《一名网络工程师的自我修养-高级ACL》

网络故障排查标准化流程与实战工具指南 网络故障排查是保障网络稳定运行的关键技术,其核心原理是通过分层检测定位数据包传输路径中的异常节点。从物理层线缆状态到应用层协议分析,系统化的排查流程能显著提升故障解决效率。在工程实践中,结合Wireshark抓包和iperf3带宽测试等工具,可精准诊断TCP重传、ARP隔离等典型问题。特别是在企业级网络中,标准化操作流程能覆盖90%以上的常见故障场景,如DHCP失效、路由泄漏等。掌握从基础ping测试到高级BGP路由分析的完整技能栈,是网络工程师应对复杂网络环境的核心竞争力。 阅读详情

高级ACL

高级ACL编号范围:3000-3999

  • 思科
    • 标准ACL (华为的基本ACL)
    • 扩展ACL(就是华为的高级ACL)

高级ACL可以根据数据包

华为高级ACL的创建

华为可以给ACL命名,但系统依然会配一个编号,所以差别不大。

[ISP] acl 3000
[ISP-acl-adv-3000] rule permit icmp(各种协议)对icpm协议族下的数据包进行过滤
[ISP-acl-adv-3000] rule permit icmp source 10.10.10.0 0.0.0.255 destination 20.20.20.0 0.0.0.255允许 10.10.10.0 24 ping 20.20.20.0 24
[ISP-acl-adv-3000]rule 5 deny ip(Any ip protocol)通过禁止源目地址
[ISP-acl-adv-3000]rule 5 deny ip source 10.10.10.0 0.0.0.255 destination 10.20.20.0 0.0.0.255阻止全部协议的通信
[ISP-acl-adv-3000] rule permit tcp source 10.10.10.0 0.0.0.255 desination 162.16.33.11 0 eq destination-port 80http流量的端口号为80 htpps : 443
拒绝来源特定网络通过端口号20、21访问172.16.33.11
rule deny tcp source 10.10.10.0 0.0.0.255 destination 172.16.33.11 0 destination-port range 20 21ftp-data 20 ftp 21
法不禁止就可行,华为的高级ACL也同样拥有隐式语句,默认放行。

Tip : 当不记得命令时,利用好 ?提示符

ACL匹配原则:从上到下,一有匹配直接发送。

ACL自动匹配原则(深度匹配):


在这里插入图片描述

任务一描述:防止外网利用UDP访问端口445安全问题

在这里插入图片描述

[AR4] ACL 3000创建高级ACL
[AR4-acl-adv-3000] rule deny udp source any destination any destination-port any eq 445禁止任何源IP地址访问任何目的地址通过udp协议族访问目的端口为445端口
[AR4-acl-adv-3000]rule permit ip sou any de any允许通过任何协议的源IP访问任何的目的IP
创建完ACL之后,我们需要调用
[AR4] int g0/0/0进入连接外网的端口(找到所要抓取流量的必经之路)
[AR4] traffic-filter inbound acl 3000调用acl3000 来过滤 从这个端口进入的流量(inbound)
测试是否生效:

用外网的一台PC0对Sever服务器发起访问,目的IP为NAT更改后的,目的的端口445,源端口任意,发起访问。

在这里插入图片描述

我们在未过滤前的端口如:ISP的g0/0/0抓取流量,发现有数据包

在这里插入图片描述

在过滤后的接收端口查看数据包,发现无数据包。

在这里插入图片描述

任务二:拒绝VLAN10除TCP流量的访问

在这里插入图片描述

通过分析,VLAN10的流量到达Sever服务器

我们可以根据自己的想法来设置ACL,我们选择在AR3(sever的网关)的 G0/0/1 设置ACL。

[AR3] acl 3000创建ACL
[AR3] rule permit tcp source any destination 172.16.33.11 0 destination-port eq 80允许任何的TCP流量访问服务器
[AR3]rule deny ip source 10.10.10.0 0.0.0.255 destination 172.16.33.11.0拒绝VLAN10的流量以任何方式(协议)来访问
[AR3] rule permit ip source any destination any设置允许所有流量。
设置完acl后,调用
[AR3] int g0/0/1
[AR3-g0/0/1] traffic-filter outbound acl 3000调用acl3000,来抓取从这个端口出来的流量
测试…

ACL实施思路:

  • 确定流量必经之路,明确应该在哪台设备的哪个端口的哪个方向

  • 在相应设备上创建ACL(源IP、目的IP、协议类型、端口等)

  • 必须要应用(简化的流策略)

  • 优化

    • acl的设置要考虑消耗资源、更好的容错。
      • 比如在LSW2上设置ACL防止vlan10流量,那么当该设备出现故障时,可能会从另一条路发送流量。
      • 在LSW1上设置ACL防止VLAN10流量,调用后会抓取所有从VLAN10出来的流量,造成资源浪费。
      • 在AR3上的g0/0/1端口调用,虽然也会抓取所有访问sever的流量,但明显优于在LSW1上设置ACL

高级ACL

思科版

在这里插入图片描述

NAT

与华为不同,在做NAT转换时,思科需要先设置端口角色

Easy IP:
R5(config) # int g0/2以R5为例(所有端口都要配),进入连接服务器的端口
R5 (config-if) # ip nat inside内网设置为 inside
R5(config-if)# exit
R5(config) # ip access-list standard NAT创建了一个名为 NAT 的标准ACL
R5(config-std-nacl) # permit 10.0.0.0 0.255.255.255设置ACL抓取
R5(config-std-nacl) # quit
R5(config) # ip nat inside source list NAT interface s0/0/0 overload调用 NAT acl, 选择接口的IP

Tip(小提示):

R5(config) # ip nat inside source list NAT ?抓取流量转换地址,选择转换成谁
interface Specify interface for gloval address pool Name pool of global address是接口还是地址池
R5(config) # ip nat inside source list NAT interface s0/0/0 overload选择接口时,注意如果多台设备转换时,需要开启过载
利用好提示符” ?“
静态NAT
R5(config) # ip nat inside source static 172.16.55.11 51.51.51.10静态转换IP(1对1 转换)将内网的172.16.55.11转换成外网的51.51.51.10

拓展ACL- 思科

R5(config) # ip access-list extended 100
R5(config-ext-nacl) # deny udp any any eq 445将udp 445端口的流量全部拒绝调(任何源地址,任何目的地址)
R5(config-ext-nacl) # permit ip any any思科默认是拒绝所有,所以我们需要让其它的通信
R5(config-ext-nacl) # endend 可直接跳转到 特权模式
R5 # show ip access-list查看你设置的ACL列表
R5(config) # int s0/0/0
R5(config)-if # ip access-group 100 in通过编号或名称调用 ACL。 调用ACL100对进入的流量做出相应的动作。

验证ACL-思科

未限制VLAN10

在未对VLAN10做出流量限制之前,PC1可以通过 Web 浏览器 访问 服务器、通过DNS域名访问以及Ping通等等都可以的

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

限制VLAN10

只允许VLAN10 的设备 的 TCP协议端口号为 80 的访问,其他流量均无法通行

R5 (config) # ip access-list extended Guest创建一个名为Guest的拓展ACL
R5 (config-ext-nacl)# permit tcp 10.10.10.0 0.0.0.255 host 172.16.55.11 eq 80允许 通过 tcp 协议以及端口号为80且源IP为10.10.10.0网段 目的IP为172.16.55.11的流量
R5 (config-ext-nacl)# deny ip 10.10.10.0 0.0.0.255 host 172.16.55.11拒绝VLAN10的所有流量,所有只有VLAN10的upd才能访问
R5 (config-ext-nacl)# permit ip any any再允许其他的流量通过
R5 (config-ext-nacl)# end
R5 # show ip acc

在这里插入图片描述

R5(config) # int g0/2进入将要调用ACL的端口
R5(config-if) # ip access-group Guest out调用名为Guest的ACL来抓取出来的流量并对它们执行相应动作。
限制后的效果

通过http依然可以访问服务器,因为http 依靠的 是 Tcp协议 我们允许通过。

在这里插入图片描述

域名访问时无法访问: 域名访问时,PC1首先要对服务器的DNS服务发起访问,得到地址后,再通过地址访问。 但是我们只允许了Tcp流量的通信,所以缺少中间的一步,故无法访问。

在这里插入图片描述

开源TMS系统cortex-tms私有化部署与二次开发实战指南 运输管理系统(TMS)是现代物流数字化的核心组件,它通过将线下零散的物流操作转化为线上标准化、可追溯的数据流,实现订单、调度、跟踪与结算的全流程管理。其技术原理通常基于微服务架构,采用Spring Boot、Vue.js等成熟技术栈构建,确保系统的稳定性和可扩展性。TMS的技术价值在于显著提升物流企业的运营效率、降低成本并增强过程可控性,尤其适用于中小型物流企业实现从手工管理到系统化管理的跨越。在应用场景上,TMS广泛应用于车队管理、订单跟踪和财务结算等环节。本文聚焦于开源TMS项目cortex-tms,深 阅读详情

相关推荐

STC8G1K08A 实战应用:从配置到功能实现

本文详细介绍了STC8G1K08A单片机的实战应用,从开发环境搭建、GPIO配置、ADC模块使用到定时器中断处理和PWM输出等核心功能。重点讲解了外设模块的协同工作配置技巧,并分享了实际项目开发中的经验教训,帮助开发者快速掌握STC8G1K08A的高效应用。

n4o5p6q7r的博客 391

学习日记Day27:ACL原理与配置

ACL可以通过对网络中报文流的精确识别,与其他技术结合,达到控制网络访问行为、防止网络攻击和提高网络带宽利用率的目的,从而切实保障网络环境的安全性和网络服务质量的可靠性。

qq_40909772的博客 6262

STM32 LwIP协议栈优化:从TCP延迟10ms降至1ms的内存配置手册

摘要: 本文针对STM32嵌入式开发中LwIP TCP通信的高延迟问题(默认配置下延迟达10~20ms),提出纯软件优化方案,通过调整内存配置与TCP参数将延迟降至1ms。核心问题包括内存池不足、pbuf分配低效及Nagle算法拖累,优化步骤包括: 内存池扩容:增大MEMP_NUM_TCP_PCB至10、PBUF_POOL_SIZE至32,避免资源竞争; pbuf静态池分配:采用2048字节大块缓冲区匹配DMA传输,减少分块与拷贝; 关闭Nagle算法:设置TCP_NODELAY=1,禁用延迟确认以加速小包

weixin_42212753的博客 1708

ACL规则

每个ACL(访问控制列表)可以包含多个规则,RTA根据规则来对数据流量进行过滤。举例:此时192.168.1.2的源ip的流量过来,不能匹配上此acl规则,则往下走到下一条默认规则。0.0.0.254--0.0.0.1111 1110--则为1的位数上没限制、最后一个0的则一定要一模一样此时源IP为192.168.1.2、192.168.1.4.。。。偶数才能匹配上此规则。192.168.1.2--192.168.1.0000 0010192.168.1.4--192.168.1.0000 0100生效规则

weixin_48236860的博客 4471

ADRV9009的学习历程(一)

** AD9361的同胞ADRV9009 ** 终于记录一下了 距离第一次想写博客记录自己学习的点点滴滴,大概已经过去有一年有余。一直都是停留在心有余而力不足的境界。 基本每次做项目遇到问题都会来优快云寻求帮助,这里虽离庙堂较远,但高手云集。每每读来,思绪万千,次次膜拜。 趁这次又学习了一样新物件,就记录一下,望大神看见能赐教一下。 ADRV9009 最近有项目要用到ADRV9009这个芯片。就来学习一下。做过AD9361的都知道,ADI官方会给出这个芯片的参考手册、数据手册和驱动程序。当然我只是见过AD

weixin_42868560的博客 1万+

Graphviz安装及使用:决策树可视化

Python大数据分析与机器学习学习笔记 Graphviz安装及使用:决策树可视化

算法工程师 1万+

S5700的ACL访问控制列表及实验

五、访问控制列表 标准访问控制列表 扩展访问控制列表 指定一个L2的acl群组 用户自定义访问控制列表   ACL的五大要素:源地址、源端口、目标地址、目标端口、协议 如果简单说来就是:源地址访问目的地址的什么协议的什么端口 思路:应用需要用什么协议,需要用什么端口--------确定IP地址   1.标准访问控制列表 Forexample1: rule 0 deny

My Inspiration World _" Franz ° 1万+

Windows 下 Hermes Agent(爱马仕)安装全记录:从零到一的保姆级图文教程

本文主要介绍了Windows 下 Hermes Agent(爱马仕) 安装全记录:从零到一的保姆级图文教程,希望能对学习使用 Hermes Agent 的同学们有所帮助。 文章目录 1. 背景 2. 实战教程 2.1 步骤一 安装WSL环境 2.2 步骤二 安装Python环境 2.3 步骤三 安装Hermes Agent 2.4 步骤四 修正 API Key 错误 2.5 步骤五 配置多个模型 2.6 步骤六 启动Hermes Agent 3. 常见问题及解决方案 4. 总结

weixin_43178406的博客 14万+

网络地址转换NAT

NATNAT的工作原理静态NAT动态NATPAT端口多路复用 NAT的工作原理 NAT用来将内网地址和端口号转换成合法的公网地址和端口号,建立一个会话,与公网主机进行通话。 NAT外部的主机无法主动跟位于NAT内部的主机通信。NAt 内部主机想要通信,必须主动和公网的一个IP通信,路由器负责建立一个映射关系,从而实现数据的转发。 NAT功能: NA不仅能解决IP地址不足的问题,而且还能够有效地避免来自外部的人入侵,隐藏并保护网络内部的计算机。 1、宽带分享:这是 NAT主机的最大工为能。 2、安全防护: N

weixin_55609813的博客 491

QT 实现QStackedWidget切换页面右移动画

首先截取当前界面的图片,渲染到一个QLabel上,然后设置QPropertyAnimation动画,动画的作用对象就是这个QLabel,不断的改变geometry;当动画结束的时候,隐藏并释放这个QLabel。以下是一个QStackedWidget,放了两个QPushButton在上面,点击切换不同的界面。为了方便查看动画特效,设置了每个界面的背景图片。

希望能帮助大家,希望大家多多支持,你们的支持是我前进的动力。 882

学Simulink--基础光伏储能场景实例:基于Simulink的光储微电网主从控制策略仿真

摘要:本文详细介绍基于Simulink的光储微电网主从控制策略仿真方法。通过"储能V/f控制+光伏PQ控制"架构,实现孤岛运行时电压频率稳定和功率平衡。文章包含系统建模步骤、核心控制算法实现(附MATLAB代码)、三种典型工况仿真测试(稳态、光伏突变、负荷波动),结果显示系统满足电压偏差<±2.5%、频率偏差<±0.3%、动态响应<1s的性能要求。最后提出双主冗余、分层控制等优化方向,为光储微电网控制提供完整仿真解决方案。

amy_mhd的博客 74

HCIA-访问控制列表基础

访问控制列表ACL的基础学习

这是一个网络小菜鸡的笔记本,欢迎大家前来纠错。 1619

1、JMP脚本编程全面指南:从基础到高级应用

本博客全面介绍了JMP脚本编程的各个方面,从JMP基础和JSL入门,到数据类型、数据结构、编程方法、数据表操作、图形与三维场景脚本,再到应用程序创建与扩展功能。内容涵盖脚本工具使用、常见任务实现、兼容性说明及未来发展趋势,旨在帮助用户掌握JMP脚本语言的强大功能,提升数据分析的自动化与定制化能力。适合从初学者到高级用户的深入学习与实践参考。

flink9streamer的博客 266

一名网络工程师的自我修养--ACL

ACL ACL简介 ACL Access control list : 访问控制列表,是有permit或者deny语句组成的一系列有顺序由的规则集合。 简单理解就是对你设置的列表中的网络流量做一些控制,是访问还是拒绝,以及在比如做NAT转换时规划列表中的网络可以通过NAT转换 rule 5 perimit sorce 10.0.0.0 0.0.255.255 抓取编号5中的来自(源IP)为10.0.0.0 16的流量 0.0.255.255 通配符掩码

Z3300529971的博客 258

STM32F407中文手册

STM32f407中文手册 本参考手册面向应用开发人员,提供有关使用 STM32F405xx/07xx、STM32F415xx/17xx、 STM32F42xxx 和 STM32F43xxx 微控制器存储器与外设的完整信息。STM32F405xx/07xx、STM32F415xx/17xx、STM32F42xxx 和 STM32F43xxx 构成一个微 控制器系列,各产品具有不同的存储器大小、封装和外设。有关订购信息以及器件的机械与电气特性,请参见数据手册。有关 ARM Cortex™-M4F 内核的信息,请参见《Cortex™-M4F 技术参考手册》。

C# WinForm 基于DirectShow.dll编写的程序,可边预览边保存视频,音频和图片

基于微软的DirectShow.dll的二次开发1.自动识别连接的摄像头跟麦克风且可以对其进行选择(默认选中第一个)2.可录制wmv和avi两种格式的视频并且都带有音频,avi可以录制的分辨率和帧数进行选择,wmv默认进行了淸晰度优化如不喜欢可去除代码中有相关提示3.可在预览点开之后进行拍照,也可边录制视频边拍照4.添加了视频和音频的压缩功能(酌情使用)这次二次开发发现C#对DirectShow的相关信息太少,这次做完也不敢藏私共享出来,还望大家指正

《一名网络工程师的自我修养》--NAT

NAT PFC1918标准 PFC1918规定以下为私有网段: Private IP Address 10.0.0.0 /8 子网掩码少于标准的ABC类网段,我们称之为超网。 172.16.0.0 /12 类似B类网段,但子网掩码少于16–>超网 192.168.0.0 /16 类似C类网段,但子网掩码少于24–>超网 在公网上无法传递私有网段的数据包(规定遇到访问公网的私网IP直接丢弃) 1 口称为 NAT的内部端口(连接局

Z3300529971的博客 547

文档:亲测可用解决vnc灰屏,黑屏,鼠标大黑叉情况

主要解决vnc-viewer灰屏,黑屏,鼠标大黑叉等现象,详细见文档。

VLAN特性 聚合、MUX VLAN、QinQ、映射

无论如何,不许退缩,不许不努力,决不许放弃! 文章目录一、VLAN聚合二、MUX VLAN三、QinQ四、VLAN Mapping五、拓扑六、基本配置与分析七、设备完整配置 VLAN特性 映射、聚合、MUX VLAN、QinQ;DHCP,DHCP中继,NAT,ACL。 一、VLAN聚合 聚合VLAN产生的背景: 不同VLAN隔离二层通信(主要目的划分广播域),为了实现互通需要借助三层通信,这样每个VLAN都属于一个子网,需要自己的IP子网和网关,随着网络中VLAN数量的增加,IP子网也会剧增,但是实际每.

艺博东的博客 1万+

jre9下载 jdk9

(Java SE Runtime Environment 9.0) 9.0u175 官方最新版 【x86|x64】

学习笔记——ACL

acl

shinylife的博客 8471

Linux tcpdump命令详解

  史上最好用的免费SVN空间   简介 用简单的话来定义tcpdump,就是:dump the traffic on a network,根据使用者的定义对网络上的数据包进行截获的包分析工具。 tcpdump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤,并提供and、or、not等逻辑语句来帮助你去掉无用的信息。   实用命令实...

weixin_34008784的博客 2043

ACL---访问控制列表配置

(3)PC2无法ping通Server1,但是可以访问Server1的网页。(1)使PC1不能访问Server1/2,可以访问PC2。(2)PC2可以访问Server2,不能访问Server1。rule 1000 permit ip //允许所有。rule 1000 permit //允许所有。//允许使用1、2使用TCP访问2、1的80端口。分析:目的ip不同,源ip相同,使用高级ip。流量过滤,允许指定ip进入或不允许进入。

wangzhemvp的博客 1016

HCIA 第八天

ACL的概念。 1、ACL:Access Control List,访问控制列表。 作用: 1、实现访问控制 2、抓取感兴趣流量供其他技术调用 工作原理:通过在路由器上手工定义一张ACL列表,表中包含有多种访问规则,然后将此表调用在路由的某个接口的某个方向上, 让路由器对收到的流量基于表中规则执行动作–允许、拒绝 3、 ACL匹配规则: 至上而下按照顺序依次匹配,一旦匹配中流量,则不再查看下一条 ...

weixin_45800779的博客 447

访问控制列表ACL的用法

1、拒绝某个特定的主机 例如:拒绝源地址为1.1.1.1的报文通过 rule 5 source 1.1.1.1 0.0.0.0 #必须要带有0.0.0.0 2、允许某个网段的所有主机通过 例如:允许192.168.1.0/24所有主机通过 rule 5 permit source 192.168.1.0 0.0.0.225 #(0.0.0.255)=(255.255.255.255)-(255.255.255.0) #24位掩码为255.255.255.0 允许192.168.2.0 2.

liu_阳的博客 2627

华为路由器、交换机配置命令

华为路由器交换机配置命令是大家使用时经常遇到的,顾名思义关于交换机的计算机命令,路由器命令,交换机命令和动静态命令都将在文中提到。 史上最全华为路由器交换机配置命令大合集,熟练掌握下面的华为路由器交换机配置知识点,你只需花几分钟的时间就能明白华为路由器交换机配置。交换机的配置命令等等。 华为路由器交换机配置命令:计算机命令 PCAlogin:root;使用root用户 password:linux...

华为eNsp实验室 4万+

故障排查华三交换机不回复ping报文

华三交换机作为三层交换机。车载新增的交换机与华三路由不通。 进一步排查发现是三层的互联IP地址不通。 车载ping不通华三,但是可以ping通同一个vlan内其他的车辆。 抓包发现icmp报文进入了华三,但是华三没有回应。像是进入了一个黑洞。 排查华三发现arp和mac地址表都正常。 查看fib的转发表。发现到车载交换机的主机路由有2条。其中生效的一条是虚拟化bfd的vlan。仔细看bfd配置,发现IP地址段与车载的冲突了。更改bfd的IP地址后恢复通行。 以下为排查过程中用到的命令 1、建立acl acl

q253289627的博客 4124

华为——使用ACL限制内网主机访问外网网站示例

访问控制列表ACL(Access Control List)是由一条或多条规则组成的集合。所谓规则,是指描述报文匹配条件的判断语句,这些条件可以是报文的源地址、目的地址、端口号等。ACL本质上是一种报文过滤器,规则是过滤器的滤芯。设备基于这些规则进行报文匹配,可以过滤出特定的报文,并根据应用ACL的业务模块的处理策略来允许或阻止该报文通过。基于ACL规则定义方式,可以将ACL分为基本ACL、高级ACL、二层ACL等种类。

专研计算机网络,数据通信,网络安全,系统集成 4936

IP学习-Sixday

访问控制列表 地址转换协议

qq_52973916的博客 1013

第七章:ACl技术

2、按照ACL编号顺序(从大到小)匹配第一条规则,匹配进一步检查该条规则的动作,否则与下一条规则进行匹配.....高级ACL:对数据包的五元组(源IP、目的IP、源端口、目的端口、协议类型)进行检查,编号3000-3999。二层ACL:检查二层帧的头部信息,源MAC\二层协议类型等等,编号4000-4999。通配符:哪些位需要严格匹配,哪些位可以随意,0表示严格匹配,1表示随意匹配。3、所有规则都不匹配,检查默认动作,默认动作允许则放行,默认动作拒绝则放弃。手动指定:0、1、2、3、4、5......

Ruimin0519的博客 465
上一篇: 一名网络工程师的自我修养--ACL
下一篇: C++作业-输出日期
笑白君
博客等级 码龄7年 56粉丝 46原创
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付:10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值