路由和交换技术项目教程 课件 工单10 访问控制列表ACL

工单10：访问控制列表ACL知识目标:1.理解ACL的基本概念与分类2.熟悉ACL的配置命令与参数3.理解ACL的匹配逻辑与优先级思政目标:1.培养网络安全意识，注重网络安全防护2.弘扬工匠精神，精益求精、追求卓越3.强化社会责任感，能够积极履行自己的职责。能力目标:1.能够独立完成ACL的配置2.能够分析和解决ACL相关的问题3.能够优化ACL配置以提高网络性能

在一个大型企业网络中，ACL被部署在核心路由器或防火墙上，以控制不同部门之间的网络流量。通过配置ACL规则，管理员可以限制财务部门只能访问内部数据库和财务相关系统，而销售部门则能够访问CRM系统和互联网资源，同时阻止未授权的访问尝试，如防止恶意软件从外部网络渗透入内网，从而有效维护网络安全性和数据隐私。任务1：标准访问控制列表1.掌握ACL的定义、作用及其在网络安全中的重要性2.掌握ACL的组成及规则3.掌握标准访问控制列表（基本ACL）的命令格式1.定义ACL（AccessControlList，访问控制列表）是一种基于包过滤的访问控制技术，通过在网络设备上（如路由器、交换机等）配置一系列包含“允许”或“拒绝”规则的语句，来过滤经过这些设备的数据包。这些规则可以基于数据包的源地址、目的地址、协议类型、端口号等多种条件进行匹配，从而实现对网络流量的细粒度控制。2.作用访问控制：ACL的主要作用是限制或允许特定类型的网络流量通过特定的接口或路由。这有助于保护网络资源免受未经授权的访问，同时确保合法用户能够正常访问所需的服务。流量管理：除了基本的访问控制外，ACL还可以用于网络流量的整形和过滤，帮助管理员优化网络带宽的分配和使用。增强安全性：ACL通过阻止潜在的恶意流量进入网络，增强了网络的整体安全性。例如，可以通过ACL禁止来自特定IP地址或网段的访问，或者限制某些潜在危险协议和端口的访问权限。3.在网络安全中的重要性保护敏感数据：在网络环境中，敏感数据（如用户信息、财务记录等）的安全至关重要。ACL可以通过限制对敏感数据的访问权限，有效防止数据泄露和非法访问。防止网络攻击：网络攻击（如DDoS攻击、SQL注入等）是网络安全的一大威胁。ACL可以通过识别和过滤潜在的恶意流量，降低网络遭受攻击的风险。符合合规性要求：许多行业和组织都有严格的网络安全合规性要求。通过实施ACL等安全措施，企业可以确保其网络环境和数据保护策略符合相关法律法规和行业标准的要求。ACL的组成规则ACL有两个动作，即permit和deny。其中，permit为允许列表;deny为拒绝列表，即表示设备对所匹配的数据包接受或者丢弃。例如：rule5permitsource55rule10denysource55rule15denyrule是规则关键字，后面的数字5、10、15是规则编号,这个编号在配置时可以指明也可以不指明，但是一条规则就是一个编号，编号不能重复。如果不指明编号，默认第一条规则的编号是5，后面每增加一条规则，编号就会加5，也就是说，默认的编号是从5开始，步长是5，即每增加一个编号，编号就会在上一条规则编号的基础上加5。之所以留出编号的间隔，是为了能够适应各种应用场景方便在规则之间插入新的规则。一、基本ACL的命令格式基本ACL的编号范围为2000~2999，规则中只包含源IP地址，对设备的CPU消耗较少，可用于简单的部署，但是使用场景有限，不能提供强大的控制功能。配置基本ACL规则的命令格式如下。rule[rule-id]{permit|deny}[source(source-addresssource-wildcard|any)|fragment|logging|time-rangetime-name]对命令中各个组成项的解释如下：1.rule表示这是一条规则；2.rule-id表示这条规则的编号；3.permit|deny是一个“二选一”选项，表示不与这条规则相关联的处理动作；4.deny命令表示拒绝;permit命令表示允许；5.source表示源IP地址信息；6.source-address表示具体的源IP地址；7.source-wildcard表示与source-address相对应的通配符。source-wildcard和source-address结合使用，可以确定一个IP地址的集合。在特殊情况下，该集合中可以只包含一个IP地址；8.any表示源IP地址可以是任意地址；9.fragment表示该规则只对非首片分片报文有效；10.logging表示需要对匹配该规则的IP报文进行日志记录；11.time-rangetime-name表示该规则的生效时间段为time-name，具体的使用方法这里不做描述。二、基本ACL的使用方法1.创建基本ACL基本ACL主要基于源IP地址进行流量匹配。在大多数网络设备（如Cisco、Huawei等）上，可以通过命令行界面（CLI）来创建基本ACL。命令格式：aclnumberacl-number其中，acl-number是ACL的编号，对于基本ACL，其编号范围通常为2000～2999。2.配置规则在创建ACL后，需要为其配置具体的规则。每条规则都包含匹配条件和相应的动作（允许或拒绝）。命令格式：rule[rule-id]{deny|permit}source{source-addresssource-wildcard|any}rule-id是规则的编号，如果不指定，设备会自动分配。{deny|permit}指定了匹配到规则时采取的动作。{source-addresssource-wildcard|any}指定了源IP地址及其通配符掩码，或者使用any表示任何源地址。3.将ACL应用到网络设备上配置完ACL规则后，需要将其应用到网络设备的特定接口或方向上，以便对经过该接口或方向的流量进行过滤。命令格式：interfaceGigabitEthernetinterface-numbertraffic-filterinboundaclacl-numberinterfaceGigabitEthernetinterface-number指定了要应用ACL的接口。traffic-filterinboundaclacl-number将ACL应用到接口的入方向。如果要应用到出方向，则使用outbound替代inbound。注意事项（1）规则顺序：ACL规则按照编号顺序进行匹配，一旦找到匹配的规则，就会执行相应的动作，并停止进一步的匹配。因此，在配置规则时，需要注意规则的顺序。（2）默认动作：在某些设备上，如果没有任何规则匹配到数据包，则默认允许该数据包通过。但在另一些设备上，可能是默认拒绝。因此，在配置ACL时，需要明确了解设备的默认行为，并据此配置相应的规则。（3）性能影响：虽然ACL是一种有效的网络安全措施，但它也会对网络性能产生一定影响。特别是在规则数量较多或网络流量较大的情况下，可能会增加网络设备的处理负担。因此，在配置ACL时，需要权衡安全性和性能之间的平衡。1.可以使用网络扫描工具（如nmap）来测试特定IP地址或端口的可达性。2.查看网络设备的日志或统计信息，确认ACL是否按预期拦截或允许了流量。序号评价内容评价标准是否达标1理解访问控制列表作用能够解释访问控制列表知识内容

2能够根据需要配置标准ACL使用Ensp搭建拓扑并配置标准ACL

在一个大型数据中心中，扩展ACL被用于基于数据包的源地址、目的地址、端口号、协议类型以及甚至应用层信息进行更详细的访问控制。这允许管理员精确定义哪些IP地址或用户组可以访问哪些特定服务，比如限制只有特定IP段的主机能够访问数据库的特定端口，或者允许基于HTTPS的Web流量通过防火墙，同时阻止其他未授权的服务和协议，从而大大增强了网络的安全性和管理的灵活性。任务2：扩展访问控制列表1.掌握ACL规则的匹配机制2.掌握ACL的分类3.掌握扩展访问控制列表（高级ACL）的命令格式一、扩展访问控制列表（高级ACL）的命令格式高级ACL的编号范围为3000~3999，相较于基本ACL，高级ACL提供更高的扩展性，可以对流量进行更精细的匹配。通过配置高级ACL，可以阻止特定主机或者整个网段的源或者日标，除此之外，还可以使用协议信息(IP、ICMP、TCP、UDP)过滤掉相应的流量。下面是高级ACL针对所有IP报文的一种简化的命令格式。rule[ruleid](permit|deny)ip[destination(destination-addressdestinationwildcard|any)][source(source-addresssource-wildcard|any}]对命令中各个组成项的解释如下：1.destination表示目的IP地址信息2.destination-address表示具体的目的IP地址。3.destination-wildcard表示与destination-address相对应的通配符。destinationwildcard与destination-address结合使用，可以确定一个IP地址的集合。在特殊情况下，该集合中可以只包含一个IP地址。高级ACL与基本ACL命令格式相同部分的使用方法这里不做描述。一般高级ACL的使用方法高级ACL（AccessControlList，访问控制列表）的使用方法相对复杂，因为它提供了比基本ACL更丰富、灵活的规则定义能力。以下是一般的高级ACL使用方法，包括创建、配置规则、应用以及验证效果的步骤：1.创建高级ACL高级ACL的创建通常涉及指定一个编号或名称，以及配置规则的匹配顺序。命令格式：使用编号创建：aclnumberacl-numbermatch-order{auto|config}其中，acl-number是ACL的编号，对于高级ACL，其编号范围通常为3000～3999。match-order指定了规则的匹配顺序，可以是自动（auto）或手动配置（config）。使用名称创建（可选）：aclnameacl-namematch-order{auto|config}这里，acl-name是ACL的名称，同样可以指定匹配顺序。2.配置高级ACL规则高级ACL可以基于源IP地址、目的IP地址、协议类型、源端口、目的端口等多种条件来定义规则。命令格式（以ICMP协议为例）：rule[rule-id]{deny|permit}icmp[source{source-addresssource-wildcard|any}][destination{destination-addressdestination-wildcard|any}][icmp-typeicmp-type[icmp-code]][time-rangetime-name]rule-id是规则的编号。{deny|permit}指定了匹配到规则时采取的动作。icmp指定了协议类型为ICMP。source和destination分别指定了源IP地址和目的IP地址及其通配符掩码，或使用any表示任何地址。icmp-type和icmp-code指定了ICMP报文的类型和代码。time-range指定了规则生效的时间段（可选）。对于TCP和UDP协议，还可以指定源端口和目的端口等信息。3.将高级ACL应用到网络设备上配置完高级ACL规则后，需要将其应用到网络设备的特定接口或方向上。命令格式（将ACL应用到接口入方向）：interfaceGigabitEthernetinterface-numbertraffic-filterinboundaclacl-number或者，如果使用名称创建的ACL：interfaceGigabitEthernetinterface-numbertraffic-filterinboundaclnameacl-name这里，interfaceGigabitEthernetinterface-number指定了要应用ACL的接口，traffic-fi