ACL 访问控制列表

技术信息

访问控制列表(ACL)是一种基于包过滤的访问控制技术，它可以根据设定的条件对接口上的数据包进行过滤，允许其通过或丢弃。访问控制列表被广泛地应用于路由器和三层交换机，借助于访问控制列表，可以有效地控制用户对网络的访问，从而最大程度地保障网络安全。

工作原理

• 当一个数据包进入一个端口，路由器检查这个数据包是否可路由。
• 如果是可以路由的，路由器检查这个端口是否有 ACL 控制进入数据包。
• 如果有，根据 ACL 中的条件指令，检查这个数据包。
• 如果数据包是被允许的，就查询路由表，决定数据包的目标端口。
• 路由器检查目标端口是否存在 ACL 控制流出的数据包。
• 若不存在，这个数据包就直接发送到目标端口
• 若存在，就再根据 ACL 进行取舍。然后在转发到目的端口。

标准 ACL

• 标准的 ACL 号：

  • 华为：2000-2999
  • 锐捷: 1-99，1300-1999

• ACL 默认最后有一条 deny any，故允许（permit）的 ACL 应该写在上面。若是禁止某网段访问，其他网段均放通，则应该在最后加一条 permit any。

• 标准的 ACL 只匹配源 IP 地址（不写掩码只是匹配单个 ip，可以写掩码）

• 如果是单个 IP 地址，可写为 access-list 5 permit host 192.168.1.1​​

扩展 ACL

扩展 ACL 号：

华为：3000-3999

锐捷: 100-199，2000-2699

扩展 ACL 可匹配源地址、目的地址、IP 协议，tcp、udp、icmp、igmp 待协议； 如要允许所有目的端口是 tcp80 端口的流量：access-list 100 per tcp any any eq 80​

配置方向

首先要明确 IN 和 OUT 方向是相对的，要根据数流的方向判断，以路由器为中心，数据流进入的方向是 IN 方向，数据流经过路由器转发出去的方向是 OUT 方向。以下图为例子，当数据经过 e0/0 到达 R4，再经过 e0/1 转发，则对于该路由器而已，该数据的 e0/0 口是 IN 方向，e0/1 口是 OUT 方向，若对该数据进行做 ACL，可以选择在 IN 方向或者 OUT 方向上做都可以，后面有例子解析。