华为网络配置（ACL）-Toy模板网

这篇具有很好参考价值的文章主要介绍了华为网络配置（ACL）。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

前言

一、ACL概述

1、ACL简介

2、ACL分类

（1）基本ACL

（2）高级ACL

（3）二层ACL

（4）用户自定义ACL

（5）用户ACL

3、ACL组成

（1）ACL标识

（2）ACL规则

4、ACL匹配机制

5、ACL步长

6、ACL的匹配顺序

（1）配置顺序

（2）自动排序

7、ACL应用场景

（1）在NAT中使用ACL

（2）在防火墙中使用ACL

（3）在QoS中使用ACL

8、常见TCP/UDP端口号

（1）TCP

（2）UDP

二、ACL配置

1、案例

2、配置过程

（1）AR1

（2）AR2

（3）L2-SW1

3、测试

（1）FTP

（2）客户机1

（3）客户机2

结语

前言

ACL本质上是一种报文过滤器，规则是过滤器的滤芯，设备基于这些规则进行报文匹配，可以过滤出特定的报文，并根据应用ACL的业务模块的处理策略来允许或阻止该报文通过

一、ACL概述

1、ACL简介

ACL是Access Control List的简称，中文是访问控制列表，ACL表中包含了一系列的规则，所谓规则，是指描述报文匹配条件的判断语句，这些条件可以是报文的源地址、目的地址、端口号等，简单来说，ACL其实是人为定义的一组或几组规则，以便设备判断是否执行用户指定的动作，抽象来说，通过ACL，可以对报文进行分类，将具有某类共同特征的报文划分为一类，来为同一类报文提供相同的服务，也可以对不同类的报文提供不同的服务

2、ACL分类

（1）基本ACL

基本ACL编号范围为2000～2999，规则中只包含源IP地址，对设备的CPU消耗较少，可用于简单的部署，但是使用场景有限，不能提供强大的安全保障

（2）高级ACL

高级ACL编号范围为3000～3999，相较于基本ACL，高级ACL提供更高的扩展性，可以对流量进行更精细的匹配，通过配置高级ACL，可以阻止特定主机或者整个网段的源或者目标，除此之外，还可以使用协议信息（IP、ICMP、TCP、UDP）去过滤相应的流量

（3）二层ACL

二层ACL编号范围为4000～4999，可根据报文的以太网帧头信息来定义规则，在公司的内部网络中，想对特定的终端进行访问权限控制，这时就需要二层ACL，使用二层ACL，可以根据源MAC地址、目的MAC地址、802.1p优先级、二层协议类型等二层信息对流量进行管控

（4）用户自定义ACL

用户自定义ACL编号范围为5000～5999，可根据偏移位置和偏移量从报文中提取出一段内容进行匹配

（5）用户ACL

用户ACL编号范围为6000～6031，由于企业内部同部门的工作人员的终端不在同一个网段难以管理，需要将其纳入一个用户组，并对其用户组进行访问权限管理，这时候就需要用户ACL，用户ACL在高级ACL的基础上增加了用户组的配置项，可以实现对不同用户组的流量管控

3、ACL组成

（1）ACL标识

使用数字标识ACL：不同的类型的ACL使用不同的数字进行标识

使用名称标识ACL：可以使用字符来标识ACL，就像用域名代替IP地址一样，更加方便记忆

（2）ACL规则

规则编号：用于标识ACL规则，所有规则均按照规则编号从小到大进行排序

动作：包括permit/deny两种动作，表示设备对所匹配的数据包接受或者丢弃

匹配项：ACL定义了极其丰富的匹配项，包括生效时间段、IP协议（ICMP、TCP、UDP等）、源/目的地址以及相应的端口号（21、23、80等）

4、ACL匹配机制

首先系统会查找设备上是否配置了ACL

如果ACL不存在，则返回ACL匹配结果为：不匹配
如果ACL存在，则查找设备是否配置了ACL规则
如果规则不存在，则返回ACL匹配结果为：不匹配
如果规则存在，则系统会从ACL中编号最小的规则开始查找
如果匹配上了permit规则，则停止查找规则，并返回ACL匹配结果为：匹配（允许）
如果匹配上了deny规则，则停止查找规则，并返回ACL匹配结果为：匹配（拒绝）
如果未匹配上规则，则继续查找下一条规则，以此循环，如果一直查到最后一条规则，报文仍未匹配上，则返回ACL匹配结果为：不匹配

报文与ACL规则匹配后，会产生两种匹配结果：“匹配”和“不匹配”

匹配（命中规则）：指存在ACL，且在ACL中查找到了符合匹配条件的规则，不论匹配的动作是“permit”还是“deny”，都称为“匹配”，而不是只是匹配上permit规则才算“匹配”
不匹配（未命中规则）：指不存在ACL，或ACL中无规则，再或者在ACL中遍历了所有规则都没有找到符合匹配条件的规则

5、ACL步长

步长，是指系统自动为ACL规则分配编号时，每个相邻规则编号之间的差值，ACL（特指基本ACL、高级ACL、二层ACL、用户ACL）的缺省步长为5，系统为ACL中首条未手工指定编号的规则分配编号时，使用步长值作为该规则的起始编号；为后续规则分配编号时，则使用大于当前ACL内最大规则编号且是步长整数倍的最小整数作为规则编号，如果重新调整了步长值（例如调整为2），系统则会自动从当前步长值开始重新排列规则编号，规则编号变成2、4、6…，恢复步长值为缺省值后，系统则会立刻按照缺省步长重新调整规则编号，规则编号变成5、10、15…

6、ACL的匹配顺序

共有两种ACL匹配顺序：配置顺序（config模式）和自动排序（auto模式），缺省的ACL匹配顺序是配置顺序

（1）配置顺序

系统按照ACL规则编号从小到大的顺序进行报文匹配，规则编号越小越容易被匹配

如果配置规则时指定了规则编号，则规则编号越小，规则插入位置越靠前，该规则越先被匹配
如果配置规则时未指定规则编号，则由系统自动为其分配一个编号，该编号是一个大于当前ACL内最大规则编号且是步长整数倍的最小整数，因此该规则会被最后匹配

（2）自动排序

自动排序是指系统使用“深度优先”的原则，将规则按照精确度从高到低进行排序，并按照精确度从高到低的顺序进行报文匹配，规则中定义的匹配项限制越严格，规则的精确度就越高，即优先级越高，系统越先匹配