您订阅的产品有更新 ，请实时查阅
查看详情您订阅的产品有更新 ，请实时查阅
查看详情首页 >服务与支持 >常见问题 >ACL是什么 ，若何配置？
颁布功夫：2023-03-24
点击量：3516ACL（Access Control List ，接见节造列表）也称为接见列表 ，有的文档中还称之为包过滤 。ACL通过界说一系列蕴含“允许”或“回绝”的规定语句 ，并将这些规定利用到设备接口上 ，对进出接口的数据包进行节造 ，从而提升网络设备的安全性 。
配置ACL可能保险网络安全、靠得住和不变 ，例如：
l 预防报文攻击：针对IP、TCP或者ICMP报文的攻击 ，对这些攻击报文做“回绝”处置 。
l 网络接见节造：限杜酌户接见服务 ，例如只允许接见WWW和电子邮件服务 ，其他服务如Telnet则不容 ；蛘咧辉市碓诟ǖ墓Ψ蚨文诮蛹 ，或者只允许特定主机接见网络等 。
l 网络流量节造：结合QoS可以为沉要的数据流进行优先服务保障 。关于QoS的配置请拜见“QoS” 。
l 接见列表
接见列表有：根基接见列表和动态接见列表 。
用户能够凭据必要选择根基接见列表或动态接见列表 。通常情况下 ，使用根基接见列表已经可能满足安全必要 。但攻击者可能通过软件假冒源地址糊弄设备 ，从而接见网络 。而动态接见列表在用户接见网络以前 ，要求通过身份认证 ，使攻击者难以接见网络 。在敏感区域能够使用动态接见列表保障网络安全 。
注明
通过假冒源地址糊弄设备即电子糊弄是所有接见列表固有的问题 ，使用动态列表也会遭逢电子糊弄问题：攻击者可能在用户通过身份认证的有效接见期间 ，假冒用户的地址接见网络 。解决该问题的步骤有两种 ，一种是尽量设置更短的用户接见空闲功夫 ；另一种是使用IPsec加密和谈对网络数据进行加密 ，确保进入设备时 ，所有的数据都是加密的 。
接见列表通常配置在以下地位的网络设备上：
○ 内部网和表部网（如Internet）之间的设备
○ 两个网络接壤部门的设备
○ 接入节造端口的设备
ACE（Access Control Entry ，接见节造条款）是蕴含“允许（Permit）”或“回绝（Deny）”两种作为 ，以及过滤规定的一条语句 。每个ACE都有一个序号 ，该序号可由设备自动分配或者手动配置 。一条ACL中蕴含一个或者多个ACE 。ACL通过ACE对数据包进行标识过滤 。
ACL中ACE的挨次决定了该ACE在接见列表中的匹配优先级 。网络设备在处置报文时 ，按ACE的序号从幼到猛进行规定匹配 ，倒匾到匹配的ACE后则终场查抄后续的ACE 。
例如创建一条序号为10的ACE ，它回绝所有的数据流通过 。
10 deny ip any any
20 permit tcp 192.168.12.0 0.0.0.255 eq telnet any
由于序号为10的ACE回绝了所有的IP报文 ，即便192.168.12.0/24网络的主机Telnet报文 ，能够被序号为20的ACE匹配 ，该报文也将被回绝 。由于设备在查抄到报文和序号为10的ACE匹配后 ，便终场查抄后面序号为20的ACE 。
又例如创建一条编号为10的ACE ，它允许所有的IPv6数据流通过 。
10 permit ipv6 any any
20 deny ipv6 host 200::1 any
由于序号为10的ACE允许所有的IPv6报文通过 ，主机200::1发出的IPv6报文 ，即便匹配序号为20的ACE ，该报文也将被允许通过 。由于设备在查抄到报文和第一条ACE匹配 ，便终场查抄后面序号为20的ACE 。
l 步长
当设备为ACE自动分配序号时 ，两个相邻ACE序号之间的差值 ，称为步长 。例如 ，若是将步长设定为5 ，则设备依照5、10、15…这样的递增挨次自动为ACE分配序号 。如下所示 。
5 deny ip any any
10 permit tcp 192.168.12.0 0.0.0.255 eq telnet any
当步长扭转后 ，ACE序号会自动按新步长值沉新分配 。例如 ，当把步长改为10后 ，原来ACE序号从5、10、15造成5、15、25 。
通过扭转步长能够在两个ACE之间插入新的ACE 。例如创建了4个ACE ，并通过手动配置ACE序号别离为1、2、3和4 。若是但愿能在序号1后面插入一条新的ACE ，则能够先将步长批改为2 ，此时原先4个ACE的序号自动变为1、3、5和7 ，再插入一条手动配置的序号为2的ACE 。
l 过滤域模板
过滤域指的是天生一条ACE时 ，凭据报文中的哪些字段对报文进行鉴别、分类 。过滤域模板就是这些字段的组合 。ACE凭据以太网报文的某些字段来标识以太网报文 ，这些字段蕴含：
二层字段（Layer 2 Fields）：
○ 48位的源MAC地址（必须申明所有48位）
○ 48位的主张MAC地址（必须申明所有48位）
○ 16位的二层类型字段
三层字段（Layer 3 Fields）：
○ 源IP地址字段（能够申明全数源IP地址值 ，或使用子网来界说一类流）
○ 主张IP地址字段（能够申明全数主张IP地址值 ，或使用子网来界说一类流）
○ 和谈类型字段
四层字段（Layer 4 Fields）：
○ 能够申明一个TCP的源端口、主张端口或者都申明 ，还能够申明源端口或主张端口的领域 。
○ 能够申明一个UDP的源端口、主张端口或者都申明 ，还能够申明源端口或主张端口的领域 。
例如 ，在创建一条ACE时必要凭据报文的主张IP字段 ，对报文进行鉴别和分类 。而在创建另一条ACE时 ，必要凭据报文的源IP地址字段和UDP的源端口字段 ，对报文进行鉴别和分类 。这两条ACE就使用了分歧的过滤域模板 。
l 规定
规定（Rules）指的是ACE过滤域模板对应的值 。例如 ，一条ACE的内容如下：
10 permit tcp host 192.168.12.2 any eq telnet
在这条ACE中 ，过滤域模板为以下字段的集中：源IP地址字段、主张IP地址字段、IP和谈字段、TCP主张端口字段 。对应的值（即规定）别离为：源IP地址为Host 192.168.12.2、主张IP地址为Any（即所有主机）、IP和谈为TCP、TCP主张端口为Telnet 。如图1-1所示 。
图1-1 对ACE：permit tcp host 192.168.12.2 any eq telnet的分析
通过配置IP尺度ACL ，不容财政部以表的部门接见财政数据服务器 。
图1-3 IP尺度ACL利用场景组网图
l Device A配置IP尺度ACL并增长接见规定 。
l Device A将IP尺度ACL利用在衔接财政数据服务器接口的出方向上 。
(1) 配置IP尺度ACL并增长接见规定 。
# Device A配置IP尺度ACL并增长接见规定 。
DeviceA> enable
DeviceA# configure terminal
DeviceA(config)# ip access-list standard 1
DeviceA(config-std-nacl)# permit 10.1.1.0 0.0.0.255
DeviceA(config-std-nacl)# deny 11.1.1.1 0.0.0.255
DeviceA(config-std-nacl)# exit
(2) 将IP尺度ACL利用到接口上 。
# Device A将ACL利用在衔接财政数据服务器接口的出方向上 。
DeviceA(config)# interface gigabitethernet 0/3
DeviceA(config-if-GigabitEthernet 0/3)# ip access-group 1 out
# 查抄Device A设备ACL配置号令是否正确 。
DeviceA# show access-lists
ip access-list standard 1
10 permit 10.1.1.0 0.0.0.255
20 deny 11.1.1.0 0.0.0.255
DeviceA# show access-group
ip access-group 1 out
Applied On interface GigabitEthernet 0/3
# 从开发部的某台PC机上ping财政数据服务器 ，确认ping不通 。
# 从财政部的某台PC机上ping财政数据服务器 ，确认能ping通 。
l DeviceA的配置文件
hostname DeviceA
!
ip access-list standard 1
10 permit 10.1.1.0 0.0.0.255
20 deny 11.1.1.0 0.0.0.255
!
interface GigabitEthernet 0/1
no switchport
ip address 10.1.1.1 255.255.255.0
!
interface GigabitEthernet 0/2
no switchport
ip address 11.1.1.1 255.255.255.0
!
interface GigabitEthernet 0/3
no switchport
ip access-group 1 out
ip address 12.1.1.1 255.255.255.0
!
文档评价
