《用访问控制列表实现包过滤》由会员分享，可在线阅读，更多相关《用访问控制列表实现包过滤（33页珍藏版）》请在金锄头文库上搜索。
1、用访问控制列表实现包过滤用访问控制列表实现包过滤ISSUE 1.0日期：杭州华三通信技术有限公司 版权所有，未经授权不得使用与传播n要增强网络安全性，网络设备需要具备控制某些访问或某些数据的能要增强网络安全性，网络设备需要具备控制某些访问或某些数据的能力。力。nACL包过滤是一种被广泛使用的网络安全技术。它使用包过滤是一种被广泛使用的网络安全技术。它使用ACL来实现数来实现数据识别，并决定是转发还是丢弃这些数据包。据识别，并决定是转发还是丢弃这些数据包。n由由ACL定义的报文匹配规则，还可以被其它需要对数据进行区分的场定义的报文匹配规则，还可以被其它需要对数据进行区分的场合引用。合引用。引入引
2、入n了解了解ACL定义及应用定义及应用n掌握掌握ACL包过滤工作原理包过滤工作原理n掌握掌握ACL的分类及应用的分类及应用n掌握掌握ACL包过滤的配置包过滤的配置n掌握掌握ACL包过滤的配置应用注意事项包过滤的配置应用注意事项课程目标课程目标学习完本课程，您应该能够：学习完本课程，您应该能够：nACL概述概述nACL包过滤原理包过滤原理nACL分类分类n配置配置ACL包过滤包过滤nACL包过滤的注意事项包过滤的注意事项目录目录ACL概述概述lACL（Access Control List，访问控制列，访问控制列表）是用来实现数据包识别功能的表）是用来实现数据包识别功能的lACL可以应用于诸多方
3、面可以应用于诸多方面包过滤防火墙功能包过滤防火墙功能 NAT（Network Address Translation，网络地，网络地址转换）址转换）QoS（Quality of Service，服务质量）的数据，服务质量）的数据分类分类路由策略和过滤路由策略和过滤按需拨号按需拨号nACL概述概述nACL包过滤原理包过滤原理nACL分类分类n配置配置ACL包过滤包过滤nACL包过滤的注意事项包过滤的注意事项目录目录基于基于ACL的包过滤技术的包过滤技术l对进出的数据包逐个过滤，丢弃或允许通过对进出的数据包逐个过滤，丢弃或允许通过lACL应用于接口上，每个接口的出入双向分别应用于接口上，每个接口的
4、出入双向分别过滤过滤l仅当数据包经过一个接口时，才能被此接口的仅当数据包经过一个接口时，才能被此接口的此方向的此方向的ACL过滤过滤入方向过滤入方向过滤入方向过滤入方向过滤出方向过滤出方向过滤出方向过滤出方向过滤接口接口接口接口路由转发路由转发进程进程入站包过滤工作流程入站包过滤工作流程匹配第一条规则数据包入站匹配第二条规则匹配最后一条规则丢弃通过YesPermit是否配置入方向ACL包过滤NoPermitDenyPermitDefault PermitDenyDenyDefault Deny数据包进入转发流程NoNoNo检查默认规则设定出站包过滤工作流程出站包过滤工作流程匹配第一条规则数据包
5、到达出接口匹配第二条规则匹配最后一条规则丢弃通过YesPermit是否配置出方向ACL包过滤NoPermitDenyPermitDefault PermitDenyDenyDefault Deny数据包出站NoNoNo检查默认规则设定通配符掩码通配符掩码通配符掩码通配符掩码含义含义0.0.0.255只比较前只比较前24位位0.0.3.255只比较前只比较前22位位0.255.255.255只比较前只比较前8位位l通配符掩码和通配符掩码和IP地址结合使用以描述一个地址地址结合使用以描述一个地址范围范围l通配符掩码和子网掩码相似，但含义不同通配符掩码和子网掩码相似，但含义不同0表示对应位须比较表示
6、对应位须比较1表示对应位不比较表示对应位不比较通配符掩码的应用示例通配符掩码的应用示例IP地址地址通配符掩码通配符掩码表示的地址范围表示的地址范围192.168.0.10.0.0.255192.168.0.0/24192.168.0.10.0.3.255192.168.0.0/22192.168.0.10.255.255.255192.0.0.0/8192.168.0.10.0.0.0192.168.0.1192.168.0.1255.255.255.2550.0.0.0/0192.168.0.10.0.2.255192.168.0.0/24和192.168.2.0/24nACL概述概述nAC
7、L包过滤原理包过滤原理nACL分类分类n配置配置ACL包过滤包过滤nACL包过滤的注意事项包过滤的注意事项目录目录ACL的标识的标识l利用数字序号标识访问控制列表利用数字序号标识访问控制列表l可以给访问控制列表指定名称，便于维护可以给访问控制列表指定名称，便于维护访问控制列表的分类访问控制列表的分类数字序号的范围数字序号的范围基本访问控制列表基本访问控制列表 20002999 扩展访问控制列表扩展访问控制列表 30003999 基于二层的访问控制列表基于二层的访问控制列表 40004999 用户自定义的访问控制列表用户自定义的访问控制列表 50005999 基本基本ACLl基本访问控制列表只根
8、据报文的源基本访问控制列表只根据报文的源IP地址信息制地址信息制定规则定规则接口接口接口接口从从1.1.1.0/24来的数据包不能通过来的数据包不能通过从从2.2.2.0/28来的数据包可以通过来的数据包可以通过DA=3.3.3.3 SA=1.1.1.1DA=3.3.3.3 SA=2.2.2.1分组分组分组分组高级高级ACLl高级访问控制列表根据报文的源高级访问控制列表根据报文的源IP地址、目的地址、目的IP地址、地址、IP承载的协议类型、协议特性等三、四层承载的协议类型、协议特性等三、四层信息制定规则信息制定规则接口接口接口接口从从1.1.1.0/24来，到来，到3.3.3.1的的TCP端口
9、端口80去的数据包不能通过去的数据包不能通过从从1.1.1.0/24来，到来，到2.2.2.1的的TCP端口端口23去的数据包可以通过去的数据包可以通过DA=3.3.3.1, SA=1.1.1.1TCP, DP=80, SP=2032DA=2.2.2.1, SA=1.1.1.1TCP, DP=23, SP=3176分组分组分组分组二层二层ACL与用户自定义与用户自定义ACLl二层二层ACL根据报文的源根据报文的源MAC地址、目的地址、目的MAC地址、地址、802.1p优先级、二层协议类型等二层信息制定匹配规优先级、二层协议类型等二层信息制定匹配规则则l用户自定义用户自定义ACL可以根据任意位置
10、的任意字串制定匹可以根据任意位置的任意字串制定匹配规则配规则报文的报文头、IP头等为基准，指定从第几个字节开始与掩码进行“与”操作，将从报文提取出来的字符串和用户定义的字符串进行比较，找到匹配的报文。nACL概述概述nACL包过滤原理包过滤原理nACL分类分类n配置配置ACL包过滤包过滤nACL包过滤的注意事项包过滤的注意事项目录目录ACL包过滤配置任务包过滤配置任务l启动包过滤防火墙功能，设置默认的过滤规则启动包过滤防火墙功能，设置默认的过滤规则 l根据需要选择合适的根据需要选择合适的ACL分类分类l创建正确的规则创建正确的规则设置匹配条件设置合适的动作（Permit/Deny)l 在路由器
11、的接口上应用在路由器的接口上应用ACL，并指明过滤报，并指明过滤报文的方向（入站文的方向（入站/出站）出站）启动包过滤防火墙功能启动包过滤防火墙功能l防火墙功能需要在路由器上启动后才能生效防火墙功能需要在路由器上启动后才能生效l设置防火墙的默认过滤方式设置防火墙的默认过滤方式系统默认的默认过滤方式是permit sysname firewall enable sysname firewall default permit | deny 配置基本配置基本ACLsysname acl number acl-numberl配置基本配置基本ACL，并指定，并指定ACL序号序号基本IPv4 ACL的序号
12、取值范围为20002999sysname-acl-basic-2000 rule rule-id deny | permit fragment | logging | source sour-addr sour-wildcard | any | time-range time-name l定义规则定义规则制定要匹配的源IP地址范围指定动作是permit或配置高级配置高级ACLl配置高级配置高级IPv4 ACL，并指定，并指定ACL序号序号高级IPv4 ACL的序号取值范围为30003999sysname-acl-adv-3000 rule rule-id deny | permit proto
13、col destination dest-addr dest-wildcard | any | destination-port operator port1 port2 established | fragment | source sour-addr sour-wildcard | any | source-port operator port1 port2 | time-range time-name sysname acl number acl-numberl定义规则定义规则需要配置规则来匹配源IP地址、目的IP地址、IP承载的协议类型、协议端口号等信息指定动作是permit或配置二层
14、配置二层ACLl配置二层配置二层 ACL，并指定，并指定ACL序号序号二层ACL的序号取值范围为40004999sysname-acl-ethernetframe-3000 rule rule-id deny | permit cos vlan-pri | dest-mac dest-addr dest-mask | lsap lsap-code lsap-wildcard | source-mac sour-addr source-mask | time-range time-name sysname acl number acl-numberl定义规则定义规则需要配置规则来匹配源MAC地址
15、、目的MAC地址、802.1p优先级、二层协议类型等二层信息指定动作是permit或拒绝在接口上应用在接口上应用ACLl将将ACL应用到接口上，配置的应用到接口上，配置的ACL包过滤才能生包过滤才能生效效l指明在接口上应用的方向是指明在接口上应用的方向是Outbound还是还是Inboundsysname-Serial2/0 firewall packet-filter acl-number | name acl-name inbound | outbound ACL包过滤显示与调试包过滤显示与调试操作操作命令命令查看防火墙的统计信息查看防火墙的统计信息display firewall-sta
16、tistics all | interface interface-type interface-number查看以太网帧过滤情况的信息查看以太网帧过滤情况的信息display firewall ethernet-frame-filter all | dlsw | interface interface-type interface-number 清除防火墙的统计信息清除防火墙的统计信息reset firewall-statistics all | interface interface-type interface-number显示配置的显示配置的IPv4 ACL信息信息display ac
17、l acl-number | all清除清除IPv4 ACL统计信息统计信息reset acl counter acl-number | all |nACL概述概述nACL包过滤原理包过滤原理nACL分类分类n配置配置ACL包过滤包过滤nACL包过滤的注意事项包过滤的注意事项目录目录ACL规则的匹配顺序规则的匹配顺序l匹配顺序指匹配顺序指ACL中规则的优先级。中规则的优先级。lACL支持两种匹配顺序：支持两种匹配顺序：配置顺序（config）：按照用户配置规则的先后顺序进行规则匹配自动排序（auto）：按照“深度优先”的顺序进行规则匹配，即地址范围小的规则被优先进行匹配l配置配置ACL的匹配顺
18、序：的匹配顺序： sysname acl number acl-number match-order auto | config 不同匹配顺序导致结果不同不同匹配顺序导致结果不同接口接口接口接口DA=3.3.3.3 SA=1.1.1.1分组分组acl number 2000 match-order config rule permit source 1.1.1.0 0.0.0.255 rule deny source 1.1.1.1 0接口接口接口接口DA=3.3.3.3 SA=1.1.1.1分组分组acl number 2000 match-order auto rule permit so
19、urce 1.1.1.0 0.0.0.255 rule deny source 1.1.1.1 在网络中的正确位置配置在网络中的正确位置配置ACL包过滤包过滤l尽可能在靠近数据源的路由器接口上配置尽可能在靠近数据源的路由器接口上配置ACL，以减少不必要的流量转发，以减少不必要的流量转发l高级高级ACL应该在靠近被过滤源的接口上应用ACL，以尽早阻止不必要的流量进入网络l基本基本ACL过于靠近被过滤源的基本ACL可能阻止该源访问合法目的应在不影响其他合法访问的前提下，尽可能使ACL靠近被过滤的源高级高级ACL部署位置示例部署位置示例PCA172.16.0.1E0/1E0/0RTCRTBRTAl要
20、求要求PCA不能访问不能访问NetworkA和和NetworkB，但可以访问其他所有网络，但可以访问其他所有网络NetworkA192.168.0.0/24NetworkB192.168.1.0/24NetworkC192.168.2.0/24NetworkD192.168.3.0/24E0/0E0/1RTC firewall enableRTC acl number 3000RTC-acl-adv-3000 rule deny ip source 172.16.0.1 0 destination 192.168.0.0 0.0.1.255RTC-Ethernet0/0 firewall pa
21、cket-filter 3000 inbound 基本基本ACL部署位置示例部署位置示例l要求要求PCA不能访问不能访问NetworkA和和NetworkB，但可以访问其他所有网络，但可以访问其他所有网络PCA172.16.0.1E0/1E0/0RTCRTBRTANetworkA192.168.0.0/24NetworkB192.168.1.0/24NetworkC192.168.2.0/24NetworkD192.168.3.0/24E0/0E0/1RTA firewall enableRTA acl number 2000RTA-acl-basic-2000 rule deny sourc
22、e 172.16.0.1 0RTA-Ethernet0/1 firewall packet-filter 2000 inbound ACL包过滤的局限性包过滤的局限性lACL包过滤防火墙是根据数据包头中的二、包过滤防火墙是根据数据包头中的二、三、四层信息来进行报文过滤的，对应用层三、四层信息来进行报文过滤的，对应用层的信息无法识别的信息无法识别无法根据用户名来决定数据是否通过无法给不同的用户授予不同的权限级别lACL包过滤防火墙是静态防火墙，无法对应包过滤防火墙是静态防火墙，无法对应用层协议进行动态检测用层协议进行动态检测n包过滤防火墙使用包过滤防火墙使用ACL过滤数据包；过滤数据包；ACL还可用于还可用于NAT、QoS、路由策略、按需拨号等、路由策略、按需拨号等n基本基本ACL根据源根据源IP地址进行过滤；高级地址进行过滤；高级ACL根据根据IP地址、地址、IP协议号、端口号等进行过滤协议号、端口号等进行过滤nACL规则的匹配顺序会影响实际过滤结果规则的匹配顺序会影响实际过滤结果nACL包过滤防火墙的配置位置应尽量避免不必要的流量包过滤防火墙的配置位置应尽量避免不必要的流量进入网络进入网络本章总结本章总结杭州华三通信技术有限公司
