断语句，这些条件可以是报文的源地址、目的地址、端口号等。
ACL本质上是一种报文过滤器，规则是过滤器的滤芯。设备基于这些规则进行报文匹配，可以过滤出特定的报文，并根据应用ACL的业务模块的处理策略来允许或阻止该报文通过。

2.ACL的目的：

随着网络的飞速发展，网络安全和网络服务质量QoS（Quality of Service）问题日益突出。
企业重要服务器资源被随意访问，企业机密信息容易泄露，造成安全隐患。
Internet病毒肆意侵略企业内网，内网环境的安全性堪忧。
网络带宽被各类业务随意挤占，服务质量要求最高的语音、视频业务的带宽得不到保障，造成用户体验差。
以上种种问题，都对正常的网络通信造成了很大的影响。因此，提高网络安全性服务质量迫在眉睫。ACL就在这种情况下应运而生了。
通过ACL可以实现对网络中报文流的精确识别和控制，达到控制网络访问行为、防止网络攻击和提高网络带宽利用率的目的，从而切实保障网络环境的安全性和网络服务质量的可靠性。

3.访问控制列表（ACL）

读取第三层，第四层包头信息
根据预先定义好的规则对包进行过滤
在这里插入图片描述
通信五元素：
源IP地址目的IP地址源端口目的端口协议
通信四元素：
源IP地址目的IP地址源端口目的端口
访问控制列表在接口应用的方向：
出：已经过路由器的处理，正离开路由器接口的数据包。
入：已到达路由器接口的数据包，将被路由器处理。
在这里插入图片描述
访问控制列表的处理过程：
ACL在接口上定义N条规则过滤数据包，要么放行，要么丢弃。
匹配规则，从上往下，依次匹配，匹配即停止

4.实验练习：

在这里插入图片描述
问题：
仅允许PC1访问192.168.2.0/24网络.
首先，我们先配置RI的所有接口的IP地址。

<Huawei>SYS
Enter system view, return user view with Ctrl+Z.
[Huawei]SYS R1
[R1]undo info-center enable
Info: Information center is disabled.
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip add 192.168.1.254 24
[R1-GigabitEthernet0/0/0]un shu
Info: Interface GigabitEthernet0/0/0 is not shutdown.
[R1-GigabitEthernet0/0/0]int g0/0/1
[R1-GigabitEthernet0/0/1]ip add 192.168.3.254 24
[R1-GigabitEthernet0/0/1]un shu
Info: Interface GigabitEthernet0/0/1 is not shutdown.
[R1-GigabitEthernet0/0/1]int g0/0/2
[R1-GigabitEthernet0/0/2]ip add 192.168.2.254 24
[R1-GigabitEthernet0/0/2]un shu
Info: Interface GigabitEthernet0/0/2 is not shutdown.
[R1-GigabitEthernet0/0/2]q

之后我们在R1设置ACL规则

[R1]acl 2000
[R1-acl-basic-2000]rule permit source 192.168.1.1 0     //优先级允许192.168.1.1/24
[R1-acl-basic-2000]rule deny source any      //优先级拒绝所有
[R1-acl-basic-2000]dis th            //查看规则
[V200R003C00]
#
acl number 2000  
 rule 5 permit source 192.168.1.1 0 
 rule 10 deny 
#
return
[R1-acl-basic-2000]q
[R1]int g0/0/2          //进入端口
[R1-GigabitEthernet0/0/2]traffic-filter outbound acl 2000     //进入端口配置刚设的规则
[R1-GigabitEthernet0/0/2]q
[R1]display acl 2000      查看acl  2000
Basic ACL 2000, 2 rules
Acl's step is 5
 rule 5 permit source 192.168.1.1 0 
 rule 10 deny