ACL详解 - 悦读

ACL

介绍

工作原理

ACL 的作用

ACL

全称：Access Control List

中文：访问控制列表

介绍

ACL 是网络当中策略的一种，策略：我们之前学的内容只够我们把网络连通，但网络不仅仅是能连通那么简单，在保证网络能连通的基础上，应该还有更高一层的追求，即对网络进行一些控制。比如说：对某些人的流量进行限制、对某些人的流量做一些保障、不允许某些人访问某些网站等的控制行为。这些都需要通过策略来完成。

ACL 就是众多策略中的一种，是最简单的一种工具，可以帮助我们实现一些基本的功能，比如说：实现访问控制列表的功能。

企业网络中的设备进行通信时，需要保障数据传输的安全可靠和网络的性能稳定。

ACL可以定义一系列不同的规则，设备根据这些规则对数据进行分类，并针对不同类型的报文进行不同的处理，从而可以实现对网络访问行为的控制、限制网络流量、提高网络性能、防止网络攻击等等。

工作原理

某些设备配置了ACL，ACL中声明了一些匹配规则，通过这个规则来匹配一些流量，对匹配到的流量再执行相应的动作，即，提前设定好了怎么处理这些流量，比如说，是让它访问还是不让访问，从而就实现了控制的功能。

ACL 在很多设备上都是可以应用的，后面主要讲在路由器上的应用，讲述在路由器上怎么配置 ACL

ACL 的作用

访问控制：在路由器流量流入或留出的接口上，匹配流量，然后执行设定好的动作。
- 配置位置：在路由器的接口上：把接口分为流量流入、流出的接口。
  
  现在如果用PC1访问PC3，那么对于左边的路由器来说：g 0/0/1 是流量流入的接口，g 0/0/0 是流量流出的接口。
  
  PC3回包的时候情况正好相反。
  
  所以：流入、流出是一个相对的概念，不是固定的。
- 执行的动作
  
  只有两种：permit 允许， deny
抓取感兴趣流：ACL可以和其他服务结合使用。ACL只负责匹配流量，其他服务则对匹配的流量执行对应的动作0
- ACL的功能很单一 --- 只有两个动作，但ACL在某些场景下，有时候我们需要做策略并不是一刀切的，即，很干净利落就两种情况：允许、拒绝。就比如说做流控，不是说不让访问，可以访问，但要对流量、速度等做一些限制，遇到这样的情况，光靠这两种动作是无法实现这个功能的，所以，ACL在某些情况下只做第一件事 --- 只抓取流量，但不去做动作。动作交给其它的服务来做，即，和其它服务去打配合。ACL 和别的服务去结合，就可以实现更多更丰富的功能，而不仅仅是访问控制。

eg：

流控 --- 对流量进行控制和管理

QoS（服务质量技术）

ACL 和 QoS 配合：ACL负责抓取流量，QoS负责对流量进行相应的操作

后面只讲述 ACL 的第一个作用：访问控制

ACL的匹配规则

自上而下，逐一匹配，如果匹配上，则按照对应的动作执行，不再向下匹配。

思科体系的设备：在ACL列表末尾隐含一条拒绝所有的规则

华为体系的设备：在ACL列表末尾隐含一条允许所有的规则 —— 不准确

实际上的默认规则：对于没有匹配上的不做处理，相当于允许。

每个ACL可以包含多个规则，RTA根据规则来对数据流量进行过滤

ACL分类

思科和华为不一样

华为：

分类编号范围参数
基本ACL 2000-2999 仅关注数据包中的源IP地址
高级ACL 3000-3999 不仅关注数据包中的源IP地址，还会关注数据包中的目标IP地址，以及协议和目标端口号
二层ACL 4000-4999 源MAC地址、目的MAC地址、以太帧协议类型等
用户自定义ACL —— ——

分类	编号范围	参数
基本ACL	2000-2999	仅关注数据包中的源IP地址
高级ACL	3000-3999	不仅关注数据包中的源IP地址，还会关注数据包中的目标IP地址，以及协议和目标端口号
二层ACL	4000-4999	源MAC地址、目的MAC地址、以太帧协议类型等
用户自定义ACL	——	——

后面只讲述前两种ACL：基本ACL、高级ACL

ACL应用场景

ACL可以通过定义规则来允许或拒绝流量的通过。

ACL可以根据需求来定义过滤的条件以及匹配条件后所执行的动作。

（疑问？感觉应该不能执行动作，只能抓取流量）

基本ACL配置

配置确认

高级ACL配置

应用

如下给出一个场景：我们会给出一些需求，然后利用ACL来完成这些需求。

如下搭建的网络已经实现了全网可达：

配ip

配静态路由

[r1]ip route-static 192.168.3.0 24 192.168.2.2
[r1]

[r2]ip route-static 192.168.1.0 24 192.168.2.1
[r2]

ping

需求一：通过 ACL 实现PC1可以访问PC3和PC4，但是PC2不行

基本ACL的位置原则：因为基本ACL只关注数据包中的源IP地址，故调用时尽可能的靠近目标，避免对其他地址访问造成误伤。

如图有4个接口可供选择，按照上面所说的原则，我们选择接口4。

下面就开始配置ACL：

创建一张ACL列表

[r2]acl ?
  INTEGER<2000-2999>  Basic access-list(add to current using rules)  -- 基本ACL
  INTEGER<3000-3999>  Advanced access-list(add to current using rules)  -- 高级ACL
  INTEGER<4000-4999>  Specify a L2 acl group -- 二层ACL
  ipv6                ACL IPv6 
  name                Specify a named ACL
  number              Specify a numbered ACL
[r2]acl 2000
[r2-acl-basic-2000]

这样就创建了一张ACL表，但只是个空表，没有规则。

在ACL列表中添加规则

按照我们的需求：实现 PC2 无法访问到 PC3，PC4，那么就有以下两种方案：

拒绝PC2，允许所有
允许PC1，拒绝所有

那么这两种选择哪一种比较好呢？

其实要取决于体系，如果是华为体系的话，就选择第一种，因为华为体系的设备在ACL列表末尾隐含一条允许所有的规则。如果是思科体系的话，就选择第二种。

下面我们开始添加规则：

拒绝PC2

[r2-acl-basic-2000]rule ?
  INTEGER<0-4294967294>  ID of ACL rule
  deny                   Specify matched packet deny
  permit                 Specify matched packet permit
[r2-acl-basic-2000]rule deny ?
  fragment             Check fragment packet
  none-first-fragment  Check the subsequence fragment packet  
  source               Specify source address
  time-range           Specify a special time
  vpn-instance         Specify a VPN-Instance
  <cr>                 Please press ENTER to execute command 
[r2-acl-basic-2000]rule deny source ?
  IP_ADDR<X.X.X.X>  Address of source
  any               Any source
[r2-acl-basic-2000]rule deny source 192.168.1.3 0.0.0.0 ---- 0.0.0.0——通配符：0代表不可变，1代表可变，统配符中0和1可以穿插使用
[r2-acl-basic-2000]

允许所有（可以不写，默认允许）

[r2-acl-basic-2000]rule permit source any
[r2-acl-basic-2000]

另外还有其他有关命令：

查看 acl 2000 列表的规则

[r2]display acl 2000
Basic ACL 2000, 2 rules
Acl's step is 5
rule 5 deny source 192.168.1.3 0 
rule 10 permit 

[r2]

自定义序号添加规则

华为默认以5为步调，自动添加ACL的规则的序号。其目的在于匹配规则是从上向下按顺序匹配，这样便于在其中插入规则。
[r2-acl-basic-2000]rule 6 deny source 192.168.1.2 0.0.0.0
[r2-acl-basic-2000]q
[r2]display acl 2000
Basic ACL 2000, 3 rules
Acl's step is 5
rule 5 deny source 192.168.1.3 0 
rule 6 deny source 192.168.1.2 0 
rule 10 permit 

[r2]

按照序号删除规则

[r2-acl-basic-2000]undo rule 6
[r2-acl-basic-2000]q
[r2]display acl 2000
Basic ACL 2000, 2 rules
Acl's step is 5
rule 5 deny source 192.168.1.3 0 
rule 10 permit 

[r2]

在接口上调用ACL列表

[r2-GigabitEthernet0/0/1]traffic-filter ?
  inbound   Apply ACL to the inbound direction of the interface  —— 流入方向
  outbound  Apply ACL to the outbound direction of the interface —— 流出方向
[r2-GigabitEthernet0/0/1]traffic-filter outbound acl 2000
[r2-GigabitEthernet0/0/1]

注意：在一个接口的一个方向上，只能调用一张ACL列表。

另外还有其他有关命令：

查看应用

[r2-GigabitEthernet0/0/1]display traffic-filter applied-record 
-----------------------------------------------------------
Interface                   Direction  AppliedRecord       
-----------------------------------------------------------
GigabitEthernet0/0/1        outbound   acl 2000
-----------------------------------------------------------
[r2-GigabitEthernet0/0/1]

删除应用

[r2-GigabitEthernet0/0/1]undo traffic-filter outbound
[r2-GigabitEthernet0/0/1]display traffic-filter applied-record
-----------------------------------------------------------
Interface                   Direction  AppliedRecord       
-----------------------------------------------------------
-----------------------------------------------------------
[r2-GigabitEthernet0/0/1]

PC1 ping PC3

需求二：要求PC1可以访问PC3，但是不能访问PC4

高级ACL的位置原则：因为高级ACL是精准匹配，所以，在调用时应该尽可能靠近源目标，避免造成额外的链路资源浪费。所以我们选择接口1

下面就开始配置ACL：

创建一张ACL列表

   [r1]acl ?
     INTEGER<2000-2999>  Basic access-list(add to current using rules)
     INTEGER<3000-3999>  Advanced access-list(add to current using rules)
     INTEGER<4000-4999>  Specify a L2 acl group
     ipv6                ACL IPv6 
     name                Specify a named ACL
     number              Specify a numbered ACL
   [r1]acl name aa ?
     INTEGER<2000-2999>  Basic access-list(add to current using rules)
     INTEGER<3000-3999>  Advanced access-list(add to current using rules)
     INTEGER<4000-4999>  Specify a L2 acl group
     advance             Advanced acl
     basic               Basic acl
     link                Link acl
     match-order         Set ACL's match order
     <cr>                Please press ENTER to execute command 
   [r1]acl name aa 3000  ---- 通过重命名的方式创建ACL列表
   [r1-acl-adv-aa]

在ACL列表中添加规则
1. 拒绝PC4

  [r1-acl-adv-aa]rule deny ip source 192.168.1.2 0.0.0.0 destination 192.168.3.3 0.0.0.0
  [r1-acl-adv-aa]

在接口上调用ACL列表

[r1-GigabitEthernet0/0/1]traffic-filter inbound acl name aa ---- 通过重命名的方式调用ACL列表
[r1-GigabitEthernet0/0/1]

PC1 ping PC3、PC1 ping PC4

需求三：要求PC1可以ping通R2，但是不能telnet R2

在需求二中我们使用了高级ACL，但我们只用到了源IP、目标IP，而协议和端口号没用到，本实验我们就使用一下

telnet（远程登录协议）

作用：可以远程登录、控制、配置网络设备。

带外管理：不依靠网络，直接对设备进行管理

通过console接口连接console线对设备进行控制

网络工程人员一般都会随身携带一根console线，所有的路由器、交换机等设备上面都有一根专门的接口——console口，console连接console线，一端连接在设备的console口（水晶头），另外一端连接在电脑上（串线头）。设备和电脑之间就建立了联系，之后只需要在电脑上启动一些连接软件就可以对设备进行控制了。

通过miniUSB接口连接MINIUSB线对设备进行控制

原理和console线一样。

既然原理一样，那为什么有console口了，还要设置miniUSB口呢？

答：万一设备的console坏了，还可以使用miniUSB接口。

带内管理：通过网络对设备进行管理

通过telnet管理路由器

通过web界面管理路由器

通过SNMP协议进行设备管理

telnet进行管理的前提条件 1，登录设备和被登录设备之间网络必须是连通的 2，被登录设备必须开启telnet服务

telnet —— C/S架构

被登录设备充当telnet服务器的角色，登录设备充当telnet客户端的角色。
TCP 23
- SPort：随机
- DPort：23

路由器开启telnet服务的方法：

1，在AAA中创建用户名

进入aaa服务

作用：专门存储和管理用户名和密码的地方

目的：设置账号、密码
```
[r2]aaa  
[r2-aaa]
```

创建用户名和密码

[r2-aaa]local-user aa privilege level 15 password cipher 123456
Info: Add a new user.  —— 用户名：aa，密码：123456，权限：15
[r2-aaa]

设置用户服务类型

[r2-aaa]local-user aa service-type telnet
[r2-aaa]

2，开启虚拟的登录端口

[r2]user-interface vty 0 4
[r2-ui-vty0-4]

认证

[r2-ui-vty0-4]authentication-mode aaa
[r2-ui-vty0-4]

telnet PC2

由于eNSP无法开启客户端telnet，所以报错。

那我们用真机作为客户端：

开启telnet客户端

真机可以telnet虚拟机中的设备，但虚拟机中设备的ip都是随便配的。

由于虚拟机中的设备都是用的虚拟网卡，所以可以telnet 127.0.0.1，但我们还要区分不同的设备，可以用串口号进行区分

我们也可以使用软件——SecureCRT

我们可以用路由器代替电脑（PC1）

The device is running!

<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]sys pc1
[pc1]int g 0/0/0
[pc1-GigabitEthernet0/0/0]ip address 192.168.1.10 24
May  8 2023 18:17:14-08:00 pc1 %%01IFNET/4/LINK_STATE(l)[0]:The line protocol IP
 on the interface GigabitEthernet0/0/0 has entered the UP state. 
[pc1-GigabitEthernet0/0/0]q
[pc1]ip route-static 0.0.0.0 0 192.168.1.1
[pc1]ping 192.168.2.2
  PING 192.168.2.2: 56  data bytes, press CTRL_C to break
    Request time out
    Reply from 192.168.2.2: bytes=56 Sequence=2 ttl=254 time=70 ms
    Reply from 192.168.2.2: bytes=56 Sequence=3 ttl=254 time=50 ms
    Reply from 192.168.2.2: bytes=56 Sequence=4 ttl=254 time=50 ms
    Reply from 192.168.2.2: bytes=56 Sequence=5 ttl=254 time=30 ms

  --- 192.168.2.2 ping statistics ---
    5 packet(s) transmitted
    4 packet(s) received
    20.00% packet loss
    round-trip min/avg/max = 30/50/70 ms

[pc1]q
<pc1>telnet 192.168.2.2
  Press CTRL_] to quit telnet mode
  Trying 192.168.2.2 ...
  Connected to 192.168.2.2 ...

Login authentication


Username:aa
Password:
<r2>

下面开始配置acl：

[r1]acl 3001
[r1-acl-adv-3001]rule deny tcp source 192.168.1.10 0.0.0.0 destination 192.168.2
.2 0.0.0.0 destination-port  eq 23
[r1-acl-adv-3001]

[r1-GigabitEthernet0/0/0]undo traffic-filter inbound
[r1-GigabitEthernet0/0/0]traffic-filter inbound acl 3001
[r1-GigabitEthernet0/0/0]

由于r2有两个网关，所以可以telnet 192.168.3.1

所以还要把r2的另一个接口搞一下