访问控制列表(ACL)

一、ACL简介。

访问控制列表ACL（Access Control List）可以定义一系列不同的规则，设备可以根据这些定义的规则对数据包进行分类，并针对不同类型的报文进行不同的处理，从而可以实现对网络访问行为的控制、限制网络流量、提高网络性能、防止网络攻击等等功能。

二、ACL应用场景。

图2-1 

如图2-1所示，ACL可以通过定义规则来允许或拒绝流量的通过。

图2-2 

如图2-2所示，ACL可以根据需求来定义过滤的条件以及匹配条件后所执行的动作（如加密等等）。

三、ACL分类。

 图3-1

四、ACL规则。

图4-1 

如图4-1所示，每个ACL可以包含多个规则，RTA可以根据规则来对数据流量进行过滤操作。

五、ACL配置。

1.基本ACL配置。

图5-1

[RTA]acl 2000

[RTA-acl-basic-2000]rule deny source 192.168.1.0 0.0.0.255

[RTA]interface GigabitEthernet 0/0/0

[RTA-GigabitEthernet 0/0/0]traffic-filter outbound acl 2000

配置确认

 [RTA]display acl 2000

 Basic ACL 2000, 1 rule

 Acl's step is 5

 rule 5 deny source 192.168.1.0 0.0.0.255

 [RTA]display  traffic-filter applied-record

 -----------------------------------------------------------

 Interface                   Direction  AppliedRecord  

 -----------------------------------------------------------

 GigabitEthernet0/0/0        outbound   acl 2000

 -----------------------------------------------------------

2.高级ACL配置

图5-2 

[RTA]acl 3000

[RTA-acl-adv-3000]rule deny tcp source 192.168.1.0 0.0.0.255 destination 172.16.10.1 0.0.0.0 destination-port eq 21

[RTA-acl-adv-3000]rule deny tcp source 192.168.2.0 0.0.0.255 destination 172.16.10.2 0.0.0.0

[RTA-acl-adv-3000]rule permit ip

[RTA-GigabitEthernet 0/0/0]traffic-filter outbound acl 3000

配置确认

[RTA]display acl 3000

Advanced ACL 3000, 3 rules

Acl's step is 5

rule 5 deny tcp source 192.168.1.0 0.0.0.255 destination 172.16.10.1 0 destination-port eq sftp

rule 10 deny tcp source 192.168.2.0 0.0.0.255 destination 172.16.10.2 0

rule 15 permit ip

 [RTA]display  traffic-filter applied-record

 -----------------------------------------------------------

 Interface                   Direction  AppliedRecord 

 -----------------------------------------------------------

 GigabitEthernet0/0/0        outbound   acl 3000

 -----------------------------------------------------------

六、ACL应用-NET。

图6-1 

本例要求通过ACL来实现主机A和主机B分别使用不同的公网地址池来进行NAT转换。

配置

[RTA]nat address-group 1 202.110.10.8 202.110.10.15

[RTA]nat address-group 2 202.115.60.1 202.115.60.30

[RTA]acl 2000

[RTA-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255

[RTA-acl-basic-2000]acl 2001

[RTA-acl-basic-2001]rule permit source 192.168.2.0 0.0.0.255

[RTA-acl-basic-2001]interface GigabitEthernet0/0/0

[RTA-GigabitEthernet0/0/0]nat outbound 2000 address-group 1

[RTA-GigabitEthernet0/0/0]nat outbound 2001 address-group 2