访问控制列表

作者: Jewel591 | 来源:发表于2017-08-25 15:36 被阅读46次

image

一、简介

访问控制列表(Access Control List，ACL) 是路由器和交换机接口的指令列表，用来控制端口进出的数据包。ACL适用于所有的被路由协议，如IP、IPX、AppleTalk等。

信息点间通信和内外网络的通信都是企业网络中必不可少的业务需求，为了保证内网的安全性，需要通过安全策略来保障非授权用户只能访问特定的网络资源，从而达到对访问进行控制的目的。简而言之，ACL可以过滤网络中的流量，是控制访问的一种网络技术手段。

配置ACL后，可以限制网络流量，允许特定设备访问，指定转发特定端口数据包等。如可以配置ACL，禁止局域网内的设备访问外部公共网络，或者只能使用FTP服务。ACL既可以在路由器上配置，也可以在具有ACL功能的业务软件上进行配置。

ACL是物联网中保障系统安全性的重要技术，在设备硬件层安全基础上，通过对在软件层面对设备间通信进行访问控制，使用可编程方法指定访问规则，防止非法设备破坏系统安全，非法获取系统数据。

相关资料下载：http://pan.baidu.com/s/1pKF3Vbd

功能

限制网络流量、提高网络性能。
提供对通信流量的控制手段。
提供网络访问的基本安全手段。
在网络设备接口处，决定哪种类型的通信流量被转发、哪种类型的通信流量被阻塞。

3P原则

记住 3P 原则，您便记住了在路由器上应用 ACL 的一般规则。您可以为每种协议 (per protocol)、每个方向 (per direction)、每个接口 (per interface) 配置一个 ACL:

每种协议一个 ACL:要控制接口上的流量，必须为接口上启用的每种协议定义相应的 ACL。
每个方向一个 ACL :一个 ACL 只能控制接口上一个方向的流量。要控制入站流量和出站流量，必须分别定义两个 ACL。
每个接口一个 ACL :一个 ACL 只能控制一个接口(例如快速以太网0/0)上的流量。

ACL 的编写可能相当复杂而且极具挑战性。每个接口上都可以针对多种协议和各个方向进行定义。

执行过程

一个端口执行哪条ACL，这需要按照列表中的条件语句执行顺序来判断。如果一个数据包的报头跟表中某个条件判断语句相匹配，那么后面的语句就将被忽略，不再进行检查。

数据包只有在跟第一个判断条件不匹配时，它才被交给ACL中的下一个条件判断语句进行比较。如果匹配(假设为允许发送)，则不管是第一条还是最后一条语句，数据都会立即发送到目的接口。如果所有的ACL判断语句都检测完毕，仍没有匹配的语句出口，则该数据包将视为被拒绝而被丢弃。这里要注意，ACL不能对本路由器产生的数据包进行控制。

如果设备使用了TCAM，比如aute U3052交换机，那么所有的ACL是并行执行的。举例来说，如果一个端口设定了多条ACL规则，并不是逐条匹配，而是一次执行所有ACL语句。

二、实际操作

标准访问列表：

访问控制列表ACL分很多种，不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用的访问控制列表号1到99来创建相应的ACL。

标准访问控制列表的格式：

access-list ACL号 permit|deny host ip地址

例如：

access-list 10 deny host 192.168.1.1

这句命令是将所有来自192.168.1.1地址的数据包丢弃。

当然我们也可以用网段来表示，对某个网段进行过滤。命令如下：

access-list 10 deny 192.168.1.0 0.0.0.255

通过上面的配置将来自192.168.1.0/24的所有计算机数据包进行过滤丢弃。为什么后头的子网掩码表示的是0.0.0.255呢？这是因为CISCO规定在ACL中用反向掩玛表示子网掩码，反向掩码为0.0.0.255的代表他的子网掩码为255.255.255.0。

小提示：对于标准访问控制列表来说，默认的命令是HOST，也就是说access-list 10 deny 192.168.1.1表示的是拒绝192.168.1.1这台主机数据包通讯，可以省去我们输入host命令。

标准访问控制列表实例一：

image

我们采用如图所示的网络结构。
路由器连接了二个网段，分别为192.168.73.0/24，192.168.74.0/24。在192.168.74.0/24网段中有一台服务器提供WWW服务，IP地址为192.168.74.2。(注意设置pc1和server的网关，否者无法通信)

实例1：禁止192.168.74.0/24网段中除192.168.74.2这台计算机访问192.168.73.0/24的计算机。192.168.74.2可以正常访问192.168.73.0/24。

路由器命令：

access-list 1 permit host 192.168.74.2  设置ACL，容许172.16.4.13的数据包通过。     
access-list 1 deny any    设置ACL，阻止其他一切IP地址进行通讯传输。     
int e 1    进入E1端口。      
ip access-group 1 in    将ACL 1宣告。

经过设置后E1端口就只容许来自172.16.4.13这个IP地址的数据包传输出去了。来自其他IP地址的数据包都无法通过E1传输。

image

小提示：由于CISCO默认添加了DENY ANY的语句在每个ACL中，所以上面的access-list 1 deny any这句命令可以省略。另外在路由器连接网络不多的情况下也可以在E0端口使用ip access-group 1 out命令来宣告，宣告结果和上面最后两句命令效果一样。

为了测试效果，我暂时将server的ip修改为192.168.74.3，再Ping 73/24网段发现已经不通。(修改之前是可以的)

image

标准访问控制列表实例二：

实例2：禁止172.16.4.13这个计算机对172.16.3.0/24网段的访问，而172.16.4.0/24中的其他计算机可以正常访问。

路由器命令：

access-list 1 deny host 172.16.4.13    设置ACL，禁止172.16.4.13的数据包通过     
access-list 1 permit any    设置ACL，容许其他地址的计算机进行通讯     
int e 1   进入E1端口      
ip access-group 1 in    将ACL1宣告，同理可以进入E0端口后使用ip access-group 1 out来完成宣告。

配置完毕后除了172.16.4.13其他IP地址都可以通过路由器正常通讯，传输数据包。
总结：标准ACL占用路由器资源很少，是一种最基本最简单的访问控制列表格式。应用比较广泛，经常在要求控制级别较低的情况下使用。如果要更加复杂的控制数据包的传输就需要使用扩展访问控制列表了，他可以满足我们到端口级的要求。

扩展访问控制列表

上面我们提到的标准访问控制列表是基于IP地址进行过滤的，是最简单的ACL。那么如果我们希望将过滤细到端口怎么办呢？或者希望对数据包的目的地址进行过滤。这时候就需要使用扩展访问控制列表了。使用扩展IP访问列表可以有效的容许用户访问物理LAN而并不容许他使用某个特定服务（例如WWW，FTP等）。扩展访问控制列表使用的ACL号为100到199。

扩展访问控制列表的格式

扩展访问控制列表是一种高级的ACL，配置命令的具体格式如下：

access-list ACL号 [permit|deny] [协议] [定义过滤源主机范围] [定义过滤源端口] [定义过滤目的主机访问] [定义过滤目的端口]

例如：

access-list 101 deny tcp any host 192.168.1.1 eq www

这句命令是将所有主机访问192.168.1.1这个地址网页服务（WWW）TCP连接的数据包丢弃。
分析这句话：

image

小提示：同样在扩展访问控制列表中也可以定义过滤某个网段，当然和标准访问控制列表一样需要我们使用反向掩码定义IP地址后的子网掩码。

扩展访问控制列表的实例：

我们采用之前相同的网络结构。路由器连接了二个网段，分别为192.168.74.0/24,192.168.73.0/24。在192.168.74.0/24
网段中有一台服务器提供WWW服务，IP地址为172.16.74.13。

配置任务：禁止192.168.73.0的计算机访问192.168.74.0
的计算机，包括那台服务器，不过惟独可以访问192.168.74.13上的WWW服务，而其他服务不能访问。

路由器配置命令：

access-list 101 permit tcp any 192.168.74.13 0.0.0.0 eq www    设置ACL101，容许源地址为任意IP，目的地址为192.168.74.13主机的80端口即WWW
服务。由于CISCO默认添加DENY ANY的命令，所以ACL只写此一句即可。    
int e 0    进入E1端口     
ip access-group 101 out     将ACL101宣告出去

设置完毕后192.168.73.0的计算机就无法访问192.168.74.0的计算机了，就算是服务器192.168.74.13开启了FTP服务也无法访问，惟独可以访问的就是192.168.74.13的WWW服务了。而192.168.74.0的计算机访问192.168.73.0的计算机没有任何问题。

扩展ACL有一个最大的好处就是可以保护服务器，例如很多服务器为了更好的提供服务都是暴露在公网上的，如果所有端口都对外界开放，很容易招来黑客和病毒的攻击，通过扩展ACL可以将除了服务端口以外的其他端口都封锁掉，降低了被攻击的机率。如本例就是仅仅将80端口对外界开放。

总结：扩展ACL功能很强大，他可以控制源IP，目的IP，源端口，目的端口等，能实现相当精细的控制，扩展ACL不仅读取IP包头的源地址/目的地址，还要读取第四层包头中的源端口和目的端口的IP。不过他存在一个缺点，那就是在没有硬件ACL加速的情况下，扩展ACL会消耗大量的路由器CPU资源。所以当使用中低档路由器时应尽量减少扩展ACL的条目数，将其简化为标准ACL或将多条扩展ACL合一是最有效的方法。

基于名称的访问控制列表

不管是标准访问控制列表还是扩展访问控制列表都有一个弊端，那就是当设置好ACL的规则后发现其中的某条有问题，希望进行修改或删除的话只能将全部ACL信息都删除。也就是说修改一条或删除一条都会影响到整个ACL列表。这一个缺点影响了我们的工作，为我们带来了繁重的负担。不过我们可以用基于名称的访问控制列表来解决这个问题。

基于名称的访问控制列表的格式：

ip access-list [standard|extended] [ACL名称]

例如：ip access-list standard softer就建立了一个名为softer的标准访问控制列表。

基于名称的访问控制列表的使用方法：当我们建立了一个基于名称的访问列表后就可以进入到这个ACL中进行配置了。
例如我们添加三条ACL规则

permit 1.1.1.1 0.0.0.0   
permit 2.2.2.2 0.0.0.0    
permit 3.3.3.3 0.0.0.0

如果我们发现第二条命令应该是2.2.2.1而不是2.2.2.2，如果使用不是基于名称的访问控制列表的话，使用no permit 2.2.2.2 0.0.0.0后整个ACL信息都会被删除掉。正是因为使用了基于名称的访问控制列表，我们使用no permit 2.2.2.2 0.0.0.0后第一条和第三条指令依然存在。

image

image
总结：如果设置ACL的规则比较多的话，应该使用基于名称的访问控制列表进行管理，这样可以减轻很多后期维护的工作，方便我们随时进行调整ACL规则。

反向访问控制列表：

我们使用访问控制列表除了合理管理网络访问以外还有一个更重要的方面，那就是防范病毒，我们可以将平时常见病毒传播使用的端口进行过滤，将使用这些端口的数据包丢弃。这样就可以有效的防范病毒的攻击。
不过即使再科学的访问控制列表规则也可能会因为未知病毒的传播而无效，毕竟未知病毒使用的端口是我们无法估计的，而且随着防范病毒数量的增多会造成访问控制列表规则过多，在一定程度上影响了网络访问的速度。这时我们可以使用反向控制列表来解决以上的问题。
反向访问控制列表的用途：
反向访问控制列表属于ACL的一种高级应用。他可以有效的防范病毒。通过配置反向ACL可以保证AB两个网段的计算机互相PING，A可以PING通B而B不能PING通A。说得通俗些的话就是传输数据可以分为两个过程，首先是源主机向目的主机发送连接请求和数据，然后是目的主机在双方建立好连接后发送数据给源主机。反向ACL控制的就是上面提到的连接请求。

反向访问控制列表的格式:
反向访问控制列表格式非常简单，只要在配置好的扩展访问列表最后加上established即可。我们还是通过实例为大家讲解。

反向访问控制列表配置实例

我们依旧采用之前的网络结构。

配置实例：禁止病毒从172.16.3.0/24这个网段传播到172.16.4.0/24这个服务器网段。

路由器命令：

access-list 101 permit tcp 172.16.3.0 0.0.0.255 172.16.4.0 0.0.0.255 established    定义ACL101，容许所有来自172.16.3.0网段的计算机访问172.16.4.0网段中的计算机，前提是TCP连接已经建立了的。当TCP连接没有建立的话是不容许172.16.3.0访问172.16.4.0的。    
int e 1    进入E1端口     
ip access-group 101 out    将ACL101宣告出去

设置完毕后病毒就不会轻易的从172.16.3.0传播到172.16.4.0的服务器区了。因为病毒要想传播都是主动进行TCP连接的，由于路由器上采用反向ACL禁止了172.16.3.0网段的TCP主动连接，因此病毒无法顺利传播。

小提示：检验反向ACL是否顺利配置的一个简单方法就是拿172.16.4.0里的一台服务器PING在172.16.3.0中的计算机，如果可以PING通的话再用172.16.3.0那台计算机PING172.16.4.0的服务器，PING不通则说明ACL配置成功。

通过上文配置的反向ACL会出现一个问题，那就是172.16.3.0的计算机不能访问服务器的服务了，假如图中172.16.4.13提供了WWW服务的话也不能正常访问。解决的方法是在ESTABLISHED那句前头再添加一个扩展ACL规则，例如：

access-list 101 permit tcp 172.16.3.0 0.0.0.255 172.16.4.13 0.0.0.0 eq www

这样根据“最靠近受控对象原则”即在检查ACL规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。172.16.3.0的计算机就可以正常访问该服务器的WWW服务了，而下面的ESTABLISHED防病毒命令还可以正常生效。

基于时间的访问控制列表：

上面我们介绍了标准ACL与扩展ACL，实际上我们只要掌握了这两种访问控制列表就可以应付大部分过滤网络数据包的要求了。不过实际工作中总会有人提出这样或那样的苛刻要求，这时我们还需要掌握一些关于ACL的高级技巧。基于时间的访问控制列表就属于高级技巧之一。
基于时间的访问控制列表用途：可能公司会遇到这样的情况，要求上班时间不能上QQ，下班可以上或者平时不能访问某网站只有到了周末可以。对于这种情况仅仅通过发布通知规定是不能彻底杜绝员工非法使用的问题的，这时基于时间的访问控制列表应运而生。

基于时间的访问控制列表的格式：基于时间的访问控制列表由两部分组成，第一部分是定义时间段，第二部分是用扩展访问控制列表定义规则。这里我们主要讲解下定义时间段，具体格式如下：

time-range    时间段名称     
absolute start [小时：分钟] [日 月 年] [end] [小时：分钟] [日 月 年]

例如

time-range softer              
absolute start 0:00 1 may 2005 end 12:00 1 june 2005

意思是定义了一个时间段，名称为softer，并且设置了这个时间段的起始时间为2005年5月1日零点,结束时间为2005年6月1日中午12点。我们通过这个时间段和扩展ACL的规则结合就可以指定出针对自己公司时间段开放的基于时间的访问控制列表了。当然我们也可以定义工作日和周末，具体要使用periodic命令。我们将在下面的配置实例中为大家详细介绍。

基于时间的访问控制列表配置实例：

要想使基于时间的ACL生效需要我们配置两方面的命令：

定义时间段及时间范围。
ACL自身的配置，即将详细的规则添加到ACL中。
宣告ACL，将设置好的ACL添加到相应的端口中。

配置任务：只容许192.168.73.0网段的用户在周末访问192.168.74.13上的FTP资源，工作时间不能下载该FTP资源。
路由器配置命令：

time-range softer    定义时间段名称为softer     
periodic weekend 00:00 to 23:59    定义具体时间范围，为每周周末（6，日）的0点到23点59分。当然可以使用periodic weekdays定义工作日或跟星期几定义具体的周几。    
access-list 101 deny tcp any 192.168.74.13 0.0.0.0 eq ftp time-range softer    设置ACL，禁止在时间段softer范围内访问192.168.74.13的FTP服务。      
access-list 101 permit ip any any    设置ACL，容许其他时间段和其他条件下的正常访问。     
int e 1    进入E1端口。      
ip access-group 101 out    宣告ACL101。

基于时间的ACL比较适合于时间段的管理，通过上面的设置192.168.73.0的用户就只能在末访问服务器提供的FTP资源了，平时无法访问。