ACL技术概述ACL访问控制列表技术背景园区重要服务器资源被随意访问容易泄露机密造成安全隐患病毒侵入内网安全性降低网络宽带被各类业务随意挤占服务质量要求高的宽带得不到保障用户体验差因此需要由一个工具来指定一些规则从而控制一些流量保证网络安全概述ACL是由Permi或者deny语句组成的一系列有顺序的规则的集合ACL是能够匹配一个IP数据包中的源IP地址、目的IP地址、协议类型、源目的端口等元素的基础性工具ACL还能匹配路由条目ACL的基本概念及其工作原理ACL的组成ACL编号每一个ACL都需要分配一个编号进行识别规则一条ACL通常由若干条”permit / deny语句组成每条语句就是该ACL的规则规则编号每条规则都由一个对应的编号可以自定义也可以系统分配范围0-2的32次方从大到小排列动作就是指允许permit和拒绝deny匹配项比如二层以太网帧头信息三层报文信息等规则编号和步长规则编号每条规则都有一个相应的编号用来标识ACL规则。可以自定义也可以系统自动分配步长编号之间的差值用来预留空位用于后续的修改和添加新的规则通配符通配符是一个32比特长度的数值用于指示IP地址中哪些比特位需要严格匹配哪些比特位无需匹配通配符通常采用类似网络掩码的点分十进制形式表示但是含义却与网络掩码完全不同0 表示在这一位需要严格匹配地址1 表示不关心1 和 0是可以不连续的当通配符全为0来匹配IP地址时表示精确匹配某个IP地址当通配符全为1来匹配0.0.0.0地址时表示匹配了所有IP地址ACL的分类;基本ACL 2000~2999 仅使用报文的源IP地址、分片信息和生效时间段信息来定义规则高级ACL 3000~3999 可使用IPv4报文的源IP地址、目的IP地址、IP协议类型、ICMP类型、TCP源/目 的端口号、UDP源/目的端口号、生效时间段等来定义规则二层ACL 4000~4999 使用报文的以太网帧头信息来定义规则如根据源MAC地址、目的MAC地址等自定义ACL 5000~5999 使用报文头、偏移位置、字符串掩码和用户自定义字符串来定义规则用户ACL 6000~9999 既可使用IPv4报文的源IP地址或源UCLUser Control List组也可使用目的 IP地址或目的UCL组、IP协议类型、ICMP类型、TCP源端口/目的端口、UDP源 端口/目的端口号等来定义规则ACL的标识方法数字型传统的方法用唯一的数字标识命名型命名来标识ACL的匹配机制配置ACL的设备接收到报文会将报文逐一对ACL中的规则进行匹配如果不能匹配就匹配下一条规则一旦匹配上则进行处理不再继续匹配流程先检查设备是否配置了ACL如果ACL不存在就返回结果为不匹配如果ACL存在会检查设备是否配置了ACL规则2. 存在ACL的条件下如果规则不存在返回结果为不匹配如果规则存在将有三种情况3. 当匹配上permit规则就停止匹配返回结果为匹配当匹配上deny规则就停止匹配返回结果为不匹配一直没有匹配到对应的规则就继续寻找匹配下一条直到最后还没有匹配上返回结果为不匹配4. 一旦命中停止匹配注意ACL技术总是与其他技术结合在一起使用的因此所结合的技术不同“允许 (permit)”及“拒绝 (deny)”的 内涵和作用也会不同。例如当ACL技术与流量过滤技术结合使用时permit就是“允许通行”的意思 deny 就是“拒绝通行”的意思ACL的匹配顺便及匹配结果华为设备支持两种匹配顺序自动排序和配置顺序config模式。默认的ACL匹配顺序是config模式ACL的排序有些复杂这里不再过多阐释有兴趣可以查查资料ACL的配置案例案例某公司通过Router实现各部门之间的互连。为方便管理网络管理员为公司的研发部和市场部规划了两个网段的IP地址。现要求Router能够限制两个网段之间互访防止公司机密泄露1.进入端口使用ip adress 先进配置[Router]acl3001[Router-acl-adv-3001]rule deny ip source10.1.1.0 0.0.0.255destination10.1.2.0 0.0.0.255[Router-acl-adv-3001] quit[Router]acl3002[Router-acl-adv-3002]rule deny ip source10.1.2.0 0.0.0.255destination10.1.1.0 0.0.0.255[Router-acl-adv-3002] quit[Router] interface GigabitEthernet 0/0/1[Router-GigabitEthernet0/0/1]traffic-filter inboundacl3001[Router-GigabitEthernet0/0/1] quit[Router] interface GigabitEthernet 0/0/2[Router-GigabitEthernet0/0/2]traffic-filter inboundacl3002[Router-GigabitEthernet0/0/2] quit我们设置一个对比组该组不配置ACL可以清晰得看见在配置之前两个网段之间的PC机是能够互相通信的再配置ACL后不能再继续通信流量控制成功两个部分不能互访