2. 程式人生 > ># 中小型網絡構建-ACL

# 中小型網絡構建-ACL

阿新 • • 發佈：2018-05-16
中小型網絡構建

中小型網絡構建-ACL

1、什麽是ACL?

訪問控制列表（Access Control List，ACL） 是路由器和交換機接口的指令列表，用來控制端口進出的數據包。

配置ACL後，可以限制網絡流量，允許特定設備訪問，指定轉發特定端口數據包等。
2、ACL的工作作用：
ACL可以限制網絡流量、提高網絡性能。例如，ACL可以根據數據包的協議，指定數據包的優先級。
ACL提供對通信流量的控制手段。例如，ACL可以限定或簡化路由更新信息的長度，從而限制通過路由器某一網段的通信流量。
ACL是提供網絡安全訪問的基本手段。ACL允許主機A訪問人力資源網絡，而拒絕主機B訪問。
ACL可以在路由器端口處決定哪種類型的通信流量被轉發或被阻塞。例如，用戶可以允許E-mail通信流量被路由，拒絕所有的Telnet通信流量。

例如：某部門要求只能使用 WWW 這個功能，就可以通過ACL實現； 又例如，為了某部門的保密性，不允許其訪問外網，也不允許外網訪問它，就可以通過ACL實現。
3、執行過程
一個端口執行哪條ACL，這需要按照列表中的條件語句執行順序來判斷。如果一個數據包的報頭跟表中某個條件判斷語句相匹配，那麽後面的語進行檢句就將被忽略，不再查。
數據包只有在跟第一個判斷條件不匹配時，它才被交給ACL中的下一個條件判斷語句進行比較。如果匹配（假設為允許發送），則不管是第一條還是最後一條語句，數據都會立即發送到目的接口。

1.當ACL中有多個條目的，
  在進行匹配數據包的時候，是按照每個條目的序列號-rule number 
  從小到大開始匹配的，
  一旦有一個條目匹配成功，
  後續的條目就不看了；

  ACL最後有一個看不見的，允許所有的 ACL 條目；

1.在物理接口上，通過 traffic-filter in/out  acl XXX
2.在虛擬接口上(user-interface vty xxx ) --- 通過
   acl in/out acl XXX 調用的時候，默認動作是拒絕所有。
 

源IP地址 +  目標IP  + 傳輸層協議  + 源端口  + 目標端口

192.168.1.3 -----> 192.168.23.3  :  ping  , NO 
192.168.1.3 -----> 192.168.23.3  :  telnet , YES

192.168.1.3 -----> 192.168.23.3  :  ping  , YES 
192.168.1.3 -----> 192.168.23.3  :  telnet , NO

    綜合部：192.168.1.0/24  ------> 192.168.2.1/24
    192.168.1.1/24  --- NO
    192.168.1.2/24  
    192.168.1.3/24  --- NO
    192.168.1.4/24
    192.168.1.5/24  --- NO
    192.168.1.6/24
    192.168.1.7/24  --- NO
    192.168.1.8/24

acl 3000
  rule 10 deny icmp source 192.168.1.1 0.0.0.0
                    destination 192.168.2.1 0.0.0.0
  rule 20 deny icmp source 192.168.1.3 0.0.0.0
                    destination 192.168.2.1 0.0.0.0
  rule 30 deny icmp source 192.168.1.5 0.0.0.0
                    destination 192.168.2.1 0.0.0.0
  rule 40 deny icmp source 192.168.1.7 0.0.0.0
                    destination 192.168.2.1 0.0.0.0
 
    192.168.1.1--> 192.168.2.1          
    192.168.1.2--> 192.168.2.1
    192.168.1.3--> 192.168.2.1
    192.168.1.4--> 192.168.2.1
    192.168.1.5--> 192.168.2.1
    192.168.1.6--> 192.168.2.1
    192.168.1.255--> 192.168.2.1

acl 3000

rule 10 deny icmp source 192.168.1.1 .............
destination 192.168.2.1 0.0.0.0 

    192.168.1.1  0000 0001
    192.168.1.3  0000 0011
    192.168.1.5  0000 0101
    192.168.1.7  0000 0111
    公共部分：
        192.168.1.   0000 0XX1

    當我們使用一個 ACL 條目同時匹配多個地址的時候，
    我們需要做：

    1.  確定多個地址的“公共部分”
            # 相同的位，直接寫；
            # 不同的位，變成0；         

            192.168.1.1     
    2. 確定與“公共部分”所對應的“通配符”   

            -通配符與公共IP地址，是一一對應的；

           #在通配符中，與公共IP地址中不變的位對應的位置，
            寫0；
           #在通配符中，與公共IP地址中變的位對應的位置，
            寫1；                 

    192.168.1.1  0.0.0.6

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~`

高級ACL調用在距離源特別近的地方；
基本ACL調用在距離目標特別近的地方；

ACL類型：
   基本ACL ： 2000 ~ 2999
   高級ACL ： 3000 ~ 3999

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~`

ACL的作用： 
    控制流量的傳輸；
    （基本ACL與高級ACL）- 華為
    （標準ACL與擴展ACL）- 思科

ACL 與 NAT 的配合使用：

     NAT 
       -定義
       -作用
       -類型
       -配置

在虛擬端口下配置ACL。
[Huawei-acl-basic-2000]rule 10 permit source 192.168.1.0 0.0.0.255
                                源
[r3-ui-vty0-4]acl 2000 inbound

1、什麽是ACL?

訪問控制列表（Access Control List，ACL） 是路由器和交換機接口的指令列表，用來控制端口進出的數據包。

配置ACL後，可以限制網絡流量，允許特定設備訪問，指定轉發特定端口數據包等。
2、ACL的工作作用：
ACL可以限制網絡流量、提高網絡性能。例如，ACL可以根據數據包的協議，指定數據包的優先級。
ACL提供對通信流量的控制手段。例如，ACL可以限定或簡化路由更新信息的長度，從而限制通過路由器某一網段的通信流量。
ACL是提供網絡安全訪問的基本手段。ACL允許主機A訪問人力資源網絡，而拒絕主機B訪問。
ACL可以在路由器端口處決定哪種類型的通信流量被轉發或被阻塞。例如，用戶可以允許E-mail通信流量被路由，拒絕所有的Telnet通信流量。
例如：某部門要求只能使用 WWW 這個功能，就可以通過ACL實現； 又例如，為了某部門的保密性，不允許其訪問外網，也不允許外網訪問它，就可以通過ACL實現。
3、執行過程
一個端口執行哪條ACL，這需要按照列表中的條件語句執行順序來判斷。如果一個數據包的報頭跟表中某個條件判斷語句相匹配，那麽後面的語進行檢句就將被忽略，不再查。
數據包只有在跟第一個判斷條件不匹配時，它才被交給ACL中的下一個條件判斷語句進行比較。如果匹配（假設為允許發送），則不管是第一條還是最後一條語句，數據都會立即發送到目的接口。

    1.當ACL中有多個條目的，
      在進行匹配數據包的時候，是按照每個條目的序列號-rule number 
      從小到大開始匹配的，
      一旦有一個條目匹配成功，
      後續的條目就不看了；

      ACL最後有一個看不見的，允許所有的 ACL 條目；

    1.在物理接口上，通過 traffic-filter in/out  acl XXX
    2.在虛擬接口上(user-interface vty xxx ) --- 通過
       acl in/out acl XXX 調用的時候，默認動作是拒絕所有。

源IP地址 + 目標IP + 傳輸層協議 + 源端口 + 目標端口

192.168.1.3 -----> 192.168.23.3 : ping , NO
192.168.1.3 -----> 192.168.23.3 : telnet , YES

192.168.1.3 -----> 192.168.23.3 : ping , YES
192.168.1.3 -----> 192.168.23.3 : telnet , NO

綜合部：192.168.1.0/24  ------> 192.168.2.1/24
192.168.1.1/24  --- NO
192.168.1.2/24  
192.168.1.3/24  --- NO
192.168.1.4/24
192.168.1.5/24  --- NO
192.168.1.6/24
192.168.1.7/24  --- NO
192.168.1.8/24

acl 3000
rule 10 deny icmp source 192.168.1.1 0.0.0.0
destination 192.168.2.1 0.0.0.0
rule 20 deny icmp source 192.168.1.3 0.0.0.0
destination 192.168.2.1 0.0.0.0
rule 30 deny icmp source 192.168.1.5 0.0.0.0
destination 192.168.2.1 0.0.0.0
rule 40 deny icmp source 192.168.1.7 0.0.0.0
destination 192.168.2.1 0.0.0.0

        192.168.1.1--> 192.168.2.1          
        192.168.1.2--> 192.168.2.1
        192.168.1.3--> 192.168.2.1
        192.168.1.4--> 192.168.2.1
        192.168.1.5--> 192.168.2.1
        192.168.1.6--> 192.168.2.1
        192.168.1.255--> 192.168.2.1        

acl 3000

rule 10 deny icmp source 192.168.1.1  .............
                  destination 192.168.2.1 0.0.0.0               

        192.168.1.1  0000 0001
        192.168.1.3  0000 0011
        192.168.1.5  0000 0101
        192.168.1.7  0000 0111

公共部分：
    192.168.1.   0000 0XX1

當我們使用一個 ACL 條目同時匹配多個地址的時候，
我們需要做：

1.  確定多個地址的“公共部分”
        # 相同的位，直接寫；
        # 不同的位，變成0；         

        192.168.1.1     
2. 確定與“公共部分”所對應的“通配符”   

        -通配符與公共IP地址，是一一對應的；

       #在通配符中，與公共IP地址中不變的位對應的位置，
        寫0；
       #在通配符中，與公共IP地址中變的位對應的位置，
        寫1；                 

192.168.1.1  0.0.0.6

~~~~~~~~~~`

高級ACL調用在距離源特別近的地方；
基本ACL調用在距離目標特別近的地方；

ACL類型：
基本ACL ： 2000 ~ 2999
高級ACL ： 3000 ~ 3999

~~~~~~~~~~~~~`

ACL的作用：
控制流量的傳輸；
（基本ACL與高級ACL）- 華為
（標準ACL與擴展ACL）- 思科

ACL 與 NAT 的配合使用：

 NAT 
   -定義
   -作用
   -類型
   -配置

在虛擬端口下配置ACL。
[Huawei-acl-basic-2000]rule 10 permit source 192.168.1.0 0.0.0.255
源
[r3-ui-vty0-4]acl 2000 inbound

# 中小型網絡構建-ACL

相關推薦

# 中小型網絡構建-ACL

中小型網絡構建中小型網絡構建-ACL 1、什麽是ACL? 訪問控制列表（Access Control List，ACL） 是路由器和交換機接口的指令列表，用來控制端口進出的數據包。 配置ACL後，可以限制網絡流量，允許特定設備訪問，指定轉發特定端口數據包等。2、ACL的工作作用：ACL可以限制網絡流量、提高網

中小型網絡構建——VRRP的應用

watermark dbd shadow 引用 相同 目的 face 區域 屬於 今天給大家帶來的是VRRP的應用，為了解決三層網絡設備間的單點故障問題，引入了VRRP。在實驗之前，還是先帶大家了解一下VRRP的一些簡要知識點。 VRRP定義及概述（引用） 1.虛擬路由冗

進階-中小型網絡構建-二層VLAN技術詳解配實驗步驟

中小型網絡構建進階-中小型網絡構建-二層VLAN技術詳解配實驗步驟為什麽講 VLAN ？ 在傳統的交換網絡中，為了隔離沖突域，我們引入了交換機。 交換機的每一個端口都是一個不同的隔離域。 但是交換機無法隔離廣播域， 所以，如果網絡中有一個惡意的主機發送廣播的惡意流量， 那麽處於同一個交換網路中的所有設備

中小型網絡構建-RIP協議

中小型網絡構建中小型網絡構建-RIP協議 路由類型：路由器獲得路由條目的方式 直連 非直連 靜態 動態 IGP：internal gateway protocol , DV - distance vector ,距離矢量路由協議 RIP IG

# 中小型網絡構建-vrrp協議詳解

中小型網絡構建中小型網絡構建-vrrp協議詳解 什麽是VRRP？虛擬路由冗余協議(Virtual Router Redundancy Protocol，簡稱VRRP)是由IETF提出的解決局域網中配置靜態網關出現單點失效現象的路由協議，1998年已推出正式的RFC2338協議標準。VRRP廣泛應用在邊緣網絡中

中小型企業網絡構建 OSPF 多區域配置

shu 驗證 res size ack ethernet 域配置 add 名稱 1，實驗名稱：OSPF多區域配置 2，實驗目的：OSPF多區域配置實現全網互通 3，實驗拓撲： 4，實驗步驟： R1: <Huawei>system-view //進入系統視圖[

中小型網絡企業構建-交換機

交換機配置交換機是OSI七層中的第二層，首先我們知道由於交換機的每個端口都是沖突域，而當交換機的傳播方式是廣播，會導致占用其他主機的一定流量，因此我們引入了vlan(虛擬局域網）如圖所示，我們可以看到有兩個交換機和兩個主機，PC1上IP：192.168.14.1，網關是192.168.14.254，PC4上I

中小型企業網絡構建-交換機

交換機vlan和access如圖所示：PC1上配IP地址：192.168.10.1，網關g0/0/1是192.168.10.254，vlan 10 PC2上配IP地址：192.168.20.1，網關g0/0/2是192.168.20.254，vlan 20PC3上配IP地址：192.168.30.1，網關g0

中小型企業網絡構建

中小型企業網絡構建中小型企業網絡構建一、VLAN概述1、什麽是VLAN？-- Virtual LAN（虛擬局域網）是物理設備上連接的不受物理位置限制的用戶的一個邏輯組。2、為什麽要引入VLAN?-- 交換機分割了沖突域，但是不能分割廣播域-- 隨著交換機數量的增多，網絡中廣播增多，降低了網絡的效率-- 為了分

中小型企業網絡構建2

中小型企業網絡構建2中小型企業網絡構建一、默認路由1、什麽是默認路由？-- 默認路由是一種特殊的靜態路由，對於末梢的主機來說，也是默認網關。-- 默認路由的目標網絡為0.0.0.0/0.0.0.0，可匹配任何目標地址。-- 只有當從路由表中找不到任何明確匹配的路由條目時，才會使用默認路由，2、配置默認路由--

中小型企業網絡構建之STP、MSTP

中小型企業網絡構建之STP、MSTP中小型企業網絡構建一、生成樹算法（STP）1、廣播風暴（1）交換機工作原理-- 根據MAC地址表轉發數據幀，如果地址未知，則廣播；-- 如果交換機接收到廣播幀也會向所有端口發送；（2）當網絡中存在物理環路，會產生廣播風暴；（3）廣播風暴最終會導致網絡資源耗盡，交換機死機。2

中小型企業網絡構建之DHCP

中小型企業網絡構建之DHCP中小型企業網絡構建一、DHCP基礎1、DHCP的使用背景-- 在現在的企業網絡中，有大量的主機或設備需要獲取IP地址等網絡參數；@ 如果采用手工配置，工作量大，容易出錯且不好管理@ 如果有用戶擅自更改，還有可能會造成IP地址沖突等問題-- 使用動態主機配置DHCP協議來分配IP地址

中小型企業網絡構建之綜合布線和子網劃分

中小型企業網絡構建之綜合布線和子網劃分中小型企業網絡構建之綜合布線和子網劃分一、布線系統概述1、布線系統的概念建築物綜合布線系統（PDS）是一個用於傳輸語言、數據、影響和其他信息的標準結構化不限系統。2、綜合布線系統分為六個獨立的子系統-- 工作區子系統：工作區子系統由終端設備連接到信息插座之間的設備組成。包

中小型網絡企業網絡構建

DCHP 網絡 VLAN STP RIP 什麽是 VLAN？VLAN，指的是虛擬局域網，是一種 2 層技術。可以在交換機上實現廣播域的隔離。從而可以減小數據廣播風暴對交換網絡的影響，降低了網絡管理難度，同時可以實現網絡規模的靈活擴展。 Trunk 鏈路與 Access 鏈路的區別是什麽？T

網絡構建入門技術（5）——子網劃分應用

掩碼 -1 參考資料 臺電 www 說明 網絡 com hive 說明（2017-5-16 11:27:00）： 題目： 一個公司有530臺電腦，組成一個對等局域網，子網掩碼和ＩＰ設多少最合適？ 1. 首先選IP地址類別，A類太多，C類不夠用，就選B類了，假設為188.18

第十二期小型網絡構建-鏈路聚合

能夠 con 比較 隨著 交換機 再次 內部 一個 run 來自網絡鏈路聚合（Link Aggregation），是指將多個物理端口捆綁在一起，成為一個邏輯端口，以實現出/ 入流量在各成員端口中的負荷分擔，交換機根據用戶配置的端口負荷分擔策略決定報文從哪一個成員端口發送到對

某小型公司網絡構建拓撲

load outer agg nag int view fff 設備 oss 實驗名稱：實現全網互通 實驗拓撲： 所需設備：1、兩臺路由器 2、兩臺三層交換機

小型公司網絡構建——單臂路由與DHCP的結合

toc 大型 -s 配置dns服務器 config 自動獲取 -o 三層交換 思科 今天給大家帶來一個小型網絡構建實驗，主要是思科設備單臂路由和DHCP的結合運用。 知識點： 一、單臂路由 &單臂路由 的定義及作用 單臂路由（router-on-a-stick）是指

大型公司網絡構建拓撲圖（華為）

nor 對他 spa acc 網關 模擬 trunk text 配置 今天簡單了解一下，大型公司的網絡搭建。 對於很多大型公司來講，網絡的穩定性，會直接影響到公司的收益，比如，雙十一的阿裏巴巴，京東，等等。如果這個時候網絡出現問題，對於公司的損失將

奇葩網絡構建

大型網絡拓撲圖交換機6/5/8作為2層交換機設置trunk鏈路和VLAN就好，這個圖主要是生成樹配置是個重點，交換機間的線路均為trunk鏈路，其中這圖存在一個問題就是同一個VLAN的根和網關不在一臺交換機上，這樣存在一條次優路由，會有延遲。註意：在路由器1中重分發外網的默認路由是不行的，需要在rip總敲其他