一、ACL简介
ACL(Access Control List)即访问控制列表,可以在路由器、交换机等设备上进行配置,用来限制网络中数据流的访问,实现基本网络安全控制。ACL通过匹配数据包的源地址、目的地址、协议类型、端口号等信息来控制数据流在网络中的流向。
二、ACL类型
1、标准ACL:基于源IP地址进行匹配,不能指定协议类型、端口号等。标准ACL适用于对IP地址进行过滤,例如限制某一IP地址的访问。
2、扩展ACL:基于源IP地址、目的IP地址、协议类型、端口号等多种条件进行匹配。扩展ACL适用于更加复杂的安全策略,例如限制访问某一特定端口或限制某一应用程序的访问。
3、规则集ACL:可同时对标准ACL和扩展ACL进行配置,多条规则按顺序依次匹配,匹配成功后停止匹配。
三、ACL配置命令
1、标准ACL配置命令
#创建标准ACL [huawei]acl number 2000 [huawei-acl-basic-2000]rule permit source 10.1.1.0 0.0.0.255 [huawei-acl-basic-2000]rule deny source 0.0.0.0 255.255.255.255 #将ACL应用于接口 [huawei]interface gigabitethernet 0/0/1 [huawei-GigabitEthernet0/0/1]ip address 10.1.1.1 24 [huawei-GigabitEthernet0/0/1]packet-filter 2000 inbound
说明:以上命令创建了一个编号为2000的标准ACL,允许源IP地址为10.1.1.0/24的数据包通过,拒绝所有其他IP地址的数据包。将ACL应用于GigabitEthernet0/0/1接口,数据包进入该端口时会被过滤。
2、扩展ACL配置命令
#创建扩展ACL [huawei]acl number 3000 [huawei-acl-adv-3000]rule permit tcp source 10.1.1.0 0.0.0.255 destination 10.2.2.0 0.0.0.255 destination-port eq 80 [huawei-acl-adv-3000]rule deny ip source 0.0.0.0 255.255.255.255 destination 255.255.255.255 #将ACL应用于接口 [huawei]interface gigabitethernet 0/0/2 [huawei-GigabitEthernet0/0/2]ip address 10.2.2.1 24 [huawei-GigabitEthernet0/0/2]packet-filter 3000 inbound
说明:以上命令创建了一个编号为3000的扩展ACL,允许源IP地址为10.1.1.0/24、目的IP地址为10.2.2.0/24、协议类型为TCP,目的端口号为80的数据包通过,拒绝所有其他IP地址和协议类型的数据包。将ACL应用于GigabitEthernet0/0/2接口,数据包进入该端口时会被过滤。
3、规则集ACL配置命令
#创建规则集ACL [huawei]acl number 4000 [huawei-acl-rule-4000]rule 0 permit tcp source 10.1.1.0 0.0.0.255 destination 10.2.2.0 0.0.0.255 destination-port eq 80 [huawei-acl-rule-4000]rule 1 permit udp source 10.1.1.0 0.0.0.255 destination 10.2.2.0 0.0.0.255 destination-port eq 53 [huawei-acl-rule-4000]rule 2 deny ip source 0.0.0.0 255.255.255.255 destination 255.255.255.255 #将ACL应用于接口 [huawei]interface gigabitethernet 0/0/3 [huawei-GigabitEthernet0/0/3]ip address 10.3.3.1 24 [huawei-GigabitEthernet0/0/3]packet-filter inbound acl rule 4000
说明:以上命令创建了一个编号为4000的规则集ACL,共有三条规则:第一条允许源IP地址为10.1.1.0/24、目的IP地址为10.2.2.0/24、协议类型为TCP,目的端口号为80的数据包通过;第二条允许源IP地址为10.1.1.0/24、目的IP地址为10.2.2.0/24、协议类型为UDP,目的端口号为53的数据包通过;第三条拒绝所有其他IP地址和协议类型的数据包。将ACL应用于GigabitEthernet0/0/3接口,数据包进入该端口时会被过滤。
四、ACL常用命令
1、查看ACL
[huawei]display acl 2000 [huawei]display acl 3000 [huawei]display acl 4000
2、查看接口上应用的ACL
[huawei]display interface gigabitethernet 0/0/1 [huawei]display interface gigabitethernet 0/0/2 [huawei]display interface gigabitethernet 0/0/3
3、删除ACL
[huawei]undo acl number 2000 [huawei]undo acl number 3000 [huawei]undo acl number 4000
五、总结
ACL是网络设备中常用的安全配置之一,通过限制数据流的访问,提高了网络的安全性。文章从ACL类型、配置命令、常用命令等多个方面进行了详细的阐述,希望对大家在实际应用中使用ACL有所帮助。