ACL：Acess Control List，即訪問控制列表。這張表中包含了匹配關(guān)系、條件和查詢語句，表只是一個框架結(jié)構(gòu)，其目的是為了對某種訪問進(jìn)行控制。 信息點間通信，內(nèi)外網(wǎng)絡(luò)的通信都是企業(yè)網(wǎng)絡(luò)中必不可少的業(yè)務(wù)需求，但是為了保證內(nèi)網(wǎng)的安全性，需要通過安全策略來保障非授權(quán)用戶只能訪問特定的網(wǎng)絡(luò)資源，從而達(dá)到對訪問進(jìn)行控制的目的。簡而言之，ACL可以過濾網(wǎng)絡(luò)中的流量，控制訪問的一種網(wǎng)絡(luò)技術(shù)手段

ACL的作用 ACL可以限制網(wǎng)絡(luò)流量、提高網(wǎng)絡(luò)性能。例如，ACL可以根據(jù)數(shù)據(jù)包的協(xié)議，指定數(shù)據(jù)包的優(yōu)先級。 ACL提供對通信流量的控制手段。例如，ACL可以限定或簡化路由更新信息的長度，從而限制通過路由器某一網(wǎng)段的通信流量。 ACL是提供網(wǎng)絡(luò)安全訪問的基本手段。ACL允許主機(jī)A訪問人力資源網(wǎng)絡(luò)，而拒絕主機(jī)B訪問。

ACL常用的有兩種分別為基本ACL和高級ACL
基本ACL：標(biāo)準(zhǔn)ACL只檢查數(shù)據(jù)包的源地址（2000~2999）
高級ACL：擴(kuò)展ACL既檢查數(shù)據(jù)包的源地址，也檢查數(shù)據(jù)包的目的地址，同時還可以檢查數(shù)據(jù)包的特定協(xié)議類型、端口號等。（3000~3999）

基本ACL的使用

進(jìn)入R1路由器
<Huawei>system-view //進(jìn)入系統(tǒng)視圖
[Huawei]interface GigabitEthernet 0/0/0 //進(jìn)入0接口
[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.254 24 //添加ip地址
[Huawei]interface GigabitEthernet 0/0/1 //進(jìn)入1接口
[Huawei-GigabitEthernet0/0/1]ip address 192.168.4.1 24 //添加ip地址
啟用動態(tài)路由協(xié)議rip
[Huawei]rip
[Huawei-rip-1]network 192.168.1.0 //聲明自己直連網(wǎng)段
[Huawei-rip-1]network 192.168.4.0 //聲明自己直連網(wǎng)段

進(jìn)入R2路由器
<Huawei>system-view //進(jìn)入系統(tǒng)視圖
[Huawei]interface GigabitEthernet 0/0/0 //進(jìn)入0接口
[Huawei-GigabitEthernet0/0/0]ip address 192.168.4.2 24 //添加ip地址
[Huawei]interface GigabitEthernet 0/0/1 //進(jìn)入1接口
[Huawei-GigabitEthernet0/0/1]ip address 192.168.2.254 24 //添加ip地址
[Huawei]interface GigabitEthernet 0/0/2 //進(jìn)入2接口
[Huawei-GigabitEthernet0/0/2]ip address 192.168.5.1 24 //添加ip地址
啟用動態(tài)路由協(xié)議rip
[Huawei]rip
[Huawei-rip-1]network 192.168.2.0 //聲明自己直連網(wǎng)段
[Huawei-rip-1]network 192.168.4.0 //聲明自己直連網(wǎng)段
[Huawei-rip-1]network 192.168.5.0 //聲明自己直連網(wǎng)段

進(jìn)入R3路由器
<Huawei>system-view //進(jìn)入系統(tǒng)視圖
[Huawei]interface GigabitEthernet 0/0/0 //進(jìn)入0接口
[Huawei-GigabitEthernet0/0/0]ip address 192.168.5.2 24 //添加ip地址
[Huawei]interface GigabitEthernet 0/0/1 //進(jìn)入1接口
[Huawei-GigabitEthernet0/0/1]ip address 192.168.3.254 24 //添加ip地址
啟用動態(tài)路由協(xié)議rip
[Huawei]rip
[Huawei-rip-1]network 192.168.3.0 //聲明自己直連網(wǎng)段
[Huawei-rip-1]network 192.168.5.0 //聲明自己直連網(wǎng)段
[Huawei]acl 2000 //建立基本ACL
[Huawei-acl-basic-2000]rule 1 deny source 192.168.1.1 0 //添加ACL規(guī)則阻止來自192.168.1.1的報文
[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl 2000 //進(jìn)入接口并采用這個規(guī)則

現(xiàn)在在ping192.168.3.1不通代表成功了

高級ACL

剛剛配置不變
進(jìn)入路由器R3，0接口undo traffic-filter inbound
[Huawei-GigabitEthernet0/0/0]undo traffic-filter inbound

進(jìn)入R1路由器
[Huawei]acl name undo-5.1 advance //建立高級ACL并取名字
[Huawei-acl-adv-undo-5.1]rule 1 deny icmp source 192.168.1.1 0 destination 192.168.5.1 0
//建立規(guī)則1阻止來自192.168.1.1發(fā)到192.168.5.1的報文
//0代表完全匹配是0.0.0.0的簡寫 如果想阻止一個網(wǎng)段可以寫成 0.0.0.255 表示只關(guān)注前三位數(shù)。
[Huawei]interface GigabitEthernet 0/0/0 //進(jìn)入接口0
0[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl name undo-5.1 //采用剛剛建立的規(guī)則

最后ping不通192.168.5.1代表成功

與基本ACL相比高級ACL更精準(zhǔn)的控制

轉(zhuǎn)載于:https://blog.51cto.com/13585704/2082912

總結(jié)

以上是生活随笔為你收集整理的基本ACL与高级ACL的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。