【路由器配置-ACL访问控制列表】

路由器配置-ACL访问控制列表一、概念二、配置1、定义ACL2、接口使用ACL一、概念1.ACL访问控制列表是路由器 / 交换机上的一组规则用来匹配数据包决定 “允许permit” 还是 “拒绝deny”。2.ACL可控制流量访问比如不让某个 IP 上网、匹配流量给 NAT、路由策略、QoS 做匹配、简单安全过滤。3.分类①标准 ACL只匹配源IP地址。号段20002999特点简单、粗糙不能匹配目标 IP、端口原则标准ACL要尽量靠近目标端配置避免误杀正常流量。②扩展高级 ACL匹配源 IP、目标 IP、协议TCP/UDP/ICMP、端口号。号段华为30003999功能强、精准最常用原则扩展 ACL尽量靠近源端配置节省链路带宽。4.规则①自上而下逐条匹配命中即执行不再往下看 ②末尾隐含一条deny any所有未匹配流量全部拒绝所以只写 deny不写permit全封 ③ACL不能过滤本机发出的流量 ④同一个接口、同一个方向只能调用一个ACL⑤ACL是数据包过滤不是会话跟踪想让内网访问外网并允许回包必须写双向规则或用 established。二、配置1、定义ACL①标准ACLacl 编号、rule permit/deny源IP反掩码反掩码0 必须严格匹配1 任意匹配单个IP192.168.1.10 0.0.0.0匹配一个网段192.168.1.0/24192.168.1.0 0.0.0.255匹配所有any 或 0.0.0.0 255.255.255.255举例acl 2000先声明acl2000是标准acl编号、rule deny source 192.168.1.10 0.0.0.0规则是deny拒绝source是针对单个源IP192.168.1.10、rule permit any规则是允许所有②扩展ACLacl 编号、rule permit/deny协议源IP 反掩码 目标IP 反掩码 端口举例1acl 3000先声明acl3000是扩展acl编号、rule deny icmp source 192.168.1.0 0.0.0.255 any规则是拒绝动作是ping即icmp服务目标是192.168.1.0网段的所有设备举例2acl 3000先声明acl3000是扩展acl编号、rule deny tcp any destination 10.0.0.10 0.0.0.0 eq 80规则是拒绝协议是tcp目标是10.0.0.10端口是80该语句的目的是禁止10.0.0.10使用web服务2、接口使用ACL举例interface GigabitEthernet0/0/1进入GE0/0/1接口traffic-filter acl 3000 inbound使acl 3000生效inbound流量进入路由器时检查outbound流量离开路由器时检查