任务4.3 基本ACL配置

Module4网络安全技术《网络互联技术》任务4.3

基本ACL配置ACL基本概念ACL基本原理ACL配置流程ACL配置命令随着网络的飞速发展，网络安全和网络服务质量的问题日益突出。网络环境的安全性和网络服务质量的可靠性是网络性能评价的重要指标。通过ACL可以实现对网络中报文流的精确识别和控制，达到控制网络访问行为、防止网络攻击和提高网络带宽利用率的目的。本次任务介绍ACL的基本原理及基本ACL的配置。任务背景准备知识1.ACL基本概念ACL（访问控制列表）是由一条或多条规则组成的集合。ACL相当于一个过滤器，而规则相当于滤芯。设备可以根据这些规则，抓取特定的报文，并对这些报文进行控制。示例中，公司网络的财务管理系统只希望被财务部门的主机访问，可以通过定义ACL规则并部署在相关设备上来保证通信的安全。1.ACL基本概念ACL组成ACL由一系列规则组成。具体包括：编号：ACL标识，不同类型ACL的编号有特定的取值范围；规则：用于描述报文的匹配条件及处理动作。包括一下要素：规则编号：标识ACL规则，可以自行配置规则编号，也可以由系统自动分配；处理动作：允许（Permit）/拒绝（Deny）；匹配条件：定义报文的匹配项。ACL组成示例1.ACL基本概念ACL部署应用ACL定义之后，必须在业务模块中应用才能生效。ACL应用的业务模块包括：对转发的报文进行过滤：基于全局和接口，对转发的报文进行过滤，从而使设备能够进一步对过滤出的报文进行丢弃、修改优先级、重定向等处理。对上送CPU处理的报文进行过滤：对上送CPU的报文进行必要的限制，可以避免CPU处理过多的协议报文造成占用率过高、性能下降。登录控制：对设备的登录权限进行控制，允许合法用户登录，拒绝非法用户登录，从而有效防止未经授权用户的非法接入，保证网络安全性。路由过滤：应用在各种动态路由协议中，对路由协议发布、接收的路由信息以及组播流量进行过滤。最基本的ACL应用方式，是在简化流策略/流策略中应用ACL，使设备能够基于全局或接口下发ACL，实现对转发报文的过滤。1.ACL基本概念ACL匹配机制报文与ACL进行匹配时，遵循“一旦命中即停止”的机制。ACL匹配结果分为匹配或不匹配，不论匹配的动作是“permit”还是“deny”，都称为“匹配”；不匹配是指不存在ACL，或ACL中无规则，再或者在ACL中遍历了所有规则都没有找到符合匹配条件的规则。简化流策略是依据规则中的permit或deny来对报文执行相应的动作。ACL匹配机制1.ACL基本概念ACL分类基于ACL规则定义方式，可将ACL分为基本ACL、高级ACL、二层ACL和用户ACL。基于ACL标识的方式，可将ACL分为数字型ACL和命名型ACL。数字型ACL：通过编号来标识ACL。创建ACL时，指定一个唯一的数字标识该ACL。命名型ACL：通过名称代替编号来标识ACL。命名ACL在创建时可以同时指定ACL编号，若不指定，系统将自动分配。基于ACL规则定义的分类ACL分类规则定义描述编号范围基本ACL仅使用报文的源IP地址、分片信息和生效时间段信息来定义规则2000～2999高级ACL可使用IPv4报文的源IP地址、目的IP地址、IP协议类型、ICMP类型、TCP源/目的端口、UDP源/目的端口号、生效时间段等来定义规则3000～3999二层ACL使用报文的以太网帧头信息来定义规则，如根据源MAC地址、目的MAC地址、二层协议类型等。4000～4999用户ACL可使用IPv4报文的源IP地址、目的IP地址、IP协议类型、ICMP类型、TCP源端口/目的端口、UDP源端口/目的端口号等来定义规则6000～60312.ACL基本原理ACL步长一个ACL中可以有多条规则，每一条规则都会有一个编号。步长指ACL规则编号之间的差值。ACL中首条规则若不指定编号则使用步长值作为该规则的编号。如步长为5，首条规则的编号未手工指定时，系统会自动设置为5。后续规则若不指定编号，则使用大于当前最大编号，且是步长最小整倍数作为该规则编号。ACL按照规则的编号由小到大进行的排序，步长的引入可以便于在旧的规则之前插入新的规则。2.ACL基本原理通配符掩码通配符掩码长度为32位比特，用来与源/目的IP地址字段共同确定一个地址范围。通配符掩码与IP地址的反向子网掩码类似。不同的是子网掩码中“0”和“1”必须是连续的，而通配符掩码中“0”和“1”可以是不连续的。“0”表示需要匹配，“1”表示无需匹配。通配符掩码用单个“0”表示，代表主机地址。示例中，“192.168.10.00.0.0.255”表示前24位为“192.168.10”的IP地址，即192.168.10.0/24网段的主机地址。示例中，“192.168.10.10.0.0.254”表示前24位为“192.168.10”且最后1比特为1的IP地址，即192.168.10.0/24网段中最后字节为奇数的IP地址。2.ACL基本原理ACL常用匹配项源IP地址；源IP地址+目的IP地址；TCP/UDP+源IP地址+源端口+目的IP地址+目的端口；IP承载的协议（ICMP、gre等）+源IP地址+目的IP地址。ACL匹配项示例2.ACL基本原理ACL编写规则通常将地址范围小、流量定义精细的规则写在前面。避免报文因命中宽松条件的规则而停止往下匹配，从而无法命中严格条件的规则。示例拓扑，R1部署ACL,要求只允许总经理和财务部主机访问财务管理系统。按上述规则顺序，总经理主机访问财务管理系统的流量匹配了条件更宽松的第一条规则，执行拒绝动作，所以总经理无法访问财务管理系统。合理的顺序如下：2.ACL基本原理ACL部署原则在部署基本ACL时，尽量靠近目的，避免正常的流量被过滤。在部署高级ACL时，因为能对流量进行精确定义，所以应尽量靠近源，以尽早过滤掉相关流量，避免该流量在网络中继续传输，耗用通信资源，增加路由器负担。示例中，使用基本ACL禁止PC1和PC2通信。若部署在R1，会导致PC1访问PC3的正常流量也被过滤，所以应部署在靠近目的主机的R2。示例中，使用高级ACL禁止PC1和PC2通信。若部署在R2，会导致PC1访问PC2的流量到达R2后才被过滤，所以应部署在靠近源主机的R1。3.ACL配置流程ACL配置流程如下：创建ACL：根据需求创建基本ACL或高级ACL；定义ACL规则；接口应用ACL。（1）创建ACL命令：acl[number]acl-number说明：编号范围2000~2999为基本ACL，3000~3999为高级ACL视图：系统视图举例1：路由器R1上创建基本ACL2000。或举例2：路由器R1上创建高级ACL3000。[R1]aclnumber20004.ACL配置命令[R1]acl2000[R1]aclnumber3000（2）创建命名ACL命令：aclnameacl-name[acl-number]说明：若不指定ACL编号，系统会指定一个可用的最大的高级ACL编号视图：系统视图举例1：路由器R1上创建名为test1的基本ACL，编号为2100。举例2：路由器R1上创建名为test2的高级ACL，编号为3100。[R1]aclnametest12100[R1]aclnametest231004.ACL配置命令（3）配置基本ACL规则命令：rule[rule-id]{deny|permit}[source{source-address

source-wildcard|any}]说明：若不配置source，表示报文的任何源地址都匹配视图：ACL视图举例：路由器R1配置ACL

2000，拒绝192.168.10.0/24通过，其余网段允许通过。[R1]acl2000[R1-acl-basic-2000]rule5denysource192.168.10.00.0.0.255[R1-acl-basic-2000]rule10permitsourceany4.ACL配置命令（4）ACL应用命令：traffic-filter{inbound|outbound}acl{bas-acl|adv-acl|nameacl-name}

说明：inbound表示对接收的报文进行过滤，outbound表示对发送的报文进行过滤。bas-acl为基本ACL编号，adv-acl为高级ACL编号视图：接口视图举例1：路由器R1在Gi0/0/0入方向应用ACL

2001。举例2：路由器R1在Gi0/0/1出方向应用ACL

3001。[R1]interfaceGigabitEthernet0/0/0[R1-GigabitEthernet0/0/0]traffic-filterinboundacl2001[R1]interfaceGigabitEthernet0/0/1[R1-GigabitEthernet0/0/1]traffic-filteroutboundacl30014.ACL配置命令5.任务实施：基本ACL配置（1）掌握基本ACL的工作原理；（2）掌握基本ACL的配置方法。（一）任务目的

某公司安装部署了财务管理系统，出于安全考虑，只允许财务部和总经理主机可以访问，其它部门不能访问。（二）任务描述（1）拓扑图（2）操作流程终端及财务管理系统配置网络参数；交换机S1配置VLAN、VLANIF及网络参数，规划如下：R1、S1配置静态路由，实现全网连通；R1配置基本ACL，要求只允许VLAN10（财务部）和VLAN30（总经理）的主机可以访问财务管理系统。（三）实施规划VLANVLANIF_IP地址Vlan1010.1.10.254Vlan2010.1.20.254Vlan3010.1.30.2545.任务实施：基本ACL配置（四）操作步骤S1配置VLAN及VLANIF终端配置网络参数[S1]vlanbatch102030[S1]intg1/0/1[S1-GE1/0/1]portlink-typeaccess[S1-GE1/0/1]portdefaultvlan10[S1-GE1/0/1]undoshutdown//eNSPCE6800接口默认shutdown[S1-GE1/0/1]intg1/0/2[S1-GE1/0/2]portlink-typeaccess[S1-GE1/0/2]portdefaultvlan20[S1-GE1/0/2]undoshutdown[S1-GE1/0/2]intg1/0/3[S1-GE1/0/3]portlink-typeaccess[S1-GE1/0/3]portdefaultvlan30[S1-GE1/0/3]undoshutdownS1配置VLAN：

配置静态路由

配置基本ACL5.任务实施：基本ACL配置（四）操作步骤S1配置VLAN及VLANIF终端配置网络参数[S1]intvlanif10[S1-Vlanif10]ipadd10.1.10.25424[S1-Vlanif10]intvlanif20[S1-Vlanif20]ipadd10.1.20.25424[S1-Vlanif20]intvlanif30[S1-Vlanif30]ipadd10.1.30.25424[S1-Vlanif30]intg1/0/0[S1-GE1/0/0]undoshutdown[S1-GE1/0/0]undoportswitch//二层接口转三层模式[S1-GE1/0/0]ipadd10.0.0.224[S1-GE1/0/0]quitS1配置VLANIF及IP地址：

配置静态路由

配置基本ACL5.任务实施：基本ACL配置（四）操作步骤S1配置VLAN及VLANIF终端配置网络参数[R1]intg0/0/0[R1-GigabitEthernet0/0/0]ipadd10.0.0.124[R1-GigabitEthernet0/0/0]intg0/0/1[R1-GigabitEthernet0/0/1]ipadd10.2.0.25424[R1-GigabitEthernet0/0/1]quit[R1]iproute-static10.1.0.0255.255.0.010.0.0.2//静态汇总路由R1配置网络参数及静态路由：配置静态路由R1配置基本ACL[S1]iproute-static10.2.0.1255.255.255.25510.0.0.1//静态主机路由S1配置静态路由：此时，各部门主机均能访问财务管理系统。5.任务实施：基本ACL配置（四）操作步骤S1配置VLAN及VLANIF终端配置网络参数[R1]acl2000[R1-acl-basic-2000]rulepermitsource10.1.10.00.0.0.255

//允许来自10.1.10.0/24网段的报文通过[R1-acl-basic-2000]rulepermitsource10.1.30.10

//允许来自10.1.30.1的报文通过[R1-acl-basic-2000]ruledenysourceany//拒绝所有[R1-GigabitEthernet0/0/1]traffic-filteroutboundacl2000

//R1的G0/0/1出方向应用R1配置基本ACL：配置静态路由R1配置基本ACL5.任务实施：基本ACL配置（五）实验测试查看ACL配置信息[R1]disacl2000BasicACL2000,3rulesAcl'sstepis5rule5permitsource10.1.10.00.0.0.255(3matches)rule10permitsource10.