12、网络访问控制中的流量过滤配置详解

网络访问控制中的流量过滤配置详解

1. 流量过滤概述

安全设备上的访问控制列表（ACL）不仅可以过滤通过设备的数据包，还能过滤发往设备的数据包。流量过滤配置主要有以下几种方式：
- 基于命令行界面（CLI）的穿透流量过滤
- 基于自适应安全设备管理器（ASDM）的穿透流量过滤
- 发往设备的流量过滤
- IPv6 流量过滤（可选）

2. 基于 CLI 的穿透流量过滤

穿透流量过滤指的是从安全设备的一个接口流向另一个接口的流量。通过 CLI 配置安全设备进行数据包过滤分两步完成：设置 ACL 并将其应用到接口。

2.1 设置 ACL

访问控制列表是访问控制条目（ACE）的集合。当新连接尝试通过安全设备时，会受到接口上配置的 ACL 的检查。数据包根据每个 ACE 配置的动作被允许或丢弃。可以使用 access-list 命令定义 ACE，可定义扩展 ACL、IPv6 ACL 或 EtherType ACL 来过滤穿透流量。定义扩展 ACE 的命令语法如下：

access-list id [line line-num][extended] {deny | permit}{protocol | object-group protocol_obj_grp_id {source_addr source_mask} | interface src_interface_name | object-group network_obj_grp_id | host src_host_addr [o