HC110117000 訪問控制列表

訪問控制列表Page2前言企業(yè)網(wǎng)絡(luò)中的設(shè)備進行通信時，需要保障數(shù)據(jù)傳輸?shù)陌踩煽亢途W(wǎng)絡(luò)的性能穩(wěn)定。

訪問控制列表ACL（AccessControlList）可以定義一系列不同的規(guī)則，設(shè)備根據(jù)這些規(guī)則對數(shù)據(jù)包進行分類，并針對不同類型的報文進行不同的處理，從而可以實現(xiàn)對網(wǎng)絡(luò)訪問行為的控制、限制網(wǎng)絡(luò)流量、提高網(wǎng)絡(luò)性能、防止網(wǎng)絡(luò)攻擊等等。Page3學(xué)習(xí)目標(biāo)

學(xué)完本課程后，您應(yīng)該能：掌握ACL在企業(yè)網(wǎng)絡(luò)中的應(yīng)用掌握ACL的工作原理掌握ACL的配置ACL應(yīng)用場景Page4服務(wù)器AG0/0/0G0/0/1/.2/24ACL可以通過定義規(guī)則來允許或拒絕流量的通過。RTASWA主機A主機B主機C主機DACL應(yīng)用場景Page5G0/0/0數(shù)據(jù)未匹配數(shù)據(jù)數(shù)據(jù)加密后數(shù)據(jù)匹配ACL可以根據(jù)需求來定義過濾的條件以及匹配條件后所執(zhí)行的動作。/.2/24SWA主機A主機B主機C主機DRTAACL分類Page6分類編號范圍參數(shù)基本ACL2000-2999源IP地址等高級ACL3000-3999源IP地址、目的IP地址、

源端口、目的端口等二層ACL4000-4999源MAC地址、目的MAC地址、以太幀協(xié)議類型等ACL規(guī)則Page7如果未匹配如果未匹配/24/24RTARTBrule15denysource55每個ACL可以包含多個規(guī)則，RTA根據(jù)規(guī)則來對數(shù)據(jù)流量進行過濾。rule10denysource55acl2000rule5denysource55基本ACL配置Page8G0/0/0/24/24主機A主機BRTA[RTA]acl2000[RTA-acl-basic-2000]ruledenysource55[RTA]interfaceGigabitEthernet0/0/0[RTA-GigabitEthernet0/0/0]traffic-filteroutboundacl2000配置確認(rèn)Page9[RTA]displayacl2000BasicACL2000,1ruleAcl'sstepis5rule5denysource55[RTA]displaytraffic-filterapplied-record

InterfaceDirectionAppliedRecord

GigabitEthernet0/0/0outboundacl2000

高級ACL配置Page10RTA/24/24FTP服務(wù)器私有服務(wù)器G0/0/0/24/24主機A主機B[RTA]acl3000[RTA-acl-adv-3000]ruledenytcpsource55destinationdestination-porteq21[RTA-acl-adv-3000]ruledenytcpsource55destination[RTA-acl-adv-3000]rulepermitip[RTA-GigabitEthernet0/0/0]traffic-filteroutboundacl3000配置驗證Page11[RTA]displayacl3000AdvancedACL3000,3rulesAcl'sstepis5rule5denytcpsource55destination0destination-porteqftprule10denytcpsource55destination0rule15permitip[RTA]displaytraffic-filterapplied-record

InterfaceDirectionAppliedRecord

GigabitEthernet0/0/0outboundacl3000

ACL應(yīng)用-NATPage12RTA/24/24主機A主機BG0/0/0本例要求通過ACL來實現(xiàn)主機A和主機B分別使用不同的公網(wǎng)地址池來進行NAT轉(zhuǎn)換。地址池2……0地址池1……5Page13ACL應(yīng)用-NAT[RTA]nataddress-group15[RTA]nataddress-group20[RTA]acl2000[RTA-acl-basic-2000]rulepermitsource55[RTA-acl-basic-2000]acl2001[RTA-acl-basic-2001]rulepermitsource55[RTA-acl-basic-2001]interfaceGigabitEthernet0/0/0[RTA-GigabitEthernet0/0/0]natou