ACL的基本原理与配置-Toy模板网

这篇具有很好参考价值的文章主要介绍了ACL的基本原理与配置。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

一、ACL概述

ACL，中文名称是“访问控制列表”，它由一系列规则（即描述报文匹配条件的判断语句）组成。这些条件通常被称为五元组-分别是报文的源地址、目的地址、源端口、目的端口、端口号等。这样解释ACL，大大家肯定听不懂，那么我打个比喻，ACL相当于一个过滤器，ACL规则就是过滤器的滤芯，安装什么样的滤芯（即根据报文特征匹配的一系列ACL规则），ACL就能过滤出什么样的报文了。

ACL是由一系列permit或deny语句组成的、有序规则的列表。
ACL是一个匹配工具，能够对报文进行匹配和区分。

1.ACL的工作原理

ACL的工作原理:当数据包从接口经过时，由于接口启用了ACL，此时路由器会对报文进行检查，然后做出相应的处理。

二、ACL的组成

ACL由若干条permit或deny语句组成。每条语句就是该ACL的一条规则，每条语句中的permit或deny就是与这条规则相对应的处理动作。
ACL的基本原理与配置

1.规则编号

ACL的基本原理与配置

2.通配符

ACL的基本原理与配置

子网掩码：1的含义是精确匹配，0的含义是忽略匹配
通配符掩码：1的含义是忽略匹配，0的含义是精确匹配

二、ACL的分类与标签

ACL的基本原理与配置

三、基本ACL与高级ACL

ACL的基本原理与配置

四、ACL的匹配机制

ACL的基本原理与配置

五、ACL的匹配顺序及匹配结果

配置顺序(config模式)

1.ACL的匹配位置

ACL的基本原理与配置
ACL在接口上的应用：
在入口上：数据包从入口进路由器，就会被路由器处理。
在出口上：数据包在经过路由器处理后，才会让它从出口出去。

ACL的应用原则：
基本ACL，尽量用在靠近目的点。
高级ACL，尽量用在靠近源的地方。

应用规则
1、一个接口的同一个方向，只能调用一个ACL
2、一个ACI里面可以有多个rule规则，按照规则ID从小到大排序，从上往下依次执行
3、数据包一旦被某rule匹配，就不再继续向下匹配
4、用来做数据包访问控制时，默认隐含放过所有(华为设备)

2.入站（Inbound）及出站（Outbound）方向

ACL的基本原理与配置

有测匹配，无则放行
接口响应配置，要被调用

六、ACL的实验配置

一、实现第一个目标：仅允许PC1访问192.168.2.0/24网络（即仅允许PC1访问PC3）
ACL的基本原理与配置

<Huawei>sys	
[Huawei]sysname AR1
[AR1]int g0/0/0	
[AR1-GigabitEthernet0/0/0]ip address 192.168.1.254 24
[AR1-GigabitEthernet0/0/0]int g0/0/1
[AR1-GigabitEthernet0/0/1]ip address 192.168.3.254 24
[AR1-GigabitEthernet0/0/1]int g0/0/2
[AR1-GigabitEthernet0/0/2]ip address 192.168.2.254 24
[AR1-GigabitEthernet0/0/2]q
[AR1]acl 2000	
[AR1-acl-basic-2000]rule permit source 192.168.1.10 0 	
[AR1-acl-basic-2000]rule deny 
[AR1-acl-basic-2000]q
[AR1]int g0/0/2	
[AR1-GigabitEthernet0/0/2]traffic-filter outbound acl 2000
[AR1-GigabitEthernet0/0/2]q

ACL的基本原理与配置

1、配置路由器R1
2、配置PC机
3、分别在PC1和PC2上ping PC3
4、发现只有PC1可以Ping同PC3，PC2不能ping同PC3，实验目的实现

二、禁止192.168.1.0/24网络ping Web服务器
ACL的基本原理与配置

[AR1]acl 3000	
[AR1-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 destination 192.16
8.3.30 0
[AR1-acl-adv-3000]q
[AR1]int g0/0/1
[AR1-GigabitEthernet0/0/1]traffic-filter outbound acl 3000
[AR1-GigabitEthernet0/0/1]q

ACL的基本原理与配置

1、配置路由器R1上的acl功能
2、配置服务器
3、用PC1和PC2 ping 服务器，发现不能接通，实验目的达到
4、为什么PC3也不能连通客户端，因为一开始完成目的一时，创建的acl2000是配置在G0/0/2端口上的，所以客户端的请求不能达到PC3，所以不能接通。

三、仅允许Client1访问WEB服务器的www服务
ACL的基本原理与配置

ACL的基本原理与配置

<AR1>sys
[AR1]acl 3001	
[AR1-acl-adv-3001]rule permit tcp source 192.168.1.30 0 destination 192.168.3.30
 0 destination-port eq 80
[AR1-acl-adv-3001]rule deny icmp source 192.168.1.10 0 destination 192.168.3.30 
0
[AR1-acl-adv-3001]rule deny icmp source 192.168.1.20 0 destination 192.168.3.30 
0
[AR1-acl-adv-3001]q
[AR1]int g0/0/0
[AR1-GigabitEthernet0/0/0]traffic-filter inbound acl 3001
[AR1-GigabitEthernet0/0/0]q