ACL（访问控制列表）详解

访问控制列表(ACL)是应用在路由器接口的指令列表(即规则)。这些指令列表用来告诉路由器，那些数据包可以接受，那些数据包需要拒绝。

ACL使用包过滤技术，在路由器上读取OSI七层模型的第3层和第4层包头中的信息。如源地址，目标地址，源端口，目标端口等，根据预先定义好的规则，对包进行过滤，从而达到访问控制的目的。

ACl是一组规则的集合，它应用在路由器的某个接口上。对路由器接口而言，访问控制列表有两个方向。

出：已经通过路由器的处理，正离开路由器的数据包。

入：已到达路由器接口的数据包。将被路由器处理。

————————————————

1、Access Contral List

2、ACL是一种包过滤技术。

3、ACL基于IP包头的IP地址、四层TCP／UDP头部的端口号;基于三层和四层过滤

４、ACL在路由器上配置，也可以在防火墙上配置（一般称为策略）

５、ACL主要分为2大类：

标准ACL
表号是1-99 特点；

只能基于源IP地址对包进行过滤

扩展ACL
表号：100-199

特点：可以基于源IP、目标IP、端口号、协议对包进行过滤

————————————————

ACL原理

1）ACL表必须应用到接口的进或出方向生效

2）一个接口的一个方向只能应用一张表

3）进还是出方向应用？取决于流量控制总方向

4）ACL表是严格自上而下检查每一条，所以要注意书写顺序

5）每一条是有条件和动作组成，当流量不满足某条件，则继续检查；当流量完全满足某条件，不再往后检查直接执行动作。

6）标准ACL尽量写在靠近目标的地方

————————————————

1. conf t
2. access-list 表号 permit/deny 源IP或源网段 反子网掩码
3. access-list 表号 动作 条件

将ACL应用到接口：

1. int f0/x
2. ip access-group 表号 in/out
3. exit

———————

注释：反子网掩码：将正子网掩码0和1倒置

反子网掩码：用来匹配，与0对应的严格匹配，与1对应的忽略匹配。

———————

例如：access-list 1 deny 10.1.1.1 0.255.255.255

解释：该条目用来拒绝所有源IP为10开头的

access-list 1 deny 10.1.1.1 0.0.0.0

简写：access-list 1 deny host 10.1.1.1

解释：该条目用来拒绝所有源IP为10.1.1.1的主机

access-list 1 deny 0.0.0.0 255.255.255.255

简写：access-list 1 deny any

解释：该条目用来拒绝所有人

————————————————

————————————————

1）做流量控制，首先要先判断ACL写的位置（那个路由器？那个接口的哪个方向？）

2）再考虑怎么写ACL

首先要判断最终要允许所有还是拒绝所有

将【详细的严格的控制】写在最前面

3）一般情况下，标准或扩展ACL一旦编写，无法修改某一条，也无法删除某一条，也无法往中间插入新的条目，只能一直在最后添加新的条目

如想修改插入或删除，只能删除整张表，重新写！

conf t

no access-list 表号
查看ACL表：

show ip access-list [表ID]

————————————————

扩展ACL：

表号：100-199

特点：可以基于源IP、目标IP、端口号、协议对包进行过滤

命令：

acc 100 permint/deny 协议 源IP或源网段 反子网掩码 目标IP 或源网段 反子网掩码 [eq端口号]

注释：协议：tcp/udp/icmp/ip

案例：

acc 100 permit tcp host 10.1.1.1 host 20.1.1.3 eq 80

acc 100 deny ip host 10.1.1.1 20.1.1.1 0.0.0.255

————————————————

命名ACL：

作用：可以对标准或扩展ACL进行自定义命名

优点：

自定义命名更容易辨认，也便于记忆！

可以任意修改某一条，或删除某一条，也可以往中间插入某一条

conf t

ip access-list standard/extended 自定义表名

开始从deny或permit编写ACL条目

exit

删除某一条：

ip access-list standard/extended 自定义表名

no 条目ID

exit

插入某一条：

IP access-list standard/extended 自定义表名

条目ID 动作 条件

————————————————

以上是以思科命令为例。