什么是ACL？有哪些分類？如何配置？

一、ACL的概述

ACL：訪問控制列表

※是由一系列permit和deny語句組成的（后面跟著條件列表）、有序規(guī)則的列表，它通過匹配報文的相關(guān)信息實現(xiàn)對報文的分類；
※ACL本身只能夠用于報文的匹配和區(qū)分，而無法實現(xiàn)對報文的過濾功能（此功能側(cè)面可以說明ACL可以提高網(wǎng)絡(luò)的安全性），針對AC所匹配的報文的過濾功能，需要特定的機制來實現(xiàn)（例如在交換機的接口上使用traffic-filter命令調(diào)令A(yù)CL來進行報文過濾），ACL只是一個匹配用的工具；
※ACL除了能夠?qū)笪倪M行匹配，還能夠用于匹配路由；
※主要應(yīng)用于流量過濾，實際上是一條一條規(guī)則的集合，是一種工具，可以應(yīng)用在任何場合

二、ACL是什么

ACL能夠匹配一個IP數(shù)據(jù)包中的源IP地址、目的IP地址、協(xié)議類型、源目的端口等元素的基礎(chǔ)性工具；ACL還能夠用于匹配路由條目。說了這么多，那么ACL到底是什么呢？下面就讓我們從ACL的配置深入了解它吧。

1、ACL的標識種類

①：利用數(shù)字標識
②：利用名稱標識

具體分為以下四類



2、ACL的匹配順序



Rule:代表第一條，第二條
5:步長
permit：允許
deny：拒絕

這里需要提一點的是，為什么一般rule 5步長寫5，而不是從1/2/3開始，這個沒有固定的數(shù)字，以上圖舉例，如果說步長寫5，臨時想在中間插入一個不允許訪問192.168.1.4，就可以在中間插入，如果是rule1/2/3，就沒辦法中間插入。

3、ACL的配置

創(chuàng)建ACL:

aclnum編號范圍是2000~2999

創(chuàng)建一個規(guī)則

rule5（permit/deny）sourcesrc-addresswildcard
source：源；wildcare：通配符

查看acl信息

displayaclnum

激活需進出口接口：

traffic-filteroutbound/inboundaclnum
outbound：出的流量接口；inbound：進的流量接口

允許/不允許所有通過

rulepermit/denysourceany

4、wildcare：通配符

這里要說明一個wildcare（通配符）的概念：

通配符是一個32比特長度的數(shù)值，用于指示IP地址中，哪些比特為需要嚴格匹配，哪些比特位則無所謂

通配符通常采用類似網(wǎng)絡(luò)掩碼的點分十進制形式表示，但是漢語卻與網(wǎng)絡(luò)掩碼完全不同


如上圖，0：表示需匹配；1：表示無所謂

再舉個通俗易懂的例子：



有兩個特殊的通配符

192.168.1.1 0.0.0.0 =192.168.1.1 0
0.0.0.0 255.255.255.255 = any

三、實驗加深理解

1、實驗要求：允許PC2通過數(shù)據(jù)


只有pc2可以訪問
先配置網(wǎng)關(guān)

[Huawei]intg0/0/0
[Huawei-GigabitEthernet0/0/0]ipadd192.168.1.25424
[Huawei-GigabitEthernet0/0/0]intg0/0/1
[Huawei-GigabitEthernet0/0/1]ipadd192.168.2.25424
[Huawei-GigabitEthernet0/0/1]intg0/0/2
[Huawei-GigabitEthernet0/0/2]ipadd10.0.0.25424

先創(chuàng)建列表

[Huawei]acl2000

定義規(guī)則

ruledenysource192.168.1.00.0.0.255**阻擋1.0網(wǎng)段的所有訪問**

查看acl 2000信息

[Huawei-acl-basic-2000]disacl2000

這時候是可以ping通的，配置了接口但是還沒有激活所以可以ping通



然后激活接口

[Huawei]intg0/0/2先進要激活的接口

對于接口而言，有出的流量接口（outbound），也有進的流量接口（inbound）

[Huawei-GigabitEthernet0/0/2]traffic-filteroutboundacl2000

然后查看下信息



這時候pc1就無法ping通了



pc2可以ping通




1.2實驗一的基礎(chǔ)上發(fā)生更改，改為：僅允許1.0可以通過。

先斷掉之前配置的rule 5



創(chuàng)建acl

[Huawei]acl2000

允許192.168.1.0網(wǎng)段

[Huawei-acl-basic-2000]rulepermitsource192.168.1.00.0.0.255

阻斷所有網(wǎng)段

[Huawei-acl-basic-2000]ruledenysourceany

ping發(fā)現(xiàn)pc1可以ping通，pc2不可以



1.3、在實驗一的基礎(chǔ)上，更改實驗要求：若允許1.1可以ping通pc3，但是2.1不能ping通pc3。

在g0/0/2出接口配置outbound

創(chuàng)建acl

[Huawei]acl3000**有源有目標地址，acl等級要3000**

允許源地址192.168.1.0訪問目的地址10.0.0.1網(wǎng)段

[Huawei-acl-adv-3000]rulepermitipsource192.168.1.10destination10.0.0.10

不允許源地址192.168.2.0訪問目的地址10.0.0.1網(wǎng)段

[Huawei-acl-adv-3000]ruledenyipsource192.168.2.10destination10.0.0.10

查看一下




然后激活acl 3000之前需要先詢關(guān)閉掉acl2000的

[Huawei-GigabitEthernet0/0/2]undotraffic-filteroutbound

進入接口g0/0/2 ，激活acl 3000

[R1-acl-adv-3000]intg0/0/2
[Huawei-GigabitEthernet0/0/2]traffic-filteroutboundacl3000

達成結(jié)果，1.1可以ping通，1.2無法ping通



實驗二、





①、首先實現(xiàn)全網(wǎng)互通

sw1
[Huawei]sysSW1
[SW1]vlanbatch1020
[SW1]inte0/0/1
[SW1-Ethernet0/0/1]pla
[SW1-Ethernet0/0/1]pdv10
[SW1-Ethernet0/0/1]inte0/0/2
[SW1-Ethernet0/0/2]pla
[SW1-Ethernet0/0/2]pdv20
[SW1-Ethernet0/0/2]inte0/0/3
[SW1-Ethernet0/0/3]pla
[SW1-Ethernet0/0/3]pdv10
[SW1-Ethernet0/0/3]inte0/0/4
[SW1-Ethernet0/0/4]pla
[SW1-Ethernet0/0/4]pdv20
[SW1-Ethernet0/0/4]inte0/0/5
[SW1-Ethernet0/0/5]plt
[SW1-Ethernet0/0/5]ptava
R1
[Huawei]sysR1
[R1]intg0/0/0.1
[R1-GigabitEthernet0/0/0.1]ipadd192.168.1.25424
[R1-GigabitEthernet0/0/0.1]dtv10
[R1-GigabitEthernet0/0/0.1]abe
[R1-GigabitEthernet0/0/0.1]intg0/0/0.2
[R1-GigabitEthernet0/0/0.2]ipadd192.168.2.25424
[R1-GigabitEthernet0/0/0.2]dtv20
[R1-GigabitEthernet0/0/0.2]abe
[R1]intg0/0/1
[R1-GigabitEthernet0/0/1]ipadd12.1.1.124
[R1]iproute-static0.0.0.00.0.0.012.1.1.2
R2
[R2]intg0/0/0
[R2-GigabitEthernet0/0/0]ipadd12.1.1.224
[R2-GigabitEthernet0/0/0]intg0/0/1
[R2-GigabitEthernet0/0/1]ipadd100.1.1.25424
[R2]iproute-static192.168.1.02412.1.1.1
[R2]iproute-static192.168.2.02412.1.1.1

全網(wǎng)ping通，實現(xiàn)全網(wǎng)互通



②、配置ACL使得vlan10和vlan20不通

阻止vlan10和vlan20，需要阻止192.168.10.0的方向

rulepermitsourceany：允許所有通過
[R1]acl2000
[R1-acl-basic-2000]rulepermitsourceany
[R1-GigabitEthernet0/0/0.2]traffic-filteroutboundacl2000

結(jié)果如下圖，已實現(xiàn)



③、配置ACL使R1不能訪問webserver

[R1]acl3000
[R1-acl-adv-3000]ruledenytcpsource192.168.1.00.0.0.255destination10.1.1.2
0destination-porteq80

display acl 3000 查看一下配置是否正確

審核編輯：劉清