访问控制列表实现包过滤

最新推荐文章于 2025-03-31 11:53:34 发布

weixin_47144616

最新推荐文章于 2025-03-31 11:53:34 发布

阅读量855

点赞数

分类专栏：华三网络

本文链接：https://blog.youkuaiyun.com/weixin_47144616/article/details/113797235

版权

华三网络专栏收录该内容

19 篇文章

订阅专栏

ACL

定义

访问控制列表：用于数据流的匹配和筛选

常见功能

1、访问控制
数据包过滤
2、路由控制
ACL+Router-policy
3、流量控制
ACL+QOS

基于ACL的包过滤

定义

对进出的数据包逐包检查，丢弃或允许通过，包过滤必须配置在接口的某个方向上才能生效，一个接口的一个方向只能配置一个包过滤策略

包过滤的方向

入方向：只对从外部进入的数据包做过滤
出方向：只对从内部发出的数据包做过滤

包过滤的工作流程

在这里插入图片描述
1、数据包到达接口检查是否应用了ACL，是则进入匹配，否则放行
2、按照ACL编号匹配第一条规则，匹配则进一步检查该条规则动作，否则与下一条规则进行匹配
3、继续进行匹配，如匹配则检查规则动作，否则与下一条进行匹配
4、所有规则都不匹配，检查默认动作，默认动作允许则放行，默认动作拒绝则丢弃

注意

1、如果默认动作是允许，至少需要一条拒绝规则
2、如果默认动作是拒绝，至少需要一条允许规则
3、H3C的ACL用于包过滤默认允许，用于其他默认拒绝
4、把小范围的规则分配一个靠前的顺序
5、在不影响实际效果前提下，把包过滤尽量配置在离源地址最近的接口的入方向

ACL的分类

基本ACL

只对数据包的源地址进行匹配，编号2000-2999

高级ACL

对数据包五元组进行精确匹配（源、目的IP，源、目的端口，协议四层）

实验

在这里插入图片描述

1、按照图示配置 IP 地址
2、全网路由互通
3、在 SERVER上配置开启 TELNET 和 FTP 服务
4、配置 ACL 实现如下效果
I、192.168.1.0/24 网段不允许访问 192.168.2.0/24 网段，要求使用基本 ACL 实现
II、PC1 可以访问 SERVER的 TELNET 服务，但不能访问 FTP 服务
III、PC2 可以访问 SERVER的 FTP 服务，但不能访问 TELNET 服务
IIII、192.168.2.0/24 网段不允许访问 SERVER，要求通过高级 ACL 实现
分析：
I的策略只能放在R2的G0/2的出方向，因为基本ACL只关心源地址，放在其他路由器接口，会导致192.168.1.0网段无法访问其他网段。
II的策略使用高级ACL策略，直接放在R1的G0/1的入方向
III的策略使用高级ACL，直接放在R1的G0/1的入方向
IIII的策略使用高级ACL，放在R2的g0/2的入方向
R2的配置

[R2]acl basic 2000
[R2-acl-ipv4-basic-2000]rule deny source 192.168.1.0 0.0.0.255
[R2]interface g0/2
[R2-GigabitEthernet0/2]packet-filter 2000 outbound
[R2]acl advanced 3000
[R2-acl-ipv4-adv-3000]rule deny ip source 192.168.2.0 0.0.0.255 destination 192.168.3.8 0
undo rule '序列号'  #如果删除的话
[R2]inter g0/2
[R2-GigabitEthernet0/2]packet-filter 3000 inbound

SERVER配置，开启ftp，telnet服务


[SERVER]ftp server en
[SERVER]local-user lou-1
[SERVER-luser-manage-lou-1]password sim 123
[SERVER-luser-manage-lou-1]service-type ftp
[SERVER-luser-manage-lou-1]authorization-attribute user-role level-15
[SERVER]telnet server enable
[SERVER]local-user lou
[SERVER-luser-manage-lou]pas sim 123
[SERVER-luser-manage-lou]ser telnet
[SERVER-luser-manage-lou]authorization-attribute user-role level-15
[SERVER]user-interface vty 0 4
[SERVER-line-vty0-4]authentication-mode scheme

R1的配置

[R1]acl advanced 3000
[R1-acl-ipv4-adv-3000]rule deny tcp source 192.168.1.5 0 destination 192.168.3.8 0 destination-port range 20 21
[R1-acl-ipv4-adv-3000]rule deny tcp source 192.168.1.6 0 destination 192.168.3.8 0 destination-port eq 23
[R1-acl-ipv4-adv-3000]dis this
#
acl advanced 3000
 rule 0 deny tcp source 192.168.1.5 0 destination 192.168.3.8 0 destination-port range ftp-data ftp
 rule 5 deny tcp source 192.168.1.6 0 destination 192.168.3.8 0 destination-port eq telnet
[R1]inter g0/1
[R1-GigabitEthernet0/1]packet-filter 3000 inbound