配置ACL訪問控制列表

ACL訪問控制列表
理論部分：
在學(xué)習(xí)過程中我們知道了網(wǎng)絡(luò)的聯(lián)通和通信，但是在實(shí)際環(huán)境中網(wǎng)絡(luò)管理員經(jīng)常會(huì)面臨為難的局面，如必須拒絕那些不希望訪問的連接，同時(shí)又要允許正常的訪問。那么這時(shí)就誕生了ACL（訪問控制列表）下面我們先看看ACL 的原理。
1.ACL是使用包過濾技術(shù)，在路由器上讀取第三層和四層包頭的信息，根據(jù)預(yù)定好的規(guī)則進(jìn)行過濾，達(dá)到訪問控制的目的
2.ACL的三種模式：?
標(biāo)準(zhǔn)ACL （根據(jù)數(shù)據(jù)包的源IP地址來允許或者拒絕數(shù)據(jù)包，表號(hào)是1~99）?
擴(kuò)展ACL （根據(jù)數(shù)據(jù)包的源IP地址，目的IP地址，指定協(xié)議，端口和標(biāo)志來允許或拒絕，表號(hào)是100~199）
命名ACL （允許在標(biāo)準(zhǔn)和擴(kuò)展ACL中使用名稱來代替列表好）
3.ACL的工作原理：ACL是一組規(guī)則的集合，它應(yīng)用在路由器上的接口，對(duì)與接口它有“出”和“入”兩個(gè)方向。如果對(duì)接口應(yīng)用了ACL，那么路由器對(duì)數(shù)據(jù)包應(yīng)用該規(guī)則進(jìn)行順序檢查。如果第一條規(guī)則匹配，那么就直接通過，不再需要檢查。如果沒有匹配，那么就會(huì)依次往下檢查。到最后還沒有的話，路由器將會(huì)根據(jù)默認(rèn)的規(guī)則丟棄改數(shù)據(jù)包。一句話來說就是：要么允許通過，要么被拒絕。

接下來我們進(jìn)行試驗(yàn)：這里我們配置命名ACL訪問控制列表。
1.首先在GNS3上搭建拓?fù)鋱D，根據(jù)如下圖所示，我們?cè)O(shè)置ACL配置的要求是：僅允許C1和C2 與外機(jī)C4ping通，不允許C3和C4互通。

2.在虛擬網(wǎng)卡VPC上給四臺(tái)PC機(jī)設(shè)置IP地址，如下圖所示：

3.接下來為了方便集中操作，用xshell遠(yuǎn)程連接sw和R2。再進(jìn)行設(shè)置,如下圖所示：

4.接下來對(duì)路由器R2進(jìn)行配置。如下圖所示：

5.到此端口IP、速率、雙工模式都已經(jīng)配置好了。接下來我們配置ACL規(guī)則。如下圖所示：

6.接下來我們繼續(xù)設(shè)置不允許PC3與外機(jī)PC4互通，并將配置好的訪問控制列表應(yīng)用到接口上。如下圖所示：


7.接下來我們?cè)賄PC上ping一下進(jìn)行驗(yàn)證。如下圖所示：

到此試驗(yàn)成功！
總結(jié)：
1.上圖的ACL列表信息，再加上路由器對(duì)ACL的工作原理，那么我們可以得知的是，規(guī)則的順序很重要。（通過序號(hào)決定執(zhí)行命令的優(yōu)先順序，如果要在里邊繼續(xù)插入其他的控制權(quán)限，根據(jù)實(shí)際需要設(shè)置序列號(hào)）
2.我們需要熟悉一定的協(xié)議，如：TCP IP UDP ICMP 等
3.最后我們需要將配置號(hào)的規(guī)則用于接口，同時(shí)注意是用在IN接口
4.需要注意的是HOST后面是跟一個(gè)具體的IP地址，否則IP后面就需要跟反掩碼。