十二、访问控制列表ACL

一、访问控制列表ACL

　　企业网络中的设备进行通信时，需保障数据传输的安全可靠和网络的性能稳定。 访问控制列表ACL（Access Control List)可以定义一系列不同的规则，设备根据这些规则对数据包进行分类，并针对不同类型的报文进行不同的处理，从而可以实现对网络访问行为的控制、限制网络流量、提高网络性能、防止网络攻击等。

二、ACL应用

ACL应用场景

　　1、ACL可以通过定义规则来允许或拒绝流量的通过。　　

　　　　

　　　　上图中：两网段的数据，通过在路由器定议ACL规则，允许哪些能访问互联网，哪些只能访问服务器不能上互联网。

　　2、ACL可以根据需求来定义过滤的条件以及匹配条件后所执行的动作

　　　　

　　　　上图中，192.168.1.0网段的数据，不需要匹配规则都可以随便把数据传到外网。 但192.168.2.0网段的数据，必须进行加密才强以把数据传到外网

 ACL分类

　　　　 

扫描二维码关注公众号，回复： 11265829 查看本文章

ACL规则

　　 每个ACL可以包含多个规则，RAT根据规则来对数据流量进行过滤 rule 5 deny source 192.168.1.0 0.0.0.255 （拒绝源地址是192.168.1.0网段的ip通过）

　　rule 是规则意思、5规则步长默认为5、deny是拒绝、source源、0.0.0.255是通配符

　　rule 5 permit source 192.168.1.0 0.0.0.255 （允许源地址是192.168.1.0网段的ip通过）

ACL匹配方式

　　ACL配完后会生成一个ACL列表，

　　列表如下： acl 2000 (规则表名，这是一个基本的 acl）

　　rule 5 deny source 192.168.1.0 0.0.0.255 （规则1,绝拒源地址是192.168.1.0网段的ip通过）

　　rule 10 deny source 192.168.2.0 0.0.0.255 （规则2）

　　rule 15 deny source 192.16.0.0 0.0.0.255 （规则2）

　　匹配顺序是由上往下走，如果匹配到第一条后，下面的就不需要匹配了。

三、实验

1、控制流量进出基本ACL配置　　

　　

 实验：实验目标1、PC1和PC2互通、PC1能通PC20  、PC2不能通PC20     

　　

　　 1）我们首先按照图中的设备ip配置到各设备中,保证PC1、PC2和PC20是互通

　　我们PC的配置我就省略不写，

　　我们先配交换机和路由器

配置交换机：
<Huawei>sys
[Huawei]sysname LSW1
[LSW1]vlan batch 10 11 20
[LSW1]int g0/0/1
[LSW1-GigabitEthernet0/0/1]port link-type access 
[LSW1-GigabitEthernet0/0/1]port default vlan 10
[LSW1-GigabitEthernet0/0/1]quit
[LSW1]int vlanif 10
[LSW1-Vlanif10]ip add 192.168.10.1 24
[LSW1-Vlanif10]quit
[LSW1]int g0/0/2
[LSW1-GigabitEthernet0/0/2]port link-type access
[LSW1-GigabitEthernet0/0/2]port default vlan 11
[LSW1-GigabitEthernet0/0/2]quit
[LSW1]int vlanif 11
[LSW1-Vlanif11]ip add 192.168.11.1 24
[LSW1-Vlanif11]quit
[LSW1]int g0/0/3
[LSW1-GigabitEthernet0/0/3]port link-type access
[LSW1-GigabitEthernet0/0/3]port defaul vlan 20
[LSW1-GigabitEthernet0/0/3]quit
[LSW1]int vlanif 20
[LSW1-Vlanif20]ip add 192.168.20.2 24
[LSW1-Vlanif20]quit
[LSW1]ip route-static 0.0.0.0 0.0.0.0 192.168.20.1

配置路由器：
<Huawei> sys
[Huawei]sysname AR1
[AR1-GigabitEthernet0/0/0]ip add 192.168.20.1 24
[AR1-GigabitEthernet0/0/0]int g0/0/1
[AR1-GigabitEthernet0/0/1]ip add 192.168.100.1 24
[AR1-GigabitEthernet0/0/1]quit
[AR1]ip route-static 192.168.10.0 24 192.168.20.21
[AR1]ip route-static 192.168.11.0 24 192.168.20.21

　　配置完后，PC1、PC2和PC20是互通的。

　　2）配置ACL规则，实现PC1能通PC20  、PC2不能通PC20     

路由器中配置ACL:
[AR1]acl 2000
[AR1-acl-basic-2000]rule permit source 192.168.10.0 0.0.0.255
[AR1-acl-basic-2000]rule 100 deny source any
[AR1-acl-basic-2000]quit
[AR1]int g0/0/1
[AR1-GigabitEthernet0/0/1]traffic-filter outbound acl 2000   #把acl规则应用到路由器出接口

　　

 　　

 2、高级ACL配置

　　 验实1：下图，配置要求：PC16能通PC17不能通PC13 、PC14能通PC13不能通PC17

　　

 　  1）我们先按上图的IP配置各设备

　　2）配置路由器ACL

[Huawei]acl 3000
[Huawei-acl-adv-3000]rule deny ip source 192.168.1.0 0.0.0.255 destination 192.168.10.2 0.0.0.0
[Huawei-acl-adv-3000]rule deny ip source 192.168.2.0 0.0.0.255 destination 192.168.10.3 0.0.0.0
[Huawei-acl-adv-3000]rule permit ip
[Huawei-GigabitEthernet0/0/1]traffic-filter outbound acl 3000

　　[Huawei-acl-adv-3000]rule deny ip source 192.168.1.0 0.0.0.255 destination 192.168.10.2 0.0.0.0
　　上面命令表示：不允许让源地址192.168.1.0网公网的ip达到192.168.10.2的主机

　　如果不能让某网段不能访问对端服务器指定的端口，在配置acl rule时加上服务器端口就行，如：

　　[Huawei-acl-adv-3000]rule deny tcp source 192.168.1.0 0.0.0.255 destination 192.168.10.2 0.0.0.0 destination-port eq 21