acl权限模型（acl权限管理）



访问控制列表（Access Control Lists，ACL）是一种由一条或多条指令的集合，指令里面可以是报文的源地址、目标地址、协议类型、端口号等，根据这些指令设备来判断哪些数据接收，哪些数据需要拒绝接收。它类似于一种数据包过滤器。从而可以实现对网络访问行为的控制、限制网络流量、提高网络性能、防止网络攻击等等。

如图：可以通过配置ACL来实现限制主机A、主机B访问互联网，限制主机C、主机D访问服务器。

ACL结构

ACL是由一系列permit（允许）或deny（拒绝）语句组成的有序规则的列表，它单独是无法使用的，需要应用在业务模块中才能生效，如在NAT中调用、在防火墙的策略部署中被调用、在路由策略中被调用和用来通过流量过滤。

ACL组成如上图所示：

如：rule 10 permit source 1.1.1.0 0.0.0.255

代表：规则10允许源地址为1.1.1.0/24网段地址的报文通过。

ACL分类

ACL应用原则

ACL匹配位置：inbound和outbound

基本ACL尽量用在靠近目的端

高级ACL尽量用在靠近源端的地方(可以保护带宽和其他资源)

ACL匹配机制

ACL的匹配机制概括来说就是：

ACL实验配置

实验拓扑：

实验目的：

拓扑如图所示：

（1）在AR1上配置如下：

<Huawei>sys

[Huawei]sysname AR1

[AR1]int g0/0/0

[AR1-GigabitEthernet0/0/0]ip add 192.168.1.254 24 //配置端口IP

[AR1-GigabitEthernet0/0/0]int g0/0/1

[AR1-GigabitEthernet0/0/1]ip add 192.168.3.1 24

[AR1]rip //使用动态路由协议RIP

[AR1-rip-1]version 2 //RIP版本为RIPv2

[AR1-rip-1]network 192.168.1.0 //宣告192.168.1.0网段

[AR1-rip-1]network 192.168.3.0 //宣告192.168.3.0网段

（2）在AR2上配置如下：

<Huawei>sys

[Huawei]un in en

[Huawei]sysname AR2

[AR2]int g0/0/1

[AR2-GigabitEthernet0/0/1]ip add 192.168.3.2 24

[AR2-GigabitEthernet0/0/1]int g0/0/2

[AR2-GigabitEthernet0/0/2]ip add 192.168.4.2 24

[AR2-GigabitEthernet0/0/1]int g0/0/0

[AR2-GigabitEthernet0/0/0]ip add 192.168.2.254 24

[AR2]rip

[AR2-rip-1]version 2

[AR2-rip-1]net 192.168.2.0

[AR2-rip-1]net 192.168.3.0

[AR2-rip-1]net 192.168.4.0

（3）在AR3上配置如下：

[Huawei]int g0/0/0

[Huawei-GigabitEthernet0/0/0]ip add 192.168.4.3 24

[Huawei-GigabitEthernet0/0/0]int g0/0/1

[Huawei-GigabitEthernet0/0/1]ip add 192.168.5.254 24

[Huawei]rip

[Huawei-rip-1]version 2

[Huawei-rip-1]net 192.168.4.0

[Huawei-rip-1]net 192.168.5.0

（4）在各PC上配置相关IP地址和网关

（5）测试PC1与PC3的连通性

（6）在AR3上配置ACL

[Huawei]acl 2000 //创建基本ACL，编号为2001

[Huawei-acl-basic-2000]rule deny source 192.168.1.1 0

//规则（默认为5）拒绝192.168.1.1IP地址访问

[Huawei-acl-basic-2000]int g0/0/1

[Huawei-GigabitEthernet0/0/1]traffic-filter outbound acl 2000

//在端口g0/0/1上应用ACL2000,设置在outbound方向

（7）配置ACL后，测试PC1与PC3的连通性

版权声明：

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如若内容造成侵权、违法违规、事实不符，请将相关资料发送至xkadmin@xkablog.com进行投诉反馈，一经查实，立即处理！

转载请注明出处，原文链接：https://www.xkablog.com/jszy-cpgl/59888.html