ACL（访问控制列表）

ACL技术概述

• 随着网络的飞速发展，网络安全和网络服务质量 QoS （ Quality of Service ）问题日益突出。

▫ 园区重要服务器资源被随意访问，园区机密信息容易泄露，造成安全隐患。

▫ Internet 病毒肆意侵略园区内网，内网环境的安全性堪忧。

▫ 网络带宽被各类业务随意挤占，服务质量要求最高的语音、视频业务的带宽得不到保障，造成用户体验差。

• 以上种种问题，都对正常的网络通信造成了很大的影响。因此，提高网络安全性和服务质量迫在眉睫，我们需要对网络进行控制。比如，需要借助一个工具帮助实现一些流量的过滤。

通过ACL可以实现对网络中报文流的精确识别和控制，达到控制网络访问行为、防止网络攻击和提高网络带宽利用率的目的，从而切实保障网络环境的安全性和网络服务质量的可靠性。

• ACL是由permit或deny语句组成的一系列有顺序的规则的集合；它通过匹配报文的相关字段实现对报文的分类。
• ACL是能够匹配一个IP数据包中的源IP地址、目的IP地址、协议类型、源目的端口等元素的基础性工具；ACL还能够用于匹配路由条目。

注意：ACL可以通过对网络中报文流的精确识别，与其他技术结合，达到控制网络访问行为。

ACL基本概念

ACL分类

• 基本 ACL ：

▫ 主要针对 IP 报文的源 IP 地址进行匹配，基本 ACL 的编号范围是 2000-2999 。

▫ 比如这个例子，创建的是 acl 2000 ，就意味着创建的是基本 ACL 。

• 高级 ACL ：

▫ 可以根据 IP 报文中的源 IP 地址、目的 IP 地址、协议类型， TCP 或 UDP 的源目端口号等元素进行匹配，可以理解为：基本 ACL 是高级 ACL 的一个子集，高级 ACL 可以比基本 ACL 定义出更精确、更复杂、更灵活的规则。

此篇文章主要讲解基本ACL和高级ACL。

ACL组成

ACL由若干条permit或deny语句组成。每条语句就是该ACL的一条规则，每条语句中的permit或deny就是与这条规则相对应的处理动作。

例如：

rule 5   permit     source       192.168.1.1        0.0.0.0

节点     动作       匹配项       参数               通配符掩码

节点： 一个ACL的每条规则都需要进行排列

       默认5的步长进行条目的排列，取值范围是<0-4294967294>

       [AR1-acl-basic-2000]step <1-20> 设置步长，默认为5

动作：permit/deny 只是做为标记使用，具体是允许通过还是禁止通过是由其他技术决定的

匹配项：ACL定义了极其丰富的匹配项。例子中体现的源地址，ACL还支持很多其他规则匹配项。例如，二层以太网帧头信息（如源MAC、目的MAC、以太帧协议类型）、三层报文信息（如目的地址、协议类型）以及四层报文信息（如TCP/UDP端口号）等。

参数：具体的信息。

通配符掩码：不需要连续的1和连续的0组合，0表示精确匹配，1表示任意匹配。

• 如果想匹配 192.168.1.0/24 网段中的奇数 IP 地址，通配符该怎么写呢？

▫ 我们先来看一看，奇数 IP 地址都有哪些： 192.168.1.1 、 192.168.1.5 、 192.168.1.11……

▫ 后八位写成二进制： 192.168.1.00000001 、 192.168.1.00000101 、 192.168.1.00001011……

▫ 可以看出共同点：最后 8 位的高 7 位是任意值，最低位固定为 1 ，因此答案是： 192.168.1.1 0.0.0.254 （ 0.0.0.11111110 ）

• 这就得出了通配符的一个特点：通配符中的 1或者0 是可以不连续的。

• 还有两个特殊的通配符：

▫ 当通配符全为 0 来匹配 IP 地址时，表示精确匹配某个 IP 地址；

▫ 当通配符全为 1 来匹配 0.0.0.0 地址时，表示匹配了所有 IP 地址。

ACL匹配机制

• ACL 的匹配机制概括来说就是：

▫ 配置 ACL 的设备接收报文后，会将该报文与 ACL 中的规则逐条进行匹配，如果不能匹配上，就会继续尝试去匹配下一条规则。

▫ 一旦匹配上，则设备会对该报文执行这条规则中定义的处理动作，并且不再继续尝试与后续规则匹配。

• 匹配流程：首先系统会查找设备上是否配置了 ACL 。

▫ 如果 ACL 不存在，则返回 ACL 匹配结果为：不匹配。

▫ 如果 ACL 存在，则查找设备是否配置了 ACL 规则。

▪ 如果规则不存在，则返回 ACL 匹配结果为：不匹配。

▪ 如果规则存在，则系统会从 ACL 中编号最小的规则开始查找。

− 如果匹配上了 permit 规则，则停止查找规则，并返回 ACL 匹配结果为：匹配（允许）。

− 如果匹配上了 deny 规则，则停止查找规则，并返回 ACL 匹配结果为：匹配（拒绝）。

− 如果未匹配上规则，则继续查找下一条规则，以此循环。如果一直查到最后一条规则，报文仍未匹配上，则返回 ACL 匹配结果为：不匹配。

• 从整个 ACL 匹配流程可以看出，报文与 ACL 规则匹配后，会产生两种匹配结果：“匹配”和“不匹配”。

▫ 匹配（命中规则）：指存在 ACL ，且在 ACL 中查找到了符合匹配条件的规则。不论匹配的动作是“ permit” 还是“ deny” ，都称为“匹配”，而不是只是匹配上 permit 规则才算“匹配”。

▫ 不匹配（未命中规则）：指不存在 ACL ，或 ACL 中无规则，再或者在 ACL 中遍历了所有规则都没有找到符合匹配条件的规则。以上三种情况，都叫做“不匹配”。

• 匹配原则：一旦命中即停止匹配。

注意：

ACL根据匹配信息不同，最终隐含规则也不同

1.如果ACL匹配的是流量，则默认是允许所有

2.如果ACL匹配的是路由，则默认是拒绝所有

ACL的匹配位置

ACL应用案例

通过ACL实现流量过滤

如图，要使PC1能够和PC2通信，但是不能和PC3通信，应该如何配置ACL呢？

各个主机IP地址为：

法一：在交换机上配置基本ACL实现流量过滤

先在全局视图下创建基本ACL，匹配源地址为192.168.1.1（PC1）的流量，然后在交换机的GE 0/0/3的出方向过滤掉该流量。

结果：

可以看到，通过基本ACL实现了PC1能够访问PC2，不能够访问PC3。

法二：在交换机上配置高级ACL实现流量过滤

先在全局视图下创建高级ACL，匹配源地址为192.168.1.1（PC1）目的地址为192.168.1.3（PC3）的流量，然后在交换机的GE 0/0/1的入方向过滤掉该流量。

结果：

可以看到，通过高级ACL实现了PC1能够访问PC2，不能够访问PC3。