ACL#

1
1.在traffic-filter中去调用   这节课会着重讲
2
2.防火墙的策略部署中去调用
3
3.在路由策略中调用
4
4.在nat中去调用

1
ACL是由一系列的permit（允许）、deny（拒绝）语句组成
2
每条语句就是我们acl的规则
3
规则中的permit或者deny就是这条规则中的动作

1
分为5类：基于编号
2
基本ACL（常用）：2000-2999  针对报文的源IP地址   配置简单   局限性也会大
3
高级ACL（常用）：3000-3999  针对报文的源IP、目的IP、IP协议类型、icmp的协议类型（echo  echo-reply）、、、、、、
4
二层ACL：4000-4999   基于MAC
5
用户自定义ACL：5000-5999
6
用户ACL：6000-6999

1
数字型ACL
2
命名型ACL      acl denyhttp

1
[Huawei]acl 2000
2
[Huawei-acl-basic-2000]rule ?
3
  INTEGER<0-4294967294>  ID of ACL rule
4
  deny                   Specify matched packet deny
5
  permit                 Specify matched packet permit
6
[Huawei-acl-basic-2000]rule permit ?
7
  fragment             Check fragment packet
8
  none-first-fragment  Check the subsequence fragment packet
9
  source               Specify source address
10
  time-range           Specify a special time
11
  vpn-instance         Specify a VPN-Instance
12
  <cr>                 Please press ENTER to execute command
13
[Huawei-acl-basic-2000]rule permit source 1.1.1.0 0.0.0.255   //写具体的基本acl规则  允许源IP为1.1.1.0
14
[Huawei-acl-basic-2000]rule deny source 2.2.2.0 0.0.0.255
15
[Huawei-acl-basic-2000]rule deny source 3.3.3.0 0.0.0.255
16
[Huawei-acl-basic-2000]dis this
17
[V200R003C00]
18
#
19
acl number 2000
20
 rule 5 permit source 1.1.1.0 0.0.0.255
21
 rule 10 deny source 2.2.2.0 0.0.0.255
22
 rule 15 deny source 3.3.3.0 0.0.0.255
23
#
24
rule   //规则
25
5，10，15      //步长  默认步长为5  间隔也为5（越小越优先）
26
permit  deny   //动作 允许/拒绝
27
source 1.1.1.0 0.0.0.255   //源IP地址为1.1.1.0
28
0.0.0.255    //通配符  与反掩码不一样
29
0严格匹配  1不匹配，随意          R1的ip为1.1.1.1/24
30
1.1.1.0   00000001.00000001.00000001.00000000
31
0.0.0.255 00000000.00000000.00000000.11111111
32
1.1.1.1   00000001.00000001.00000001.00000001      允许通过
33

34
通配符他的0和1是可以交叉的可以不连续    00000000.00000000.00000000.11111111  √   00000000.11111111.00000000.11111111    √
35
反掩码他的0和1是不可交叉的必须连续  0永远在左 1永远在右   00000000.00000000.00000000.11111111  √   00000000.11111111.00000000.11111111  不合法
36

37
利用通配符匹配单双路由（涉及IE）
38
源ip 1.1.1.0    通配符0.0.0.254   动作  permit
39
1.1.1.0   00000001.00000001.00000001.00000000
40
0.0.0.254 00000000.00000000.00000000.11111110
41

42
问：1.1.1.1    00000001.00000001.00000001.00000001    不能通过
43
   1.1.1.2    00000001.00000001.00000001.00000010     通过
44
   1.1.1.3    00000001.00000001.00000001.00000011     不能通过
45
   ······
46

47
安全 全NA+部分NP
48
网络 全NA+全NP+全IE

1
ACL的匹配顺序自上而下（步长越小越优先）

1
一旦满足匹配条件 跳出查询
2
#
3
acl number 2000
4
 rule 5 permit source 1.1.1.0 0.0.0.255
5
 rule 10 deny source 2.2.2.0 0.0.0.255
6
 rule 15 deny source 3.3.3.0 0.0.0.255
7
 rule 20 permit source 2.2.2.0 0.0.0.255
8
#
9
[Huawei-acl-basic-2000]undo rule 20   //删除规则
10
[Huawei-acl-basic-2000]rule 3 permit source 2.2.2.0 0.0.0.255

1
基本ACL放在离目的近的地方
2
高级ACL放在离源近的地方

1
最后一条隐藏规则
2

3
华为设备中：
4
rule xxxx permit source 0.0.0.0 255.255.255.255     //放行所有流量  允许所有
5
（在虚拟链路VTY中 最后一条  rule xxxx deny source 0.0.0.0 255.255.255.255   //拒绝所有   ）
6
思科设备：
7
rule xxxx deny source 0.0.0.0 255.255.255.255   //拒绝所有

1
acl只过滤经过本地的数据包  不会过滤自身产生的数据包      双标

1
[acl]int g0/0/0   //进接口
2
[acl-GigabitEthernet0/0/0]traffic-filter ?
3
  inbound   Apply ACL to the inbound direction of the interface    进栈方向
4
  outbound  Apply ACL to the outbound direction of the interface    出栈方向
5
[acl-GigabitEthernet0/0/0]traffic-filter outbound acl 2000    //在G0/0/0接口上的出栈方向调用ACL
6

7
同方向上只能存在一条acl
8
同一个接口里可以存在不只一条acl

1
[acl-GigabitEthernet0/0/1]undo traffic-filter outbound
2
[acl]undo acl 2000       //删除acl的两步骤
3

4
[acl-acl-adv-3000]rule deny icmp source 12.12.12.1 0.0.0.0 destination 23.23.23.3 0.0.0.0