ACL-访问控制简介及配置

最新推荐文章于 2024-06-13 10:50:11 发布

原创最新推荐文章于 2024-06-13 10:50:11 发布 · 1.8k 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#网络

HCIA 专栏收录该内容

11 篇文章

订阅专栏

本文详细介绍了访问控制列表（ACL）的概念，包括其作用、分类及基本和高级ACL的使用方法。阐述了ACL作为流量匹配工具，如何通过五元组精确抓取数据流，以及基本和高级ACL的配置语法和应用实例。

实用技术—ACL

1. ACL简介
2. ACL的作用
3. ACL的分类
- 3.1 基本ACL的用法
- 3.2 高级ACL的用法

1. ACL简介

全称：访问控制列表（Access Control List）
作用：在众多数据包里面抓取某一个数据流

2. ACL的作用

作用：ACL是一个流量匹配工具，本身没有过滤的作用，真正有过滤作用的一般是策略生效。
如何判断同一个流量
- 依靠数据包里面的五元组（SIP、DIP、Sport、Dport、协议）进行抓取数据流量。
- 五个元素必须完全一样，缺一不可

ACL逻辑

效果：
- RTA允许192.186.1.0/24中的主机可以访问外网，也就是internet，但是不能访问服务器。
- 192.168.2.0/24中的主机则被禁止访问Internet，只能访问服务器。

3. ACL的分类

基本ACL（Basic）
- 取值范围：2000-2999
- 匹配条件不是特别多，一般是SIP和DIP
高级ACL（Advanced）
- 取值范围：3000-3999
- 匹配条件特别多，一般来说SIP\DIP\Sport\Dport\协议
小结

语法	优点	缺点
基本ACL	语法简单	匹配的条件太泛了，无法左右更加精细的匹配流量
高级ACL	可以做到更加今夕的匹配流量	语法复杂

3.1 基本ACL的用法

配置方式
- 命令：规则序列号动作条件（匹配的网段和反掩码）
- 序列号可写可不写，默认情况下为5（第二条是10，自动增加），step（步长）为5，不建议把很多规则写成连续的。
- 序列号只能是正整数，匹配顺序就是这个序列号从小到大匹配

acl 2000    //创建序列号
rule 5 permit/deny source 192.168.1.0 0.0.0.255    //允许或拒绝一个IP过来的数据
traffic-filter inbound acl 2000    //接口下，在数据入口启用ACL应用，数据出口outbound
display acl all    //查看ACL的应用结果

ACL查看命令

注意点：基本ACL这一块的匹配不是特别精确
匹配结论：
- 如果rule 5规则匹配正确，下面的所有规则就不用看了
- 如果 rule 5和 rule 10 和 rule 15 都没有匹配上，rule 20 匹配完成，后面的规则就不用看了
- 如果所有规则都没有匹配上，默认情况下，ACL是允许所有通过
- 因为默认都是允许通过，所以一般都是用ACL协议来禁止数据通过

3.2 高级ACL的用法

acl 3000
rule deny tcp source 192.168.1.0 0.0.0.255 destination 172.16.10.1 0.0.0.0 destination-port eq 21

命令解析：匹配的时候，五个条件缺一不可
- SIP是192.168.1.0 / 24
- DIP 是172.16.10.1/32
- Sport是任意（没定义=任意）
- Dport是21号端口
- 协议是TCP
- 小结：就是拒绝源IP是192.168.1.0/24去访问目标IP是172.16.10.1的FTP资源