《ACL原理培训胶片图文》由会员分享，可在线阅读，更多相关《ACL原理培训胶片图文（10页珍藏版）》请在金锄头文库上搜索。
1、Secinty Level:HUAWEI TECHNOLOGIES CO. LTD.HUAWB ConRdrtialHUAW6I学习目标学习完本课程.您应该能够：n理解访问控制列表的基本旅埋HUAWB TECHNOLOGIES CO. LTD.HUAWEI Ccrfidertial哆HUAWeiIP包过滤技术介绍对路由器棗要转发的数据包，先获取包头信息，然后和设定的规则 进行比较，根据比较的结異对数据包进行转发或者丢弃。而实现包 过滤的核心技术罡访问控制列表。只总部办事处哆 HUAWGI内部网络 未授权用户HUAWB TECHNOLOGIESCO. LTD.HUAWEI Ccrfldertia
2、l访问控制列表的作用访问控制列茨可以用于防火墙；访问控制列表可以用于Qos (Quality of Service )，对数据流 进行控制；在DCC中，访间控制列农还可用来规定解发拨号的条件；访问控制列表还可以用于地址转换；在配蚩路由荣晤时，可以利用访问控制列表来作路由信息的过滤。访问控制列表是什么？ 一个IP数据包如下图所示（图中IP所承駛的上层协议为 TCP/UDP）:IP报头 TCP/UDP报头数据HUAWB TECHNOLOGIESCO. LTD.HUAWEI Cofidertialg咚 HUAWei协议号源地址目的地址源端口目的靖口对于TCP/UDP来说.这5个元案组咸了一个TCP/
3、UDP相关.访问控割列表就是利用这些元素定义的规则HUAWB TECHNOLOGIESCO.LTD. HUAWEI Ccrfldertielg咚 HUAWei如何标识访问控制列表？利用数字标识访问控制列表利用数字范围标识访问控制列农的种类列表的种类效字标识的堂BBIP standard list20002999IP extended list3000-3999标准访问控制列表标准访问控制列表只使用源地址描述数克.表明杲允许还是拒绝。路由器HUAWB TECHNOLOGIESCO.LTD. HUAWEI Ccrtfldertial$哆 HUAWei标准访问控制列表的配置配磁标准访问列农的命令格式
4、如下：J acl acl-number match-orderauto | config n rule normal | specialpermit | deny source source-addr source-wildcard | any 怎样利用IP地址和反掩码wildcard-mask来表示一个网段？HUAWB TECHNOLOGIES CO. LTD.HUAWEI Ccrfidertial如何使用反掩码反熊码和子期掩码相似.但写法不同：40表示需要比较41表示忽略比较哆 HUAWei反掩码和IP地址结合使用.可以描述一个地址范医。000255只比较前24位003255只比较前22位
5、0255255255只比咬前8位HUAWB TECHNOLOGIESCO.LTD. HUAWEI Ccrfldertial扩展访问控制列表扩展访问控制列农使用除源地址外更多的信息描述数据包，衣明是 允许还是柜绝。从 202.110.10 0/24 来 的到 179 100 17.10 的.使用TCP协议， 利用HTTP访问的 数据包可以通过丿扩展访问控制列表的配置命令配W TCP/UDP协议的扩展访问列表：n rule normal | specialpermit | deny tcp | udp source source-addr source-wildcard | any source-
6、port operator portl port2 destination dest-addr dest- wildcard | any J destination-poft operator portl port2 logging配背ICMP协议的扩展访问列表：b rule normal | special X permit | deny icmp source source- addr source-wildcard | any destination dest-addr dest- wildcard | any icmp-type icmp-type icmp-code logging配
7、ii其它协议的扩展访问列表：0哆 HUAWei=rule normal | specialpermit | deny ip | ospf| igmp | gre (source source-addr source-wildcard | any desination dest- addr dest- wildcard | any 川oggingHUAWB TECHNOLOGIESCO.LTD. HUAWEI Ccrfidertiel扩展访问控制列表操作符的含义操作符及谱法0义equal portnumber尊于嫌口号portnumbergreater-than portnumber大于端口号p
8、ortnumberless-than portnumber于嫌口号 portnumbernot-equal portnumber不等于端口号portnumberrangeportnumberl portnumber2介于端口号portnumberl和 portnumber2 之间HUAWB TECHNOLOGIESCO. LTD.HUAWEI Ccrfldcrtial0哆 HUAWei扩展访问控制列表举例 rule deny icmp source 10.1J.0 0.0.2S5.255 destination any kmp4ype hostedirectICMP主机重定向报文10.1.0.
9、0/16 40WWW端巳 rule dmytcp source 129.9.0.0 0.0.255.255 destination 202.38.160.0 0.0.0.2S5 destination-port equal www loggingTCP报文HUAWB TECHNOLOGIESCO.LTD. HUAWEI Ccrfidertiel29 9.0.0/16 J0債T 于I20238 160.0孑冋跪：下面这聚访问控制列农祓不什么意思？deny udp source 129 9.8.0 0.00 255 destination 202.38.160.0 0.0.0.255destina
10、tion-port greater-than 128HUAWeiHUAWB TECHNOLOGIES CO. LTD.HUAWEI CcrfidertialHUAWei如何使用访问控制列表防火培配匿甜见步骤:启用防火增J定义访问控制列表P将访问控制列安应用到接口上防火墙的属性配置命令订畀或者关闭陆火堪4 firewall enable | disable设視防火坡的疑笞迥滤模式4 lirewaJl default ( permit|deny匹示防火境的腆态佢息纟 HUAWEIdisplay fireballHUAWEI TECHNQL OGI fS C D, LTDHUAWEI CoVlMl
11、fi在接口上应用访问控制列表将访问控制列表应用到接口上指明在接口上是OUT还是IN方向在接口视图下配置：ii就闷11 pckci-filter acl-nu mberinbound | outbound访问控制列表3001作用在Ethernet。接口在out方向有效 访 问控制列表2001作用在SerialO接口上在in方向上有效 EthernetO SerialOHUAWEI TECHNOLOGI ES CO., LTD. HUAWEI Co nfide ntial基于时间段的包过滤d特殊时间段内应用特殊的规则” Rules of ACL In ternet上班时间(上午8 : 00 下午5
12、 : 00 )只能访问特定的站点；其余 时间可以访 问其他站点 HUAWEI TECHNOLOGI ES CO., LTD. HUAWEI Con fide ntial访问控制列表的组合一条访问列表可以由多条规则组成,对于这些规则，有两种匹配顺序：auto和config。规则冲突时，若匹配顺序为 auto (深度优先)，描述的地址范围越小 的规则，将会优先考虑。深度的判断要依靠通配比较位和 IP 地址结合比较-rule deny 202.38.0.0 0.0.255.255 - rule permit 202.38.160.00.0.0.255 -两条规则结合则表示禁止一个大网段(202.38.0.0)上的主机 但允许其中的一小部分主 机(202.38.160.0)的访问。规则冲突时，若匹配顺序为config，先配置的规则会被优先考虑。HUAWEI TECHNOLOGI ES CO., LTD.HUAWEI Co nfide ntial谢谢
