访问控制列表 (Access Control List,ACL) 是目前使用最多的访问控制实现技术。访问控制列表是路由器接口的指令列表，用来控制端口进出的数据包。ACL适用于所有的被路由协议，如IP、IPX、AppleTalk 等。访问控制列表可以分为基本访问控制列表和高级访问控制列表。ACL的默认执行顺序是自上而下，在配置时要遵循最小特权原则、最靠近受控对象原则及默认丢弃原则。
一、华为设备ACL 分类
| 分类 |
编号范围 |
支持的过滤选项 |
| 基本 ACL |
2000~ 2999 |
匹配条件较少，只能通过源IP地址和时间段来进行流量 匹配，在一些只需要进行简单匹配的功能中可以使用 |
| 高级 ACL |
3000~ 3999 |
匹配条件较为全面，通过源IP地址、目的IP地址、ToS、 时间段、协议类型、优先级、ICMP报文类型和ICMP报 文码等多个维度对流量进行匹配，在大部分功能中都可 使用高级ACL进行精确流量匹配 |
| 基于 MAC 地址的 ACL |
4000~ 4999 |
由于数据链路层使用MAC地址来进行寻址，所以在控制 数据链路层帧时需要通过MAC地址来对流量进行分类。 基于MAC地址的ACL就可以通过源MAC地址、目的MAC 地址、CoS、协议码等维度来进行流量匹配 |
| 用户自 定义 |
5000- 5999 |
用户自定义ACL |
二、ACL规则匹配方式
(1)配置顺序。
配置顺序根据ACL规则的ID进行排序，ID小的规则排在前面，优先进行匹配。当找到第一条匹配条件的规则时，查找结束。系统按照该规则对应的动作处理。
(2)自动顺序。
自动顺序也叫深度优先匹配。此时ACL规则的ID 由系统自动分配，规则中指定数据包范围小的排在前面，优先进行 匹配。当找到第一条匹配条件的规则时，查找结束。系统按照该规则对应的动作处理。
1)对于基本访问控制规则的语句，直接比较源地址通配符，通配符相同的则按配置顺序。
2)对于高级访问控制规则，首先比较协议范围，再比较源地址通 配符，都相同时比较目的地址通配符，仍相同时则比较端口号的范围，范围小的排在前面，如果端口号范围也相同则按配置顺序。
三、ACL 配置步骤
(1)执行命令system-view, 进入系统视图。
(2)执行命令acl [number]acl-number [match-order{config|auto }],创建基本ACL 并进入相应视图。
1)acl-number 的取值决定了ACL 的类型，ACL 的取值范围基本在2000～2999之间。
2)match-order 指定了ACL 各个规则之间的匹配顺序：选择参数config,ACL 的匹配顺序按照规则ID来排序，ID小的规则排在前面，优先匹配；选择参数auto, 将使用深度优先的匹配顺序。默认值是config, 按照规则ID来排序。
(3)执行命令，创建基本ACL 规则。
rule[rule-id]{deny|permit}[logging|source{source-ip-address{0|sourcewildcard}|address-setaddress-set-name|any}time-rangetime-name]*[descriptiondescription]
配置注意：
如配置时没有指定编号rule-id, 表示增加一条新的规则，此时系 统会根据步长，自动为规则分配一个大于现有规则最大编号且是 步长整数倍的最小编号。如配置时指定了编号rule-id,如果相应 的规则已经存在，表示对已有规则进行编辑，规则中没有编辑的 部分不受影响；如果相应的规则不存在，表示增加一条新的规则，并且按照指定的编号将其插入到相应的位置。
配置好ACL, 还需要将ACL 应用到相应的接口才会生效。应用ACL时，为了尽可能提高效率和降低对网络的影响，通常基本ACL 尽量部署在靠近目标主机的区域接口上，而高级ACL 尽量部署在靠近源主机所在区域的接口上。
四、典型例题
如下图所示，某公司的总部和分公司网络拓扑，分公司和总部数据中心通 过ISP1的网络和ISP2 的网络互连。并且连接5G出口作为应急链路，分公司和总部数据中心交互的业务有语音、视频、FTP和 HTTP四种。要求通过配置策略路由实现分公司访问业务分流。配置网 络质量分析(NQA) 与静态路由联动实现链路冗余。其中，语音和 视频以ISP1为主链路、ISP2 为备份；FTP 和 HTTP 以ISP2为主链路，ISP1为备份。
【问题1】(4分)
通过在R1上配置策略路由、以实现分公司访问总部的流量可根据业务类 型分组到L1和L2两条链路并形成主备关系，首先完成ACL 相关配置。
配置R1 上的ACL 来定义流：
首先定义视频业务流ACL2000:
[R1]ac12000
[R1-acl-basic-2000]rule 1 permit destination (1)0.0.255.255
[R1-acl-basic-2000]quit
定义Web业务流ACL 3000;
[R1]acl 3000
[R1-acl-adv-3000]rule 1 permit tcp destination any destination-port (2)0.0.255.255
[R1-acl-basic-3000]quit
答案：(1)2.2.0.0 (2)eq 80
【问题2】(8分)
完成R1策略路由剩余相关配置
1:创建流分类，匹配相关ACL 定义的流
[R1]traffic classifier video
[R1-classifier-video]if-matchacl 2000
[R1-classifier-video]quit
[Rl]traffic classifier web
[R1-classifier-web]if-match acl 3000
[R1-classifier-web]quit
2:创建流行为并配置重定向
[Rl]traffic behavior bl
[R1-behavior-bl]redirect ip-nexthop (3)
[R1-behavior-bl]quit
[R1]traffic behavior b2
[R1-behavior-b2]redirect ip-nexthop(4)
[R1-behavior-b2]quit
答案： (3)30.13.0.3 (4)40.14.0.4 (5)b2 (6)inbound
3:创建流策略，并在接口上应用
[R1]traffic policy pl
[R1-trafficpolicy-pl]classifier video behavior b1
[R1-trafficpolicy-pl]classifier web behavior (5)
[Rl-trafficpolicy-pl]quit
[R1]interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/0]traffic-policy 1(6)
[R1-GigabitEthernet0/0/0]quit文章来源：https://www.toymoban.com/news/detail-744172.html
答案：(5)b2(6)inbound 文章来源地址https://www.toymoban.com/news/detail-744172.html
到了这里，关于路由器基础（十一）：ACL 配置的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！
