華為設(shè)備 訪問控制列表 ACL的原理與配置

1、訪問控制列表訪問控制列表學(xué)習(xí)目標(biāo)學(xué)習(xí)目標(biāo)l理解訪問控制列表的基本原理理解訪問控制列表的基本原理l掌握標(biāo)準(zhǔn)和擴(kuò)展訪問控制列表的配掌握標(biāo)準(zhǔn)和擴(kuò)展訪問控制列表的配置方法置方法l掌握地址轉(zhuǎn)換的基本原理和配置方掌握地址轉(zhuǎn)換的基本原理和配置方法法學(xué)習(xí)完本課程，您應(yīng)該能夠：學(xué)習(xí)完本課程，您應(yīng)該能夠：課程內(nèi)容課程內(nèi)容訪問控制列表訪問控制列表訪問控制列表實(shí)例訪問控制列表實(shí)例IPIP包過(guò)濾技術(shù)介紹包過(guò)濾技術(shù)介紹l對(duì)路由器需要轉(zhuǎn)發(fā)的數(shù)據(jù)包，先獲取包頭信息，然后和設(shè)定的規(guī)則進(jìn)行比較，根據(jù)比較的結(jié)果對(duì)數(shù)據(jù)包進(jìn)行轉(zhuǎn)發(fā)或者丟棄。而實(shí)現(xiàn)包過(guò)濾的核心技術(shù)是訪問控制列表。RInternet公司總部?jī)?nèi)部網(wǎng)絡(luò)未授權(quán)用戶辦事處訪問控制

2、列表的作用訪問控制列表的作用l訪問控制列表可以用于防火墻；l訪問控制列表可以用于Qos（Quality of Service），對(duì)數(shù)據(jù)流量進(jìn)行控制；l在DCC中，訪問控制列表還可用來(lái)規(guī)定觸發(fā)撥號(hào)的條件；l訪問控制列表還可以用于地址轉(zhuǎn)換；l在配置路由策略時(shí)，可以利用訪問控制列表來(lái)作路由信息的過(guò)濾。訪問控制列表是什么？訪問控制列表是什么？l一個(gè)IP數(shù)據(jù)包如下圖所示（圖中IP所承載的上層協(xié)議為TCP/UDP）：IP報(bào)頭報(bào)頭TCP/UDP報(bào)頭報(bào)頭數(shù)據(jù)數(shù)據(jù)協(xié)議號(hào)協(xié)議號(hào)源地址源地址目的地址目的地址源端口源端口目的端口目的端口對(duì)于TCP/UDP來(lái)說(shuō)，這5個(gè)元素組成了一個(gè)TCP/UDP相關(guān)，訪問控制列表就是利

3、用這些元素定義的規(guī)則如何標(biāo)識(shí)訪問控制列表？如何標(biāo)識(shí)訪問控制列表？l利用數(shù)字標(biāo)識(shí)訪問控制列表l利用數(shù)字范圍標(biāo)識(shí)訪問控制列表的種類列表的種類列表的種類數(shù)字標(biāo)識(shí)的范圍數(shù)字標(biāo)識(shí)的范圍IP standard list199IP extended list100199標(biāo)準(zhǔn)訪問控制列表標(biāo)準(zhǔn)訪問控制列表l標(biāo)準(zhǔn)訪問控制列表只使用源地址描述數(shù)據(jù)，表明是允許還是拒絕。從/24來(lái)的數(shù)據(jù)包可以通過(guò)！從/24來(lái)的數(shù)據(jù)包不能通過(guò)！路由器標(biāo)準(zhǔn)訪問控制列表的配置標(biāo)準(zhǔn)訪問控制列表的配置l配置標(biāo)準(zhǔn)訪問列表的命令格式如下：acl acl-number match-order auto

4、| config rule normal | special permit | deny source source-addr source-wildcard | any 怎樣利用 IP 地址 和 反掩碼wildcard-mask 來(lái)表示一個(gè)網(wǎng)段?如何使用反掩碼如何使用反掩碼l反掩碼和子網(wǎng)掩碼相似，但寫法不同：0表示需要比較1表示忽略比較l反掩碼和IP地址結(jié)合使用，可以描述一個(gè)地址范圍。000255只比較前24位003255只比較前22位0255255255只比較前8位擴(kuò)展訪問控制列表擴(kuò)展訪問控制列表l擴(kuò)展訪問控制列表使用除源地址外更多的信息描述數(shù)據(jù)包，表明是允許還是拒絕。從202.110.1

5、0.0/24來(lái)的,到0的，使用TCP協(xié)議，利用HTTP訪問的數(shù)據(jù)包可以通過(guò)！路由器擴(kuò)展訪問控制列表的配置命令擴(kuò)展訪問控制列表的配置命令l配置TCP/UDP協(xié)議的擴(kuò)展訪問列表：rule normal | special permit | deny tcp | udp source source-addr source-wildcard | any source-port operator port1 port2 destination dest-addr dest- wildcard | any destination-port operator port1 port2

6、loggingl配置ICMP協(xié)議的擴(kuò)展訪問列表：rule normal | special permit | deny icmp source source-addr source-wildcard | any destination dest-addr dest- wildcard | any icmp-type icmp-type icmp-code loggingl配置其它協(xié)議的擴(kuò)展訪問列表：rule normal | special permit | deny ip | ospf | igmp | gre source source-addr source-wildcard | any

7、 destination dest-addr dest- wildcard | any logging擴(kuò)展訪問控制列表操作符的含義擴(kuò)展訪問控制列表操作符的含義操作符及語(yǔ)法操作符及語(yǔ)法意義意義equal portnumber等于端口號(hào)等于端口號(hào) portnumbergreater-than portnumber大于端口號(hào)大于端口號(hào)portnumberless-than portnumber小于端口號(hào)小于端口號(hào)portnumbernot-equal portnumber不等于端口號(hào)不等于端口號(hào)portnumber rangeportnumber1 portnumber2介于端口號(hào)介于端口號(hào)port

8、number1 和和portnumber2之之間間擴(kuò)展訪問控制列表舉例擴(kuò)展訪問控制列表舉例/16ICMP主機(jī)重定向報(bào)文lrule deny icmp source 55 destination any icmp-type host-redirectlrule deny tcp source 55 destination 55 destination-port equal www logging/16TCP報(bào)文/24WWW 端

9、口問題: 下面這條訪問控制列表表示什么意思?rule deny udp source 55 destination 55 destination-port greater-than 128如何使用訪問控制列表如何使用訪問控制列表l防火墻配置常見步驟：?jiǎn)⒂梅阑饓Χx訪問控制列表將訪問控制列表應(yīng)用到接口上Internet公司總部網(wǎng)絡(luò)啟用防火墻將訪問控制列表應(yīng)用到接口上防火墻的屬性配置命令防火墻的屬性配置命令l打開或者關(guān)閉防火墻firewall enable | disable l設(shè)置防火墻的缺省過(guò)濾模式firewall de

10、fault permit|deny l顯示防火墻的狀態(tài)信息display firewall在接口上應(yīng)用訪問控制列表在接口上應(yīng)用訪問控制列表l將訪問控制列表應(yīng)用到接口上l指明在接口上是OUT還是IN方向l在接口視圖下配置： firewall packet-filter acl-number inbound | outboundEthernet0訪問控制列表101作用在Ethernet0接口在out方向有效Serial0訪問控制列表3作用在Serial0接口上在in方向上有效基于時(shí)間段的包過(guò)濾基于時(shí)間段的包過(guò)濾l“特殊時(shí)間段內(nèi)應(yīng)用特殊的規(guī)則”Internet上班時(shí)間（上午8：00 下午5：00）只

11、能訪問特定的站點(diǎn)；其余時(shí)間可以訪問其他站點(diǎn)時(shí)間段的配置命令時(shí)間段的配置命令ltime range 命令timerange enable | disable lsettr 命令settr begin-time end-time begin-time end-time . undo settrl顯示 isintr 命令display isintrl顯示 timerange 命令display timerange日志功能的配置命令日志功能的配置命令l日志功能是允許在特定的主機(jī)上記錄下來(lái)防火墻的操作l開啟日志系統(tǒng) info-center enablel配置日志主機(jī)地址等相關(guān)屬性 info-center loghost loghost-number ip-address port l顯示日志配置信息。 display debugging在華為Quidway路由器上提供了非常豐富的日志功能，詳細(xì)內(nèi)容請(qǐng)參考配置手冊(cè)訪問控制列表的組合訪問控制列表的組合l一條訪問列表可以由多條規(guī)則組成,對(duì)于這些規(guī)則，有兩種匹配順序：auto和config。l規(guī)則沖突時(shí)，若匹配順序?yàn)閍uto（深度優(yōu)先），描述的地址范圍越小的規(guī)則，將會(huì)優(yōu)先考慮。深度的