基本ACL与高级ACL

Posted 2020-10-26

ACL：Acess Control List，即访问控制列表。这张表中包含了匹配关系、条件和查询语句，表只是一个框架结构，其目的是为了对某种访问进行控制。 信息点间通信，内外网络的通信都是企业网络中必不可少的业务需求，但是为了保证内网的安全性，需要通过安全策略来保障非授权用户只能访问特定的网络资源，从而达到对访问进行控制的目的。简而言之，ACL可以过滤网络中的流量，控制访问的一种网络技术手段

ACL的作用 ACL可以限制网络流量、提高网络性能。例如，ACL可以根据数据包的协议，指定数据包的优先级。 ACL提供对通信流量的控制手段。例如，ACL可以限定或简化路由更新信息的长度，从而限制通过路由器某一网段的通信流量。 ACL是提供网络安全访问的基本手段。ACL允许主机A访问人力资源网络，而拒绝主机B访问。

ACL常用的有两种分别为基本ACL和高级ACL
基本ACL：标准ACL只检查数据包的源地址（2000~2999）
高级ACL：扩展ACL既检查数据包的源地址，也检查数据包的目的地址，同时还可以检查数据包的特定协议类型、端口号等。（3000~3999）

基本ACL的使用

进入R1路由器
<Huawei>system-view //进入系统视图
[Huawei]interface GigabitEthernet 0/0/0 //进入0接口
[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.254 24 //添加ip地址
[Huawei]interface GigabitEthernet 0/0/1 //进入1接口
[Huawei-GigabitEthernet0/0/1]ip address 192.168.4.1 24 //添加ip地址
启用动态路由协议rip
[Huawei]rip
[Huawei-rip-1]network 192.168.1.0 //声明自己直连网段
[Huawei-rip-1]network 192.168.4.0 //声明自己直连网段

进入R2路由器
<Huawei>system-view //进入系统视图
[Huawei]interface GigabitEthernet 0/0/0 //进入0接口
[Huawei-GigabitEthernet0/0/0]ip address 192.168.4.2 24 //添加ip地址
[Huawei]interface GigabitEthernet 0/0/1 //进入1接口
[Huawei-GigabitEthernet0/0/1]ip address 192.168.2.254 24 //添加ip地址
[Huawei]interface GigabitEthernet 0/0/2 //进入2接口
[Huawei-GigabitEthernet0/0/2]ip address 192.168.5.1 24 //添加ip地址
启用动态路由协议rip
[Huawei]rip
[Huawei-rip-1]network 192.168.2.0 //声明自己直连网段
[Huawei-rip-1]network 192.168.4.0 //声明自己直连网段
[Huawei-rip-1]network 192.168.5.0 //声明自己直连网段

进入R3路由器
<Huawei>system-view //进入系统视图
[Huawei]interface GigabitEthernet 0/0/0 //进入0接口
[Huawei-GigabitEthernet0/0/0]ip address 192.168.5.2 24 //添加ip地址
[Huawei]interface GigabitEthernet 0/0/1 //进入1接口
[Huawei-GigabitEthernet0/0/1]ip address 192.168.3.254 24 //添加ip地址
启用动态路由协议rip
[Huawei]rip
[Huawei-rip-1]network 192.168.3.0 //声明自己直连网段
[Huawei-rip-1]network 192.168.5.0 //声明自己直连网段
[Huawei]acl 2000 //建立基本ACL
[Huawei-acl-basic-2000]rule 1 deny source 192.168.1.1 0 //添加ACL规则阻止来自192.168.1.1的报文
[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl 2000 //进入接口并采用这个规则

现在在ping192.168.3.1不通代表成功了

高级ACL

刚刚配置不变
进入路由器R3，0接口undo traffic-filter inbound
[Huawei-GigabitEthernet0/0/0]undo traffic-filter inbound

进入R1路由器
[Huawei]acl name undo-5.1 advance //建立高级ACL并取名字
[Huawei-acl-adv-undo-5.1]rule 1 deny icmp source 192.168.1.1 0 destination 192.168.5.1 0
//建立规则1阻止来自192.168.1.1发到192.168.5.1的报文
//0代表完全匹配是0.0.0.0的简写 如果想阻止一个网段可以写成 0.0.0.255 表示只关注前三位数。
[Huawei]interface GigabitEthernet 0/0/0 //进入接口0
0[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl name undo-5.1 //采用刚刚建立的规则

最后ping不通192.168.5.1代表成功

与基本ACL相比高级ACL更精准的控制