[NetWork] ACL访问控制列表

BreezeCloud

发布于 2022-11-18 15:48:10

8460

发布于 2022-11-18 15:48:10

文章被收录于专栏：摸鱼网工摸鱼网工

ACL概述

又叫访问控制列表用于数据流的匹配和筛选

ACL的常见功能

访问控制列表：ACL+Packet-filter 用ACL搭配包过滤路由控制：ACL+Route-policy 用ACL将要匹配的数据提取出来，在配合路由策略在实现其他功能流量控制：ACL+QOS 用ACL将要匹配的数据提取出来，配置QOS策略做相关的操作

ACL的配置

ACL策略的应用方向很重要对进出的数据包逐个检测，丢弃或者允许通过包过滤必须配置在接口的某个方向上才能生效接口的一个方向只能配置一个包过滤

ACL方向

入方向：只对从外部进入的数据包做过滤出方向：只对从内部发出的数据包做过滤

包过滤的工作流程

根据规则递进查询，匹配规则看规则是允许还是拒绝，拒绝则丢弃，允许则放行如果所有的都匹配完了还没有进行操作，则匹配最后的默认规则，是放行还是拒绝 [H3C] (包过滤)默认允许（其他拒绝） [Cisco] 默认拒绝

注意事项

如果默认规则是允许，至少要配置一项拒绝规则才有意义如果默认规则是拒绝，则至少要配置一项允许规则才有意义把小范围的规则往前靠在不影响实际效果的前提下，把包过滤尽量配置在离原地址最近的接口的入方向

ACL的分类

【基本ACL】只做简单规则，只对数据包的源地址进行匹配，例如大范围的策略控制编号在2000-2999 【高级ACL】会针对数据包的五元素进行精确匹配 1.源IP 2.目的IP 3.源端口 4.目的端口 5.协议（三层协议(UDP、TCP)）编号在3000 - 3999

ACL的配置

acl basic [acl-number] 
//&#x521B;&#x5EFA;&#x57FA;&#x672C;ACL
acl advanced [acl-number]
//&#x521B;&#x5EFA;&#x9AD8;&#x7EA7;ACL
[&#x57FA;&#x672C;ACL&#x89C6;&#x56FE;] rule [rule-id] permit/deny source [ip address] [wild-mask]
//&#x521B;&#x5EFA; [rule-id]&#x7684;&#x89C4;&#x5219;&#xFF0C;&#x89C4;&#x5219;&#x662F;&#x5141;&#x8BB8;/&#x62D2;&#x7EDD; &#x6E90;&#x5730;&#x5740;&#x5339;&#x914D; [ip address] [&#x53CD;&#x7F51;&#x63A9;&#x7801;&#x5339;&#x914D;&#x8303;&#x56F4;]
[&#x9AD8;&#x7EA7;ACL&#x89C6;&#x56FE;] rule [rule-id] permit/deny [protocol] source [ip address] [wild-mask] source-port [port] destination [ip address] [wild-mask] destination-port [eq/lt/gt/neq]
//&#x521B;&#x5EFA;[rule-id]&#x7684;&#x89C4;&#x5219;&#xFF0C;&#x89C4;&#x5219;&#x662F;&#x5141;&#x8BB8;/&#x62D2;&#x7EDD; [&#x534F;&#x8BAE;/udp/tcp] &#x6E90;&#x5730;&#x5740;&#x4E3A;[ip address] [&#x53CD;&#x7F51;&#x63A9;&#x7801;&#x5339;&#x914D;] &#x6E90;&#x7AEF;&#x53E3;[port] &#x76EE;&#x7684;&#x5730;&#x5740; [ip address] [&#x53CD;&#x7F51;&#x63A9;&#x7801;&#x5339;&#x914D;] &#x76EE;&#x7684;&#x7AEF;&#x53E3; [&#x8303;&#x56F4;&#x662F;eq(&#x7B49;&#x4E8E;)gt(&#x5927;&#x4E8E;)lt(&#x5C0F;&#x4E8E;)neq(&#x4E0D;&#x7B49;&#x4E8E;)range(&#x4E4B;&#x95F4;)]
[&#x63A5;&#x53E3;&#x89C6;&#x56FE;]packet-filter [acl-number] [inbound/outbound]
//&#x5728;&#x63A5;&#x53E3;&#x4E2D;&#x5E94;&#x7528;ACL&#x89C4;&#x5219;&#xFF0C;&#x914D;&#x7F6E;&#x5728;&#x63A5;&#x53E3;&#x7684;&#x5165;&#x65B9;&#x5411;&#x6216;&#x8005;&#x51FA;&#x65B9;&#x5411;
[&#x7CFB;&#x7EDF;&#x89C6;&#x56FE;] packet-filter default deny/permit
//&#x66F4;&#x6539;&#x9ED8;&#x8BA4;&#x52A8;&#x4F5C;&#x4E3A;&#x5141;&#x8BB8;or&#x62D2;&#x7EDD;

本文参与腾讯云自媒体同步曝光计划，分享自作者个人站点/博客。

原始发表：2022 年 11 月，如有侵权请联系 cloudcommunity@tencent.com 删除

tcp/ip

本文分享自作者个人站点/博客前往查看

如有侵权，请联系 cloudcommunity@tencent.com 删除。

本文参与腾讯云自媒体同步曝光计划，欢迎热爱写作的你一起参与！

tcp/ip

登录后参与评论

0 条评论

热度