ACL与配置_zxr10-9904x的acl怎么设置-优快云博客

本文链接：https://blog.youkuaiyun.com/whtqwq/article/details/131073782

ACL是访问控制列表，用于对网络报文进行过滤，通过permit或deny规则决定数据包是否通过。它分为基本ACL、高级ACL和二层ACL，匹配规则是从最小编号的规则开始，一旦匹配成功即停止查找。配置ACL可以实现特定源IP访问特定网络、阻止特定网络的ping请求以及限制特定服务的访问等网络管理功能。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

ACL

什么是ACL

ACL是访问控制列表，是由一系列permit或deny语句组成的、有序规则的列表。ACL是一个匹配工具，能够对报文进行远配和区分。

通过制定规则来对数据包进行访问控制（放行或丢弃）和控制协议的数据是否能通过，达到控制网络访问行为、防止网络攻击和提高网络带宽利用率的目的，从而切实保障网络环境的安全性和网络服务质量的可靠性。

注：ACL可以配置多条策略

acl工作原理

当数据包从接口经过时，由于接口启用了acl，此时路由器会对报文进行检查，然后做出相应的处理。

ACL的种类

类别	编号范围	规定描述
基本ACL	2000~2999	只能匹配源ip地址。
高级ACL	3000~4999	可以匹配源ip、目标ip、源端口、目标端口等三层和四层的字段和协议。
二层ACL	4000~4999	根据数据包的源MAC地址、目的MAC地址、802.1q优先级、二层协议类型等二层信息制定规则。

主要使用基本ACL与高级ACL，二层ACL了解即可。

注：基本acl尽量靠近目的点，高级ACL尽量靠近源（可以保护带宽和其他资源）。

（按实际情况而定）

ACL匹配规则

1.首先系统会查找设备上是否配置了ACL。

如果ACL不存在，则返回ACL匹配结果为：不匹配。

如果ACL存在，则查找设备是否配置了ACL规则。

如果规则不存在，则返回ACL匹配结果为：不匹配。

如果规则存在，则系统会从ACL中编号最小的规则开始查找。

如果匹配上了permit规则，则停止查找规则，并返回ACL匹配结果为：匹配（permit）。

如果匹配上了deny规则，则停止查找规则，并返回ACL匹配结果为：匹配（deny）。

如果未匹配上规则，则继续查找下一条规则，以此循环。

如果一直查到最后一条规则，报文仍未匹配上，则返回ACL匹配结果为：不匹配。

结果：

匹配（命中规则）：指存在ACL，且在ACL中查找到了符合匹配条件的规则。

匹配的动作是“permit”，放行

匹配的动作是“deny”，丢弃

不匹配（未命中规则）：指不存在ACL，或ACL中无规则，再或者在ACL中遍历了所有规则都没有找到符合匹配条件的规则。直接放行。

应用规则

1、一个接口的同一个方向，只能调用一个ACL

2、一个ACL里面可以有多个rule规则，按照规则ID从小到大排序，从上往下依次执行

3、数据包一旦被某rule匹配，就不再继续向下匹配

4、用来做数据包访问控制时，默认隐含放过所有(华为设备)

通配符与反掩码

通配符

通配符掩码就是0为绝对匹配，必须严格匹配才行，而1为任意。

如/28的网络掩码写成二进制是：

1111 1111.1111 1111.1111 1111.1111 0000

其通配符掩码，按位取反的结果是：

0000 0000.0000 0000.0000 0000.0000 1111

点分十进制表示如下：

0.0.0.15

注：网段为0.0.0.255 固定地址为0

反掩码

反掩码是通配符掩码的特殊表现，是由掩码的按位取反得到，表示连续的匹配。

配置实验

要求：1.仅允许pc1访问192.168.2.0/24网络（即仅允许Pc1访问Pc3）

2.禁止192.168.1.0/24网络ping web服务器

3.仅允许client1访问WEB服务器的www服务

配置端口

[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add 192.168.1.254 24
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip add 192.168.2.254 24
[Huawei-GigabitEthernet0/0/1]int g0/0/2
[Huawei-GigabitEthernet0/0/2]ip add 192.168.3.254 24

仅允许pc1访问192.168.2.0/24网络

[Huawei]acl number 2000
[Huawei-acl-basic-2000]rule permit source 192.168.1.10 0
[Huawei-acl-basic-2000]rule deny source any
[Huawei-acl-basic-2000]q
[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]traffic-filter outbound acl 2000

禁止192.168.1.0/24网络ping web服务器

[Huawei]acl number 3000
[Huawei-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 destination 1
92.168.3.30 0
[Huawei-acl-adv-3000]q
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

仅允许client1访问WEB服务器的www服务

[Huawei]acl number 3001
[Huawei-acl-adv-3001]rule permit tcp source 192.168.1.30 0 destination 192.168.
3.30 0 destination-port eq 80
[Huawei-acl-adv-3001]q
[Huawei]int g0/0/2
[Huawei-GigabitEthernet0/0/2]traffic-filter outbound acl 3001
[Huawei-GigabitEthernet0/0/2]q