美文网首页
访问控制列表

访问控制列表

作者: 稀泡泡 | 来源:发表于2019-10-19 20:32 被阅读0次
1.前言

企业网络中的设备进行通信时，需要保障数据传输的安全可靠和网络的性能稳定。

2.概述

访问控制列表ACL（Access Control List）可以定义一系列不同的规则，设备根据这些规则对数据包进行分类，并针对不同类型的报文进行不同的处理，从而可以实现对网络访问行为的控制、限制网络流量、提高网络性能、防止网络攻击等等。
访问控制列表是应用在路由器接口的指令列表，这些指令列表用来告诉路由器哪些数据包可以接收、哪些数据包需要拒绝。

3.应用场景

ACL的基本用途是限制访问网络的用户，保护网络的安全。
ACL一般只在以下路由器上配置：
1、内部网和外部网的边界路由器。
2、两个功能网络交界的路由器。
限制的内容通常包括：
1、允许那些用户访问网络。（根据用户的IP地址进行限制）
2、允许用户访问的类型，如允许http和ftp的访问，但拒绝Telnet的访问。（根据用户使用的上层协议进行限制）

应用场景1
ACL可以通过定义规则来允许或拒绝流量的通过 应用场景2
ACL可以根据需求来定义过滤的条件以及匹配条件后所执行的动作
ACL的过滤依据主要包括：源地址、目的地址、上层协议等。
4.分类
分类

也可这样分类：

  • 标准访问控制列表：根据数据包的源IP地址来允许或拒绝数据包，标准访问控制列表的访问控制列表号是1-99。

  • 扩展访问控制列表：根据数据包的源IP地址，目的IP地址，指定协议，端口和标志，来允许或拒绝数据包。扩展访问控制列表的访问控制列表号是100-199

5.规则
ACL规则
每个ACL可以包含多个规则，RTA根据规则来对数据流量进行过滤。

1.路由器应用访问列表对流量接口的数据包进行控制：

  • 入栈应用（in）
    经某接口进入设备内部的数据包进行安全规则过滤


    访问列表的入栈应用

  • 出栈应用（out）
    设备从某接口向外发送数据时进行安全规则过滤


    访问列表的出栈应用

2.一个接口在一个方向只能应用一组访问控制列表

image.png
访问控制列表的组成
  • 第一步，定义规则（哪些数据允许通过，哪些数据不允许通过）
  • 第二步，将规则应用在路由器（或交换机）的接口上
6.ACL配置

1.基本ACL配置
ID是2000——2999

基本配置
实验拓扑
基本ACL配置

具体配置：
PC1

PC1

PC2

PC2

交换机LS

[LS]
[LS]vlan batch 10 20    //创建VLAN 10 、20
[LS]interface Ethernet 0/0/1
[LS-Ethernet0/0/1]port link-type trunk       //配置0/0/1口为trunk模式
[LS-Ethernet0/0/1]port trunk allow-pass vlan 10 20     //配置0/0/1口trunk通过的vlan为10、20
[LS-Ethernet0/0/1]inter eth 0/0/2
[LS-Ethernet0/0/2]port link-type access     //配置0/0/2口为Access模式
[LS-Ethernet0/0/2]port default vlan 10      //配置0/0/2口access通过的vlan为10
[LS-Ethernet0/0/2]inter eth 0/0/3
[LS-Ethernet0/0/3]port link-type access     //配置0/0/3口为Access模式
[LS-Ethernet0/0/3]port default vlan 20    //配置0/0/3口access通过的vlan为20
[LS-Ethernet0/0/3]q
[LS]

AR1 0/0/1口配置单臂路由

[AR1]interface GigabitEthernet  0/0/0
[AR1-GigabitEthernet0/0/0]ip address 172.16.1.1 30
[AR1-GigabitEthernet0/0/0]interface GigabitEthernet 0/0/1.1
[AR1-GigabitEthernet0/0/1.1]dot1q termination vid 10      //将0/0/1.1口做dot1q封装vlan10
[AR1-GigabitEthernet0/0/1.1]ip address 10.1.1.1 24
[AR1-GigabitEthernet0/0/1.1]arp broadcast enable     //打开ARP广播功能，只有打开发送过来的ARP请求，接口才能处理
[AR1-GigabitEthernet0/0/1.1]interface GigabitEthernet 0/0/1.2      ////将0/0/1.2口做dot1q封装vlan20
[AR1-GigabitEthernet0/0/1.2]dot1q termination vid 20
[AR1-GigabitEthernet0/0/1.2]ip address 10.2.2.1 24
[AR1-GigabitEthernet0/0/1.2]arp broadcast enable       //打开ARP广播功能
[AR1-GigabitEthernet0/0/1.2]q
[AR1]
[AR1]ip route-static 0.0.0.0 0 172.16.1.2        //配置缺省路由，在数据包向外发送的时候都发往172.16.1.2这个地址
[AR1]

AR2

[AR2]interface GigabitEthernet 0/0/0
[AR2-GigabitEthernet0/0/0]ip add 172.16.1.2 30
[AR2-GigabitEthernet0/0/0]inter gig 0/0/1
[AR2-GigabitEthernet0/0/1]ip address 200.1.1.1 30
[AR2-GigabitEthernet0/0/1]q
[AR2]ip route-static 0.0.0.0 0 172.16.1.1     // //配置缺省路由，在数据包向外发送的时候都从发往172.16.1.1这个地址
[AR2]

验证一下看看PC1和PC2能不能Ping
通FTP Server:


PC1
PC2

PC1和PC2都可以Ping 通FTP Server，配置ACL阻止PC1访问FTP Server：
在AR2上面配置ACL
1.定义acl规则

[AR2]
[AR2]acl 2000
[AR2-acl-basic-2000]rule deny source 10.1.1.0 0.0.0.255      //配置源地址为10.1.1.0段的ip
[AR2-acl-basic-2000]q

2.应用acl规则

[AR2]interface GigabitEthernet 0/0/1        //进入出接口
[AR2-GigabitEthernet0/0/1]traffic-filter outbound acl 2000      //在端口ACL 2000对出站数据包进行过滤

查看acl

[AR2]display acl all     //查看全部的acl     
 Total quantity of nonempty ACL number is 1 

Basic ACL 2000, 1 rule
Acl's step is 5
 rule 5 deny source 10.1.1.0 0.0.0.255 (5 matches)

[AR2]
[AR2]display traffic-filter applied-record     //查看流量过滤器的应用记录
-----------------------------------------------------------
Interface                   Direction  AppliedRecord       
-----------------------------------------------------------
GigabitEthernet0/0/1        outbound   acl 2000
-----------------------------------------------------------
[AR2]

测试一下，PC1能不能Ping 通FTP Server:

image.png
通过Ping 发现PC1无法Ping 通FTP Server服务器了
2.高级ACL配置

高级ACL能够依据源/目的IP地址、源/目的端口号、网络层及传输层协议以及IP流量分类和TCP标记值等各种参数（SYN|ACK|FIN等）进行报文过滤。ID是3000——3999.（放在更接近与源的地方）


高级ACL配置

实验拓扑：

高级ACL
具体配置：
客户端1
客户端1
客户端2
客户端2
交换机LS 
[LS]
[LS]vlan batch 10 20    //创建VLAN 10 、20
[LS]interface Ethernet 0/0/1
[LS-Ethernet0/0/1]port link-type trunk       //配置0/0/1口为trunk模式
[LS-Ethernet0/0/1]port trunk allow-pass vlan 10 20     //配置0/0/1口trunk通过的vlan为10、20
[LS-Ethernet0/0/1]inter eth 0/0/2
[LS-Ethernet0/0/2]port link-type access     //配置0/0/2口为Access模式
[LS-Ethernet0/0/2]port default vlan 10      //配置0/0/2口access通过的vlan为10
[LS-Ethernet0/0/2]inter eth 0/0/3
[LS-Ethernet0/0/3]port link-type access     //配置0/0/3口为Access模式
[LS-Ethernet0/0/3]port default vlan 20    //配置0/0/3口access通过的vlan为20
[LS-Ethernet0/0/3]q
[LS]

AR1

AR1 0/0/1口配置单臂路由

[AR1]interface GigabitEthernet  0/0/0
[AR1-GigabitEthernet0/0/0]ip address 172.16.1.1 30
[AR1-GigabitEthernet0/0/0]interface GigabitEthernet 0/0/1.1
[AR1-GigabitEthernet0/0/1.1]dot1q termination vid 10      //将0/0/1.1口做dot1q封装vlan10
[AR1-GigabitEthernet0/0/1.1]ip address 10.1.1.1 24
[AR1-GigabitEthernet0/0/1.1]arp broadcast enable     //打开ARP广播功能，只有打开发送过来的ARP请求，接口才能处理
[AR1-GigabitEthernet0/0/1.1]interface GigabitEthernet 0/0/1.2      ////将0/0/1.2口做dot1q封装vlan20
[AR1-GigabitEthernet0/0/1.2]dot1q termination vid 20
[AR1-GigabitEthernet0/0/1.2]ip address 10.2.2.1 24
[AR1-GigabitEthernet0/0/1.2]arp broadcast enable       //打开ARP广播功能
[AR1-GigabitEthernet0/0/1.2]q
[AR1]
[AR1]ip route-static 0.0.0.0 0 172.16.1.2        //配置缺省路由，在数据包向外发送的时候都发往172.16.1.2这个地址
[AR1]

AR2

[AR2]interface GigabitEthernet 0/0/0
[AR2-GigabitEthernet0/0/0]ip add 172.16.1.2 30
[AR2-GigabitEthernet0/0/0]inter gig 0/0/1
[AR2-GigabitEthernet0/0/1]ip address 200.1.1.1 30
[AR2-GigabitEthernet0/0/1]q
[AR2]ip route-static 0.0.0.0 0 172.16.1.1     // //配置缺省路由，在数据包向外发送的时候都从发往172.16.1.1这个地址
[AR2]

验证客户端1、2能不能访问FTP Server服务器：


image.png

客户端1、2可以访问FTP Server服务器，配置ACL阻止客户端2访问FTP server服务器：
在AR1上面配置：
1.配置acl规则

[AR1]acl name gj-acl      //给ACL配置一个名字：gj-acl
[AR1-acl-adv-gj-acl]rule deny tcp source 10.2.2.2 0 destination 200.1.1.2 0 dest
ination-port eq 21      //配置规则拒绝tcp源10.2.2.2 0到目标200.1.1.2 0 目的
端口为 21 的数据

2.查看配置的acl,可看到我们只命名了名字：gj-acl，系统自己定义acl ID为3999

[AR1]dis acl all      //查看ACL
 Total quantity of nonempty ACL number is 1 

Advanced ACL gj-acl 3999, 2 rules
Acl's step is 5
 rule 5 deny tcp source 10.2.2.2 0 destination 200.1.1.2 0 destination-port eq f
tp (10 matches)
 rule 10 permit ip (10 matches)
[AR1]

[AR1]acl 3999
[AR1-acl-adv-gj-acl]rule permit ip    //没有匹配的可以通过
[AR1-acl-adv-gj-acl]q
[AR1]

3.找到距离源最近的端口配置，可看到最近的端口是0/0/1.2

[AR1]display ip interface brief 
*down: administratively down
^down: standby
(l): loopback
(s): spoofing
The number of interface that is UP in Physical is 5
The number of interface that is DOWN in Physical is 1
The number of interface that is UP in Protocol is 4
The number of interface that is DOWN in Protocol is 2

Interface                         IP Address/Mask      Physical   Protocol  
GigabitEthernet0/0/0              172.16.1.1/30        up         up        
GigabitEthernet0/0/1              unassigned           up         down      
GigabitEthernet0/0/1.1            10.1.1.1/24          up         up        
GigabitEthernet0/0/1.2            10.2.2.1/24          up         up        
GigabitEthernet0/0/2              unassigned           down       down      
NULL0                             unassigned           up         up(s)

4.在端口上应用定义的acl规则

[AR1]
[AR1-GigabitEthernet0/0/1.2]traffic-filter inbound acl name gj-acl   //应用入站规则名字为：gj-acl的acl
[AR1-GigabitEthernet0/0/1.2]q
[AR1]

配置验证：
用客户端2访问FTP Server 服务器：


客户端2

提示连接服务器失败，这就说明我们配置的ACL起作用了。

相关文章

  • (翻译)fabric1.2.1新特性-访问控制列表

    访问控制列表 Access Control Lists(ACL) 什么是访问控制列表？ fabric 使用访问控制...

  • 华为hcip H12-221数通考试真题每日一练(五)

    221.访问控制列表可分为如下哪些类别?（多选） A. 基本的访问控制列表 B. 高级的访问控制列表 C. 二层A...

  • MQTT MOSCA ACL

    MQTT ACL 1、ACL 访问控制列表a、用户控制b、发布控制c、订阅控制 客户端代码 自定义访问控制列表 ...

  • 访问控制列表

    一、简介 访问控制列表(Access Control List，ACL) 是路由器和交换机接口的指令列表，用来控制...

  • 访问控制列表

    1.前言 企业网络中的设备进行通信时，需要保障数据传输的安全可靠和网络的性能稳定。 2.概述 访问控制列表ACL（...

  • ACL 访问控制列表

    标准访问控制列表 基于源 IP 编号1~99之间 扩展访问控制列表 基于源 IP、目的 IP、端口、协议 编号10...

  • ACL访问控制列表

    ACL ：Access Control List，实现灵活的权限管理 除了文件的所有者，所属组和其它人，可以对更多...

  • acl 访问控制列表

    思考：假设有四个用户，A，B，C，D，有一个文件fileA用户想要对文件file有r的权限B用户想要对文件file...

  • ACL访问控制列表

    ACL 访问控制列表 1、 访问限制 --- 在路由器流量进或出的接口上匹配流量，之后对其进行限制2、 定义感...

  • RocketMQ ACL 使用指南

    一 、什么是 ACL? ACL 是 access control list 的简称，俗称访问控制列表。访问控制，基...

网友评论

      本文标题：访问控制列表

      本文链接：https://www.haomeiwen.com/subject/mulnmctx.html

      延伸阅读

      深度阅读

      • 您也可以注册成为美文阅读网的作者，发表您的原创作品、分享您的心情！

      栏目导航

      热点阅读

      关于我们|服务条款|联系我们|访问控制列表|投稿指南|网站地图|RSS订阅|排版工具|手机版

      提供经典美文摘抄,优美散文欣赏,现代诗歌精选,短篇小说,心情随笔,表白情书范文,故事会在线阅读欣赏

      Copyright © 2014-2023 Haomeiwen.com All Rights Reserved. 好美文阅读网 版权所有

      备案信息：桂公网安备 45052102000051号 · 桂ICP备13007215号-3

      本站所收录作品、热点评论等信息部分来源互联网，目的只是为了系统归纳学习和传递资讯

      所有作品版权归原创作者所有，与本站立场无关，如不慎侵犯了你的权益，请联系我们告知，我们将做删除处理！