华为数通-访问控制列表

访问控制列表

概念：访问控制列表也叫做ACL，由一系列规则组合而成，访问控制列表通过这一系列规则对报文进行分类，从而使设备可以对不同类型的报文进行不同的处理动作。

ACL工作原理

（1）根据事先设定好的报文匹配规则对经过该设备的报文进行匹配；（2）对匹配的报文执行事先设定好的动作；

ACL规则管理

（1）每条规则通过规则ID进行表示，规则ID可以自行设置，也可以由系统根据步长自动生成；

（2）CL规则按照规则ID从小到大的顺序依次匹配；

（3）ACL默认步长为5，可以修改。步长指的是规则ID之间的间隔。

ACL规则匹配过程

（1）配置了访问控制列表的设备在收到报文后，会将该报文与ACL中的规则进行逐条匹配；

（2）如果无法匹配当前规则，则继续匹配下一跳规则；

（3）一旦匹配上某条规则，则执行这条规则预设的动作，并且停止匹配；

（4）如果没有匹配上任意一条规则，则执行默认规则，默认规则为permit。

ACL的分类

（1）基本访问控制列表（简单访问控制列表）

（2）高级访问控制列表

（3）二层访问控制列表

（4）用户自定义访问控制列表

基本访问控制列表

只能基于IP的源IP地址、报文分片和时间信息来定义规则，编号范围为2000-2999.

基本ACL在应用时，尽量靠近目的接口上。

基本ACL的配置方法

（1）创建ACL列表

    Acl 2000

（2）配置规则

    Rule规则ID 动作 source 源IP地址/IP地址段 反掩码

（3）接口应用

    进入对应接口视图

    traffic-fitter 方向（数据包进方向（inbond）或者出方向（outbond）） ACL 2000

高级访问控制列表

    高级访问控制列表可以根据IP报文的源IP地址、目的IP地址、协议字段的值、优先级、长度、TCP源端口、TCP目的端口、UDP源端口、UDP目的端口等信息来定义规则，编号范围为3000-3999。

  高级ACL在应用时，尽量靠近源接口。

  根据不同的协议类型，在配置ACL的规则时，有不同的参数组合；

  当参数protocol（协议）为IP时，用来控制源和目的之间的允许或者禁止访问（所有的访问：icmp，http，ftp等），比如，允许/禁止源192.168.10.0/24访问192.168.20.0/24：rule 5 permit/deny ip source 源IP 反掩码 destanation 目的IP 反掩码；

   当参数protocol（协议）为 ICMP时，用来控制源和目的之间的ping允许和禁止操作，比如：允许/禁止192.168.10.0/24ping192.168.20.0/24：rule 5 permit/deny icmp source 源IP 反掩码 destanation 目的IP 反掩码；

    当参数protocol（协议）为 TCP时，用来控制源和目的之间某个应用或者/协议之间的允许或禁止访问，比如：允许/禁止源192.168.10.0/24访问192.168.20.1/32的http或者ftp或者/DNS：rule 5 permit/deny tcp source 源IP 反掩码 destanation 目的ip 反掩码 destanation再port eq 80/21；

在这里有一些自己的拙见，关于在写规则时怎么写：

先写特殊的，再写大众的，一定要注意默认的（默认全通）；

特殊：禁止192.168.10.0/24访问192.168.20.1/32的http服务；

大众：其他的都允许（除了192.168.10.0/24以外，其余的都可以访问192.168.20.1/32的http服务）；

特殊：只允许192.168.10.0/24访问192.168.20.1/32的ftp服务；

大众：其他都禁止(禁止访问20.1的ftp服务)（rule deny tcp source any destanation 192.168.20.1 0 destation-port eq 21 ）

ACL的应用

（1）找接口：简单ACL找靠近目的网段的接口/高级ACL找靠近源的接口

（2）找方向：outbond或者inbond;

（3）在接口下调用流量过滤器：traffic-fifter inbond/outbond acl 3000/2000