ACL協議：核心概念與配置要點解析

ACL協議

在H3C網絡設備（交換機、路由器、防火墻等）中，ACL（Access Control List，訪問控制列表） 是一個核心的流量過濾和控制機制。

  1. 核心目的：

    • 流量過濾：控制哪些流量可以通過接口（入站/出站方向）。
    • 安全策略：實施基本的安全策略，阻止非授權訪問（如防火墻策略的基礎）。
    • 流量識別：為其他需要識別特定流量的功能（如QoS策略路由、NAT、VPN、路由過濾、策略路由）提供匹配依據。
    • 用戶接入控制：結合身份認證（如802.1X、Portal），限制用戶訪問權限

  2. 主要類型：

    • 基本ACL（Basic ACL）：
      • 序號為：2000~2999
      • 只根據報文的源IP地址信息制定規則
    • 高級ACL（Advanced ACL）：
      • 序號為：3000 ~ 3999
      • 根據報文的源IP地址、目的IP地址、IP協議類型（TCP/UDP/ICMP/OSPF等）、源端口號、目的端口號、TCP標志位、ICMP類型/代碼、IP優先級/DSCP、分片信息的特性等三、四層信息制定規則
    • 二層ACL（Layer 2 ACL / Ethernet Frame ACL）：
      • 序號為：4000 ~ 4999。
      • 根據報文的源MAC地址、目的MAC地址、以太網幀類型（如0x0800-IPv4, 0x86DD-IPv6）、802.1p優先級、VLAN ID等二層信息制定規則

  3. 設置過濾規則

    • 包過濾功能默認開啟
    • 設置包過濾的默認過濾方式
      • 系統默認的過濾方式是permit，即允許未匹配上的ACL規則的報文通過
      • 可以配置包過濾的缺省動作為deny
      • packet-filter default deny

  4. 匹配規則和動作：

    • 規則（Rule）：每條ACL規則包含：
      • 匹配條件：根據ACL類型定義（如源IP、目的端口等）。
      • 動作（Action）：permit (允許) 或 deny (拒絕)。
      • 規則ID：可手動指定或自動生成。H3C設備規則ID越小優先級越高。
    • 規則匹配順序：
      • 配置順序（config）：按照用戶配置規則的先后順序進行匹配。這是默認的方式。
      • 自動深度優先（auto / depth-first）：設備自動按照規則的“深度”（條件描述的精確程度）排序，條件越具體（如指定了端口號）的規則優先級越高。需要顯式配置此模式。
      • 匹配過程：數據包從上到下逐條匹配規則。一旦匹配到某條規則，則執行該規則的動作（permit或deny），并停止后續規則的匹配。如果所有規則都不匹配，則執行該ACL的默認動作。
    • 默認動作（Implicit Deny Any）：任何ACL的末尾都隱含一條拒絕所有（deny any） 的規則。這意味著如果數據包沒有匹配到任何顯式配置的permit規則，它最終將被拒絕。這是安全性的重要保障。

  5. 應用方向（Application Direction）：

    • ACL只有被應用（apply） 到接口的特定方向上才會生效。
    • 入方向（inbound）：對進入該接口的數據包進行過濾。數據包到達接口后，先匹配入方向ACL，再查路由表決定轉發。
    • 出方向（outbound）：對離開該接口的數據包進行過濾。數據包查完路由表確定從該接口轉發出去之前，匹配出方向ACL。
    • 選擇合適的應用方向至關重要，直接影響過濾效果和效率。

  6. 配置基本ACL

    • **第一步：**設置訪問控制列表序列號

      • acl basic acl-number

    • **第二步：**定義規則，允許或拒絕來自指定網絡的數據包，并定義參數

      • rule [ RULE_ID ] { deny | permit } source { SRC_IP_ADDR SRC_WILDCARD | any } [ time-range TIME_NAME ] [ logging ] [ description TEXT ]

  7. 配置高級ACL

    • **第一步：**設置訪問控制列表序列號

      • acl advanced acl-number

    • **第二步：**定義規則，其規則在基本訪問列表的基礎上增加了目的地址、協議號、端口以及操作符等信息

      • rule [ RULE_ID ] { deny | permit } PROTOCOL [ rule-specific-criteria ] [ time-range TIME_NAME ] [ logging ] [ description TEXT ]

  8. 配置二層ACL

    • **第一步：**設置訪問控制列表序列號

      • acl mac acl-number

    • **第二步：**配置規則，規則上主要為源MAC、目的MAC以及COS值等信息

      • rule [ RULE_ID ] { deny | permit } [ rule-specific-criteria ] [ time-range TIME_NAME ] [ logging ] [ description TEXT ]

  9. 重要注意事項：

    • 規則順序：理解配置順序和自動深度優先的區別，確保規則按預期優先級匹配。
    • 隱式拒絕：務必牢記ACL末尾隱含的deny any。如果想讓某些流量通過，必須有顯式的permit規則匹配它。
    • 應用方向：正確選擇inbound或outbound是ACL生效的關鍵。
    • 作用范圍：基本ACL通常建議應用在靠近目的地址的位置（避免意外阻斷合法源）；高級ACL通常建議應用在靠近源地址的位置（盡早丟棄非法流量，節省帶寬和設備資源）。
    • 性能影響：復雜的ACL或大量ACL規則會增加設備處理負擔，可能影響轉發性能。優化規則設計。
    • 測試驗證：配置ACL后務必進行充分測試，確保其按預期允許和拒絕流量。使用display packet-filter statistics等命令查看匹配計數輔助調試。

實驗：

一、實驗拓撲

在這里插入圖片描述

二、實驗需求

  1. 按照圖示配置IP地址

  2. 實現全網互通

  3. 在SERVER上配置開啟TELNET和FTP服務

  4. 配置ACL實現如下效果

    （1）192.168.1.0/24 網段不允許訪問 192.168.2.0/24 網段

    （2）PC1 可以訪問 SERVER 的 TELNET 服務，但不能訪問 FTP 服務

    （3）PC2 可以訪問 SERVER 的 FTP 服務，但不能訪問 TELNET 服務

    （4）PC3 可以訪問 SERVER 的 TELNET 服務和 FTP 服務，但 ping 不通SERVER

三、實驗步驟

  1. 按照圖示配置IP地址，略

  2. 實現全網互通，略

  3. 在SERVER上配置開啟TELNET和FTP服務，略

  4. 配置ACL

    • 192.168.1.0/24 網段不允許訪問 192.168.2.0/24 網段
    [R2]acl basic 2000
[R2-acl-ipv4-basic-2000]rule deny source 192.168.1.0 0.0.0.255
[R2-acl-ipv4-basic-2000]dis th
#
acl basic 2000rule 0 deny source 192.168.1.0 0.0.0.255
#
return
[R2-acl-ipv4-basic-2000]qu
[R2]int g0/2
[R2-GigabitEthernet0/2]packet-filter 2000 outbound 
[R2-GigabitEthernet0/2]qu
[R2]
    • PC1 可以訪問 SERVER 的 TELNET 服務，但不能訪問 FTP 服務
    • PC2 可以訪問 SERVER 的 FTP 服務，但不能訪問 TELNET 服務
    [R1]acl advanced 3000
[R1-acl-ipv4-adv-3000]rule deny tcp source 192.168.1.1 0 destination-port range 
20 21
[R1-acl-ipv4-adv-3000]rule deny tcp source 192.168.1.2 0 destination-port eq 23
[R1]int g0/1
[R1-GigabitEthernet0/1]packet-filter 3000 inbound
    • PC3 可以訪問 SERVER 的 TELNET 服務和 FTP 服務，但無法 ping 通SERVER
    [R2]acl advanced 3000
[R2-acl-ipv4-adv-3000]rule deny icmp source 192.168.2.3 0 destination 192.168.3.
1 0
[R2-GigabitEthernet0/1]packet-filter 3000 outbound

  5. 測試

    • PC1 和 PC2 都無法 Ping 通 PC3
    <PC1>ping 192.168.2.3
Ping 192.168.2.3 (192.168.2.3): 56 data bytes, press CTRL+C to break
Request time out
Request time out
Request time out
Request time out
Request time out--- Ping statistics for 192.168.2.3 ---

    <PC2>ping 192.168.2.3
Ping 192.168.2.3 (192.168.2.3): 56 data bytes, press CTRL+C to break
Request time out
Request time out
Request time out
Request time out
Request time out--- Ping statistics for 192.168.2.3 ---
    • PC1 可以連接 SERVER1 的 TELNET，但不能連接 FTP
    <PC1>telnet 192.168.3.1
Trying 192.168.3.1 ...
Press CTRL+K to abort
Connected to 192.168.3.1 ...******************************************************************************
* Copyright (c) 2004-2021 New H3C Technologies Co., Ltd. All rights reserved.*
* Without the owner's prior written consent,                                 *
* no decompiling or reverse-engineering shall be allowed.                    *
******************************************************************************Login: wiltjer
Password: 
<SERVER>

    <PC1>ftp 192.168.3.1
Press CTRL+C to abort.
ftp: connect: Connection timed out
ftp>
    • PC2 可以連接 SERVER1的 FTP，但不能連接 TELNE
    <PC2>ftp 192.168.3.1
Press CTRL+C to abort.
Connected to 192.168.3.1 (192.168.3.1).
220 FTP service ready.
User (192.168.3.1:(none)): wiltjer
331 Password required for wiltjer.
Password: 
230 User logged in.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> 

    <PC2>telnet 192.168.3.1
Trying 192.168.3.1 ...
Press CTRL+K to abort
Connected to 192.168.3.1 ...
Failed to connect to the remote host!
    • PC3 可以訪問 SERVER 的 TELNET 服務和 FTP 服務，但 ping 不通SERVER
    <H3C>ping 192.168.3.1
Ping 192.168.3.1 (192.168.3.1): 56 data bytes, press CTRL+C to break
Request time out
Request time out
Request time out
Request time out
Request time out--- Ping statistics for 192.168.3.1 ---

    <H3C>telnet 192.168.3.1
Trying 192.168.3.1 ...
Press CTRL+K to abort
Connected to 192.168.3.1 ...******************************************************************************
* Copyright (c) 2004-2021 New H3C Technologies Co., Ltd. All rights reserved.*
* Without the owner's prior written consent,                                 *
* no decompiling or reverse-engineering shall be allowed.                    *
******************************************************************************Login: wiltjer
Password: 
<SERVER>

    <H3C>ftp 192.168.3.1
Press CTRL+C to abort.
Connected to 192.168.3.1 (192.168.3.1).
220 FTP service ready.
User (192.168.3.1:(none)): wiltjer
331 Password required for wiltjer.
Password: 
230 User logged in.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp>

本文來自互聯網用戶投稿，該文觀點僅代表作者本人，不代表本站立場。本站僅提供信息存儲空間服務，不擁有所有權，不承擔相關法律責任。
如若轉載，請注明出處：http://www.pswp.cn/news/913854.shtml
繁體地址，請注明出處：http://hk.pswp.cn/news/913854.shtml
英文地址，請注明出處：http://en.pswp.cn/news/913854.shtml

如若內容造成侵權/違法違規/事實不符，請聯系多彩編程網進行投訴反饋email:809451989@qq.com，一經查實，立即刪除！

相關文章

文件追加模式：編寫一個程序，向一個已存在的文件末尾追加內容。

文件追加模式：編寫一個程序，向一個已存在的文件末尾追加內容。

知識點文件打開模式"r"&#xff1a;只讀&#xff1b;文件須存在。"w"&#xff1a;寫入&#xff1b;清空或新建。"a"&#xff1a;追加&#xff1b;文件末尾寫入。"a"&#xff1a;讀/寫追加。追加&#xff08;Append&#xff09;機制&qu…
閱讀更多...
OneCode框架事件基礎模型架構深度剖析與代碼實現

OneCode框架事件基礎模型架構深度剖析與代碼實現

一、整體架構概覽 作為OneCode框架的事件核心模塊&#xff0c;構建了一套跨瀏覽器、多終端兼容的事件驅動架構。該架構采用分層設計思想&#xff0c;從底層事件捕獲到高層事件模擬&#xff0c;形成了完整的事件生命周期管理體系。整體架構可分為五個核心層次&#xff1a;事件捕…
閱讀更多...
Spring for Apache Pulsar-＞Reactive Support-＞Message Production

Spring for Apache Pulsar-＞Reactive Support-＞Message Production

好消息&#xff1a;Spring for Apache Pulsar這兩天剛剛升到2.0.0版本1. ReactivePulsarTemplate在Pulsar生產者端&#xff0c;Spring Boot自動配置提供了一個ReactivePulsarTemplate用于發布記錄。該模板實現了一個名為ReactivePulse Operations的接口&#xff0c;并提供了通過…
閱讀更多...
AtCoder Beginner Contest 413

AtCoder Beginner Contest 413

比賽鏈接如下&#xff1a;Denso Create Programming Contest 2025&#xff08;AtCoder Beginner Contest 413&#xff09; - AtCoder A - Content Too Large Problem Statement Takahashi has N items and one bag. The size of the i-th (1≤i≤N) item is Ai?, and the si…
閱讀更多...
Java學習---JVM（1）

Java學習---JVM（1）

JVM&#xff0c;即Java虛擬機&#xff0c;其是Java程序的運行環境&#xff0c;是Java技術的核心組成部分&#xff0c;本次就JVM的自動內存管理詳細展開&#xff1a;JVM的內存區域分為2大類&#xff0c;即線程私有的和線程共享的&#xff0c;前者分為3大塊&#xff0c;虛擬機棧、…
閱讀更多...
Qt去噪面板搭建

Qt去噪面板搭建

建立單選互斥性面板用于選擇噪聲屬性// 創建去噪面板 QWidget* noisePanel new QWidget(); QVBoxLayout* mainLayout new QVBoxLayout(noisePanel); mainLayout->setContentsMargins(10, 10, 10, 10); mainLayout->setSpacing(15);// 去噪方法選擇組QGroupBox* methodG…
閱讀更多...
無需公網IP的文件交互：FileCodeBox容器化部署技術解析

無需公網IP的文件交互：FileCodeBox容器化部署技術解析

文章目錄 前言1.Docker部署2.簡單使用演示3. 安裝cpolar內網穿透4. 配置公網地址5. 配置固定公網地址 前言 在數字化辦公需求日益增長的今天&#xff0c;文件傳輸已成為職場協作的高頻剛需。傳統共享方式卻飽受詬病&#xff1a;"需要安裝哪些臃腫客戶端&#xff1f;免費版…
閱讀更多...
1. http 有哪些版本，你是用的哪個版本，怎么查看

1. http 有哪些版本，你是用的哪個版本，怎么查看

http 有哪些版本&#xff0c;你是用的哪個版本&#xff0c;怎么查看 總結&#xff1a;http 版本有 0.9/1.0/1.1/2.0/3.0&#xff0c;我們常用的是 1.1 和 2.0&#xff0c;使用 window.chrome.loadTimes() 獲取 http 版本。 常見的 HTTP 版本 HTTP/0.9&#xff1a;最初的版本&am…
閱讀更多...
C# IIncrementalGenerator干點啥

C# IIncrementalGenerator干點啥

生成器項目 得基于.Net Stander 2.0 重要&#xff1a;<IsRoslynComponent>true</IsRoslynComponent>、<IncludeBuildOutput>false</IncludeBuildOutput>、 <PackageReference Include"Microsoft.CodeAnalysis" Version"4.14.0&q…
閱讀更多...
在徐州網絡中服務器租用與托管的優勢

在徐州網絡中服務器租用與托管的優勢

一、高性價比&#xff1a;徐州萬恒提供多種配置的服務器供租用&#xff0c;滿足不同企業和個人的業務需求&#xff0c;無論是初創企業追求低成本高效能&#xff0c;還是對性能有嚴苛要求的大型項目&#xff0c;都能找到合適的服務器型號&#xff0c;以極具競爭力的價格獲取強大…
閱讀更多...
學習軟件測試的第十四天（移動端）

學習軟件測試的第十四天（移動端）

一.常用的abd命令有哪些1.什么是 ADB&#xff1f;通俗解釋&#xff1a; ADB 就像一個橋梁&#xff0c;讓電腦能控制連接的手機&#xff0c;比如安裝APP、抓日志、重啟設備等。專業術語總結&#xff1a; ADB&#xff08;Android Debug Bridge&#xff09;是 Android SDK 提供的命…
閱讀更多...
04-ES6

04-ES6

let和const命令ES6中新增了let命令&#xff0c;用來聲明變量&#xff0c;用法類似與varlet和var的不同&#xff1a;1、不存在變量提升 console.log(a); //Cannot access a before initializationlet a 100;2、同一個作用域不能重復定義同一個名稱var c 20;let c 30;c…
閱讀更多...
基于GeographicLib實現測站地平坐標系（東北天）轉地心固定坐標系XYZ

基于GeographicLib實現測站地平坐標系（東北天）轉地心固定坐標系XYZ

一、概述主要內容&#xff1a;本文基于GeographicLib開源庫&#xff0c;實現了一個地理空間坐標轉換功能&#xff0c;主要用于根據觀測站的位置和目標的相對方位信息&#xff0c;計算目標在地球坐標系中的絕對位置。輸入&#xff1a;觀測站的經緯度坐標(緯度、經度、海拔高度)和…
閱讀更多...
若依框架去掉Redis

若依框架去掉Redis

這篇文章全是按照我的實戰操作來的&#xff0c;本文一是記錄一下這個過程&#xff0c;二是幫助更多的人少走彎路。 接下來我們看實戰&#xff1a;第一步毋庸置疑&#xff0c;就是找到配置文件application.yml里面大redis配置部分&#xff0c;直接注釋掉 注意這里的data:這是否注…
閱讀更多...
【會員專享數據】2013-2024年我國省市縣三級逐日SO?數值數據（Shp/Excel格式）

【會員專享數據】2013-2024年我國省市縣三級逐日SO?數值數據（Shp/Excel格式）

之前我們分享過2013-2024年全國范圍逐日SO?柵格數據&#xff08;可查看之前的文章獲悉詳情&#xff09;!該數據來源于韋晶博士、李占清教授團隊發布在國家青藏高原科學數據中心網站上的中國高分辨率高質量近地表空氣污染物數據集。很多小伙伴拿到數據后反饋柵格數據不太方便使…
閱讀更多...
TCP SYN、UDP、ICMP之DOS攻擊

TCP SYN、UDP、ICMP之DOS攻擊

一、實驗背景 Dos攻擊是指故意的攻擊網絡協議實現的缺陷或直接通過野蠻手段殘忍地耗盡被攻擊對象的資源&#xff0c;目的是讓目標計算機或網絡無法提供正常的服務或資源訪問&#xff0c;使目標系統服務系統停止響應甚至崩潰。 二、實驗設備 1.一臺靶機Windows主機 2.增加一個網…
閱讀更多...
Ntfs!LfsUpdateLfcbFromRestart函數分析之根據Ntfs!_LFS_RESTART_AREA初始化Ntfs!_LFCB

Ntfs!LfsUpdateLfcbFromRestart函數分析之根據Ntfs!_LFS_RESTART_AREA初始化Ntfs!_LFCB

第一部分&#xff1a;LfsUpdateLfcbFromRestart( ThisLfcb,FileSize,DiskRestartArea,FirstRestar1: kd> p Ntfs!LfsRestartLogFile0x317: f71fc8dd e820e5ffff call Ntfs!LfsUpdateLfcbFromRestart (f71fae02) 1: kd> t Ntfs!LfsUpdateLfcbFromRestart: f71fae0…
閱讀更多...
Qt開發：QtConcurrent介紹和使用

Qt開發：QtConcurrent介紹和使用

文章目錄一、QtConcurrent 簡介二、常用功能分類2.1 異步運行一個函數&#xff08;無返回值&#xff09;2.2 異步運行一個帶參數的函數&#xff08;有返回值&#xff09;2.3 綁定類成員函數2.4 容器并行處理&#xff08;map&#xff09;三、線程池控制四、取消任務五、典型應用…
閱讀更多...
企業數據開發治理平臺選型：13款系統優劣對比

企業數據開發治理平臺選型：13款系統優劣對比

本文將深入對比13款主流的數據指標管理平臺&#xff1a;1.網易數帆&#xff1b; 2.云徙科技&#xff1b; 3.數瀾科技&#xff1b; 4.用友數據中臺&#xff1b; 5.龍石數據中臺&#xff1b; 6.SelectDB&#xff1b; 7.得帆云 DeHoop 數據中臺&#xff1b; 8.Talend&#xff1b; …
閱讀更多...
Java JDK 下載指南

Java JDK 下載指南

Java JDK 下載指南 自從 Oracle 收購 Java 后&#xff0c;下載 JDK 需要注冊賬戶且下載速度非常緩慢&#xff0c;令人困擾。 解決方案&#xff1a; 華為云提供了便捷的 JDK 下載鏡像&#xff0c;訪問速度快且無需注冊&#xff1a; https://repo.huaweicloud.com/java/jdk/ 高…
閱讀更多...
最新文章

Copyright @ 2022~2023