ACL（Access Control List）访问控制列表

目录

ACL 访问控制列表

ACL分类

ACL的组成

ACL匹配机制

ACL调用方式

实验配置

不允许PC1访问PC4

只允许PC1访问PC4

高级ACL

基本概念

实验配置 限制ping

实验配置 限制DNS

基于时间的ACL

实验配置

ACL 访问控制列表

根据一系列不同的规则，设备根据这些规则对数据包进行分类，并针对不同类型的报文进行不同的处理，从而可以实现网络访问行为的控制、限制网络流量，提高网络性能、防止网络攻击。

 

ACL分类

分类

编号范围

功能概述

基于接口的ACL

编号范围是1000～1999

根据报文的入接口对报文进行过滤

基本ACL

编号范围是2000～2999

根据源地址对报文进行过滤

高级ACL

编号范围是3000～3999

根据源/目的地址、源/目的端口号、协议类型等对报文进行过滤

二层ACL

编号范围是4000～4999

根据源MAC地址、目的MAC地址和以太帧协议类型等二层信息对报文进行过滤

用户ACL UCL（User ACL）

编号范围是6000～9999

根据报文的源IP地址、源业务组、源用户组、源端口号、目的IP地址、目的业务组、目的用户组、目的端口号、协议类型等内容定义规则，实现对报文的匹配过滤

基于MPLS的ACL

编号范围是10000～10999

根据MPLS报文的Exp值、Label值、TTL值对报文进行过滤

经常使用的是基本ACL和高级ACL。

 

ACL的组成

比如：rule deny source 192.168.1.12 0.0.0.0     

  • 其中的0.0.0.0 不是子网掩码而是通配符掩码，并不是区分网络号和主机号的，0.0.0.0可以简写成0
  • 通配符掩码用来告诉路由器，需要检查IP地址中的多少位（可以不是连续的1）
  • 0表示需要检查的位，1表示不需要检查的位 0->感兴趣 1->不感兴趣
  • 192.168.1.12  0.0.0.0表示精确匹配这个IP地址，而如果是0.0.0.0 255.255.255.255表示匹配所有（any）
  • 如果精确匹配最后一段是奇数的地址，那么最后1bit肯定是1，所以可以写成例如192.168.1.1 0.0.0.254 的样式

通配符掩码可以是不是连续的0或者1，如图

 

ACL匹配机制

 

ACL调用方式

 ACL调用分为inbound方向和outbound方向，inbound方向调用是先调用后路由，outbound方向调用是先路由后调用。

如果数据流方向如下图，那么在F0/0处就是IN方向，在F0/1就是OUT方向。

 如果数据流方向如下图，那么就是反过来，在F0/1口是IN方向，在F0/0口是OUT方向。

 

实验配置

  • 确定部署位置
  • 匹配对应流量
  • 决定调用方向
  • 查看以及测试

不允许PC1访问PC4

 

 第一步：确定部署位置

现在PC1 不允许访问PC4，控制肯定是在数据包的必经之路上，所以可以在R1和R2上配置，但是我们一般采用靠近源的位置进行配置，这个为了集中化部署。

我们选择R1上配置，但是R1上有俩个接口，G0/0/1和G0/0/2。选择G0/0/1，在数据的流向上，就是inbound入方向；选择G0/0/2，在数据的流向上，就是outbound出方向；一般我们还是采用靠近源的位置进行配置。

确认部署位置为R1的G0/0/1口。

第二步：匹配对应流量

[AR1]acl 2000     
[AR1-acl-basic-2000]rule 5 deny source 192.168.1.11 0.0.0.0     
[AR1-acl-basic-2000]rule permit source any

 

第三步：决定调用方式

[AR1] interface GigabitEthernet 0/0/1     
[AR1-GigabitEthernet0/0/1] traffic-filter inbound acl 2000

 

第四步：查看和测试

查看ACL       [AR1] display acl 2000

[AR1]display acl 2000
Basic ACL 2000, 2 rules
Acl's step is 5
 rule 5 deny source 192.168.1.12 0 
 rule 10 permit (5 matches)

查看流量模板的应用                [AR1]display traffic-filter applied-record 

[AR1]display traffic-filter applied-record 
-----------------------------------------------------------
Interface                   Direction  AppliedRecord       
-----------------------------------------------------------
GigabitEthernet0/0/1        inbound    acl 200

第五步：如何删除

删除的时候，使用rule 的编号进行删除

[AR1] acl 2000     

[AR1-acl-basic-2000] undo rule 5

或者 删除所有的ACL

[AR1]undo acl all
 Info: Now deleting all ACL configurations, please wait......
Deleting operation has finished!

 

只允许PC1访问PC4

第一步：确定部署位置

题目要求只允许PC1访问PC4，也就意味着剩余的PC2和PC3是不能访问PC4的，但PC1.PC2，PC3之间的通信应该是不受影响的，所以部署位置在R1的GE0/0/2或者R2的两侧接口处。我们一般选择靠近源的位置，也就是R1的G0/0/2口。

第二步：匹配对应流量

[AR1]acl 2000
[AR1-acl-basic-2000]rule permit source 192.168.1.11 0
[AR1-acl-basic-2000]rule deny source any

第三步：决定调用方式

[AR1]interface GigabitEthernet 0/0/2
[AR1-GigabitEthernet0/0/2]traffic-filter outbound acl 2000

第四步：查看和测试

[AR1]display acl 2000
Basic ACL 2000, 2 rules
Acl's step is 5
 rule 5 permit source 192.168.1.1 0 
 rule 10 deny (62 matches)

[AR1]display traffic-filter applied-record
-----------------------------------------------------------
Interface                   Direction  AppliedRecord       
-----------------------------------------------------------
GigabitEthernet0/0/2        outbound   acl 2000
----------------------------------------------------------- 

 

高级ACL

基本概念

高级ACL可以针对数据包的源、目的IP地址、协议类型、源目的端口号等元素进行匹配

  • 使用编号创建一个高级ACL，并进入ACL视图:

[Huawei] acl num
[Huawei-acl-adv-num]
高级ACL编号的范围是3000~3999。

  • 根据IP配置高级ACL规则:

[Huawei-acl-adv-num] rule 5  {permit/deny}  ip source src-address wildcard  destination dst-address wildcard
除了IP协议，高级ACL还能根据IP承载的上层协议信息进行匹配，例如TCP、UDP、ICMP等等。

ACL配置：操作符的含义

操作符及语法

含义

equal portnumber

等于端口号 portnumber

greater-than portnumber

大于端口号 portnumber

less-than portnumber

小于端口号 portnumber

not-equal portnumber

不等于端口号 portnumber

range portnumber1 portnumber2

介于端口号 portnumber1和portnumber2之间

 

实验配置 限制ping

在PC1和PC2都可以访问Server1和Server2的情况下，限制PC2 ping Server2，放行其他流量

 1.配置ACL 匹配对应流量

[AR1]acl 3000
[AR1-acl-adv-3000]rule deny ip source 192.168.1.2 0 destination 10.1.1.2 0 icmp-type echo

#echo 和 echo reply 不同，如果都被限制，那么Server2也无法ping PC2，所以不能限制echo reply
[AR1-acl-adv-3000]rule permit ip 

 2.接口进行调用

[AR1]interface GigabitEthernet 0/0/0
[AR1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

实验配置 限制DNS

在PC1和PC2都可以访问Server1和Server2的情况下，限制PC2访问Server2的DNS服务，放行其他流量

  • DNS使用的是UDP服务
  • DNS的传输层端口号是53

[AR1]acl 3000     
[AR1-acl-adv-3000]rule deny UDP source 192.168.1.2 0 destination 10.1.1.2 0 dest ination-port eq 53
[AR1-acl-adv-3000]rule permit ip

[AR1]interface GigabitEthernet 0/0/0
[AR1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

 

基于时间的ACL

命令规范

time-range time-name [ { time1 to time2 { days }    |     from time1 date1 [ to time2 date2 ] } ]

time-name  指定时间段的名称。

time-name

指定时间段的名称

time1

指定时间段的开始时间

to time2

指定时间段的结束时间

days

指定时间段在周几有效

from time1 date1

指定时间段从某一天某一时间开始

to time2 date2

指定时间段到某一天某一时间结束。

结束时间必须大于起始时间。

举例

  • time-range test 14:00 to 18:00 off-day
  • 配置时间段test，在周末下午14:00到18:00生效
  • time-range test from 08:30 2013/1/1 to 18:00 2013/12/31
  • 配置时间段test，从2013年1月1日早上8点半开始生效，2013年12月31日晚上6点停止生效

实验配置

规定员工在上班时间（周一到周五8:00-17:00）不能浏览taobao网站

1.创建时间范围 time-range

[AR1]time-range working-time 8:00 to 17:00 working-day 

2.配置基于时间的ACL

[AR1]acl 3000     
[AR1-acl-adv-3000]rule 4 deny tcp source 192.168.1.0 0.0.0.255 time-range working-time destination 10.1.1.1 0 destination-port eq 80
[AR1]interface GigabitEthernet 0/0/0
[AR1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/438358.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

基础篇：667的大题题型与应对策略

基础篇：667的大题题型与应对策略

通过本节，你将学习到： 667分析题的考查方向与基本题型667分析题的两种解决策略 667分析题的三大基本题型 首先，通过回顾667科目分析题的真题（2021-2024年），我根据题目特点将其归纳为三个主要类别。这样的…
阅读更多...
Python：import语句的使用（详细解析）（一）

Python：import语句的使用（详细解析）（一）

相关阅读 Pythonhttps://blog.csdn.net/weixin_45791458/category_12403403.html?spm1001.2014.3001.5482 import语句是Python中一个很重要的机制，允许在一个文件中访问另一个文件的函数、类、变量等，本文就将进行详细介绍。 在具体谈论import语句前&a…
阅读更多...
使用ESPnet的 setup_anaconda.sh安装脚本一步到位，配置conda虚拟环境

使用ESPnet的 setup_anaconda.sh安装脚本一步到位，配置conda虚拟环境

使用ESPnet的 setup_anaconda.sh 安装脚本一步到位，配置conda虚拟环境 前言 ESPnet（End-to-End Speech Processing Toolkit）是一款用于语音识别、语音合成等任务的开源端到端语音处理工具包。为了在不同系统上快速配置ESPnet开发环境&#…
阅读更多...
Linux复习--Linux服务管理类（SSH服务、DHCP+FTP、DNS服务、Apache服务、Nginx服务、HTTP状态码）

Linux复习--Linux服务管理类（SSH服务、DHCP+FTP、DNS服务、Apache服务、Nginx服务、HTTP状态码）

前言：本博客仅作记录学习使用，部分图片出自网络，如有侵犯您的权益，请联系删除 一、SSH服务 1、问题引出 哪些设置能够提升SSH远程管理的安全等级？ 2、SSH的登录验证方式-口令登录 3、SSH的登录验证方式-密钥登录 4、…
阅读更多...
【rust/egui/android】在android中使用egui库

【rust/egui/android】在android中使用egui库

文章目录 说在前面AndroidStudio安装编译安装运行问题 说在前面 操作系统：windows11java版本：23android sdk版本：35android ndk版本：22rust版本： AndroidStudio安装 安装AndroidStudio是为了安装sdk、ndk，…
阅读更多...
Python编写的贪吃蛇小游戏

Python编写的贪吃蛇小游戏

安装包 pip install pygame完整代码 import pygame import randompygame.init()# 定义颜色 white (255, 255, 255) black (0, 0, 0) red (213, 50, 80) green (0, 255, 0) blue (50, 153, 213)# 定义屏幕大小 dis_width 800 dis_height 600dis pygame.display.set_mo…
阅读更多...
探索TOGAF理论的实践应用：企业数字化转型的深度指南

探索TOGAF理论的实践应用：企业数字化转型的深度指南

数字化转型的迫切性与路径选择 随着全球化进程和技术革命的加速，企业正面临前所未有的挑战和机遇。数字化转型已成为企业保持竞争力、创新业务模式、优化客户体验的核心手段。然而，企业在实施数字化转型时，往往面临路径不清、技术与业务脱节…
阅读更多...
win系统网络重置

win系统网络重置

重置网络命令：netsh winsock reset 输入winR 调用运行窗口，回车 输入重置网络命令：netsh winsock reset 注意空格
阅读更多...
在Stable Diffusion WebUI中安装SadTalker插件时几种错误提示的处理方法

在Stable Diffusion WebUI中安装SadTalker插件时几种错误提示的处理方法

SD中的插件一般安装比较简单，但也有一些插件安装会比较难。比如我在安装SadTalker时，就遇到很多问题，一度放弃了，后来查了一些网上攻略，自己也反复查看日志，终于解决，不吐不快。 一、在Stable …
阅读更多...
15分钟学 Python ：编程工具 Idea 和 vscode 中配置 Python ( 补充 )

15分钟学 Python ：编程工具 Idea 和 vscode 中配置 Python ( 补充 )

编程工具配置 Python 在 IDE 和 VSCode 中 在编程学习的过程中，选择合适的开发工具至关重要。本文将详细介绍在两种流行的IDE（IntelliJ IDEA 和 Visual Studio Code）中如何配置Python环境，帮助你更高效地进行Python开发。 一、编…
阅读更多...
基于SSM的出租车租赁管理系统的设计与实现

基于SSM的出租车租赁管理系统的设计与实现

文未可获取一份本项目的java源码和数据库参考。 1 选题的背景 现代社会，许多个人、家庭，因为生活、工作方式的改变，对汽车不再希望长期拥有，取而代之的是希望汽车能“召之即…
阅读更多...
开源且实用的C#/.NET编程技巧练习宝库（学习，工作，实践指南）

开源且实用的C#/.NET编程技巧练习宝库（学习，工作，实践指南）

DotNet Exercises介绍 DotNetGuide专栏C#/.NET/.NET Core编程常用语法、算法、技巧、中间件、类库、工作业务实操练习集，配套详细的文章教程讲解，助你快速掌握C#/.NET/.NET Core中各种编程常用语法、算法、技巧、中间件、类库、工作业务实操等等。 GitH…
阅读更多...
【Spring Boot 入门二】Spring Boot中的配置文件 - 掌控你的应用设置

【Spring Boot 入门二】Spring Boot中的配置文件 - 掌控你的应用设置

一、引言 在上一篇文章中，我们开启了Spring Boot的入门之旅，成功构建了第一个Spring Boot应用。我们从环境搭建开始，详细介绍了JDK的安装以及IDE的选择与配置，然后利用Spring Initializr创建了项目，分析了项目结构&am…
阅读更多...
黑马linux笔记（转载）

黑马linux笔记（转载）

学习链接 视频链接：黑马程序员新版Linux零基础快速入门到精通 原文链接：黑马程序员新版Linux零基础快速入门到精通——学习笔记 黑马Linux笔记 文章目录 学习链接01初识Linux1.1、操作系统概述1.1.1、硬件和软件1.1.2、操作系统1.1.3、常见操作系统 1.…
阅读更多...
SSM人才信息招聘系统-计算机毕业设计源码28084

SSM人才信息招聘系统-计算机毕业设计源码28084

摘要 本研究旨在基于Java和SSM框架设计并实现一个人才信息招聘系统，旨在提升招聘流程的效率和精准度。通过深入研究Java和SSM框架在Web应用开发中的应用，结合人才招聘领域的需求，构建了一个功能完善、稳定高效的招聘系统。利用SSM框架的优势&…
阅读更多...
数据订阅与消费中间件Canal 服务搭建（docker）

数据订阅与消费中间件Canal 服务搭建（docker）

MySQL Bin-log开启 进入mysql容器 docker exec -it mysql5.7 bash开启mysql的binlog cd /etc/mysql/mysql.conf.dvi mysqld.cnf #在文件末尾处添加如下配置（如果没有这个文件就创建一个） [mysqld] # 开启 binlog log-binmysql-bin #log-bin/var/lib/mys…
阅读更多...
CSP-J模拟赛三补题报告

CSP-J模拟赛三补题报告

前言 挂了110pts( ⇑ \Uparrow ⇑ \hspace{14em} 有史以来最大傻逼 T1： 100 p t s \color{green}100pts 100pts T2: 100 p t s → 80 p t s \color{green}100pts\color{yellow}\rightarrow\color{red}80pts 100pts→80pts T3: 100 p t s → 10 p t s \color{gre…
阅读更多...
k8s架构，从clusterIP到光电半导体，再从clusterIP到企业管理

k8s架构，从clusterIP到光电半导体，再从clusterIP到企业管理

clusterIP作为k8s中的服务， 也是其他三个服务的基础 ~]$ kubectl create service clusterip externalname loadbalancer nodeport 客户端的流量到service service分发给pod，pod由控制器自动部署，自动维护 那么问题是service的可用…
阅读更多...
【C++前缀和】1895. 最大的幻方|1781

【C++前缀和】1895. 最大的幻方|1781

本文涉及的基础知识点 C算法：前缀和、前缀乘积、前缀异或的原理、源码及测试用例 包括课程视频 LeetCode1895. 最大的幻方 难度分：1781 一个 k x k 的 幻方 指的是一个 k x k 填满整数的方格阵，且每一行、每一列以及两条对角线的和 全部相…
阅读更多...
ubuntu 设置静态IP

ubuntu 设置静态IP

一、 ip addresssudo nano /etc/netplan/50-cloud-init.yaml 修改前： 修改后： # This file is generated from information provided by the datasource. Changes # to it will not persist across an instance reboot. To disable cloud-inits # ne…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023