您订阅的产品有更新，请实时查阅
查看详情您订阅的产品有更新，请实时查阅
查看详情首页 >服务与支持 >常见问题 >ACL是什么，若何配置？
颁布功夫：2023-03-24
点击量：3516ACL（Access Control List，接见节造列表）也称为接见列表，有的文档中还称之为包过滤。ACL通过界说一系列蕴含“允许”或“回绝”的规定语句，并将这些规定利用到设备接口上，对进出接口的数据包进行节造，从而提升网络设备的安全性。
配置ACL可能保险网络安全、靠得住和不变，例如：
l 预防报文攻击：针对IP、TCP或者ICMP报文的攻击，对这些攻击报文做“回绝”处置。
l 网络接见节造：限杜酌户接见服务，例如只允许接见WWW和电子邮件服务，其他服务如Telnet则不容；蛘咧辉市碓诟ǖ墓Ψ蚨文诮蛹，或者只允许特定主机接见网络等。
l 网络流量节造：结合QoS可以为沉要的数据流进行优先服务保障。关于QoS的配置请拜见“QoS”。
l 接见列表
接见列表有：根基接见列表和动态接见列表。
用户能够凭据必要选择根基接见列表或动态接见列表。通常情况下，使用根基接见列表已经可能满足安全必要。但攻击者可能通过软件假冒源地址糊弄设备，从而接见网络。而动态接见列表在用户接见网络以前，要求通过身份认证，使攻击者难以接见网络。在敏感区域能够使用动态接见列表保障网络安全。
注明
通过假冒源地址糊弄设备即电子糊弄是所有接见列表固有的问题，使用动态列表也会遭逢电子糊弄问题：攻击者可能在用户通过身份认证的有效接见期间，假冒用户的地址接见网络。解决该问题的步骤有两种，一种是尽量设置更短的用户接见空闲功夫；另一种是使用IPsec加密和谈对网络数据进行加密，确保进入设备时，所有的数据都是加密的。
接见列表通常配置在以下地位的网络设备上：
○ 内部网和表部网（如Internet）之间的设备
○ 两个网络接壤部门的设备
○ 接入节造端口的设备
ACE（Access Control Entry，接见节造条款）是蕴含“允许（Permit）”或“回绝（Deny）”两种作为，以及过滤规定的一条语句。每个ACE都有一个序号，该序号可由设备自动分配或者手动配置。一条ACL中蕴含一个或者多个ACE。ACL通过ACE对数据包进行标识过滤。
ACL中ACE的挨次决定了该ACE在接见列表中的匹配优先级。网络设备在处置报文时，按ACE的序号从幼到猛进行规定匹配，倒匾到匹配的ACE后则终场查抄后续的ACE。
例如创建一条序号为10的ACE，它回绝所有的数据流通过。
10 deny ip any any
20 permit tcp 192.168.12.0 0.0.0.255 eq telnet any
由于序号为10的ACE回绝了所有的IP报文，即便192.168.12.0/24网络的主机Telnet报文，能够被序号为20的ACE匹配，该报文也将被回绝。由于设备在查抄到报文和序号为10的ACE匹配后，便终场查抄后面序号为20的ACE。
又例如创建一条编号为10的ACE，它允许所有的IPv6数据流通过。
10 permit ipv6 any any
20 deny ipv6 host 200::1 any
由于序号为10的ACE允许所有的IPv6报文通过，主机200::1发出的IPv6报文，即便匹配序号为20的ACE，该报文也将被允许通过。由于设备在查抄到报文和第一条ACE匹配，便终场查抄后面序号为20的ACE。
l 步长
当设备为ACE自动分配序号时，两个相邻ACE序号之间的差值，称为步长。例如，若是将步长设定为5，则设备依照5、10、15…这样的递增挨次自动为ACE分配序号。如下所示。
5 deny ip any any
10 permit tcp 192.168.12.0 0.0.0.255 eq telnet any
当步长扭转后，ACE序号会自动按新步长值沉新分配。例如，当把步长改为10后，原来ACE序号从5、10、15造成5、15、25。
通过扭转步长能够在两个ACE之间插入新的ACE。例如创建了4个ACE，并通过手动配置ACE序号别离为1、2、3和4。若是但愿能在序号1后面插入一条新的ACE，则能够先将步长批改为2，此时原先4个ACE的序号自动变为1、3、5和7，再插入一条手动配置的序号为2的ACE。
l 过滤域模板
过滤域指的是天生一条ACE时，凭据报文中的哪些字段对报文进行鉴别、分类。过滤域模板就是这些字段的组合。ACE凭据以太网报文的某些字段来标识以太网报文，这些字段蕴含：
二层字段（Layer 2 Fields）：
○ 48位的源MAC地址（必须申明所有48位）
○ 48位的主张MAC地址（必须申明所有48位）
○ 16位的二层类型字段
三层字段（Layer 3 Fields）：
○ 源IP地址字段（能够申明全数源IP地址值，或使用子网来界说一类流）
○ 主张IP地址字段（能够申明全数主张IP地址值，或使用子网来界说一类流）
○ 和谈类型字段
四层字段（Layer 4 Fields）：
○ 能够申明一个TCP的源端口、主张端口或者都申明，还能够申明源端口或主张端口的领域。
○ 能够申明一个UDP的源端口、主张端口或者都申明，还能够申明源端口或主张端口的领域。
例如，在创建一条ACE时必要凭据报文的主张IP字段，对报文进行鉴别和分类。而在创建另一条ACE时，必要凭据报文的源IP地址字段和UDP的源端口字段，对报文进行鉴别和分类。这两条ACE就使用了分歧的过滤域模板。
l 规定
规定（Rules）指的是ACE过滤域模板对应的值。例如，一条ACE的内容如下：
10 permit tcp host 192.168.12.2 any eq telnet
在这条ACE中，过滤域模板为以下字段的集中：源IP地址字段、主张IP地址字段、IP和谈字段、TCP主张端口字段。对应的值（即规定）别离为：源IP地址为Host 192.168.12.2、主张IP地址为Any（即所有主机）、IP和谈为TCP、TCP主张端口为Telnet。如图1-1所示。
图1-1 对ACE：permit tcp host 192.168.12.2 any eq telnet的分析
通过配置IP尺度ACL，不容财政部以表的部门接见财政数据服务器。
图1-3 IP尺度ACL利用场景组网图
l Device A配置IP尺度ACL并增长接见规定。
l Device A将IP尺度ACL利用在衔接财政数据服务器接口的出方向上。
(1) 配置IP尺度ACL并增长接见规定。
# Device A配置IP尺度ACL并增长接见规定。
DeviceA> enable
DeviceA# configure terminal
DeviceA(config)# ip access-list standard 1
DeviceA(config-std-nacl)# permit 10.1.1.0 0.0.0.255
DeviceA(config-std-nacl)# deny 11.1.1.1 0.0.0.255
DeviceA(config-std-nacl)# exit
(2) 将IP尺度ACL利用到接口上。
# Device A将ACL利用在衔接财政数据服务器接口的出方向上。
DeviceA(config)# interface gigabitethernet 0/3
DeviceA(config-if-GigabitEthernet 0/3)# ip access-group 1 out
# 查抄Device A设备ACL配置号令是否正确。
DeviceA# show access-lists
ip access-list standard 1
10 permit 10.1.1.0 0.0.0.255
20 deny 11.1.1.0 0.0.0.255
DeviceA# show access-group
ip access-group 1 out
Applied On interface GigabitEthernet 0/3
# 从开发部的某台PC机上ping财政数据服务器，确认ping不通。
# 从财政部的某台PC机上ping财政数据服务器，确认能ping通。
l DeviceA的配置文件
hostname DeviceA
!
ip access-list standard 1
10 permit 10.1.1.0 0.0.0.255
20 deny 11.1.1.0 0.0.0.255
!
interface GigabitEthernet 0/1
no switchport
ip address 10.1.1.1 255.255.255.0
!
interface GigabitEthernet 0/2
no switchport
ip address 11.1.1.1 255.255.255.0
!
interface GigabitEthernet 0/3
no switchport
ip access-group 1 out
ip address 12.1.1.1 255.255.255.0
!
文档评价
