HC110117000 訪問(wèn)控制列表

訪問(wèn)控制列表Page2前言企業(yè)網(wǎng)絡(luò)中的設(shè)備進(jìn)行通信時(shí)，需要保障數(shù)據(jù)傳輸?shù)陌踩煽亢途W(wǎng)絡(luò)的性能穩(wěn)定。

訪問(wèn)控制列表ACL（AccessControlList）可以定義一系列不同的規(guī)則，設(shè)備根據(jù)這些規(guī)則對(duì)數(shù)據(jù)包進(jìn)行分類，并針對(duì)不同類型的報(bào)文進(jìn)行不同的處理，從而可以實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)訪問(wèn)行為的控制、限制網(wǎng)絡(luò)流量、提高網(wǎng)絡(luò)性能、防止網(wǎng)絡(luò)攻擊等等。Page3學(xué)習(xí)目標(biāo)

學(xué)完本課程后，您應(yīng)該能：掌握ACL在企業(yè)網(wǎng)絡(luò)中的應(yīng)用掌握ACL的工作原理掌握ACL的配置ACL應(yīng)用場(chǎng)景Page4服務(wù)器AG0/0/0G0/0/1/.2/24ACL可以通過(guò)定義規(guī)則來(lái)允許或拒絕流量的通過(guò)。RTASWA主機(jī)A主機(jī)B主機(jī)C主機(jī)DACL應(yīng)用場(chǎng)景Page5G0/0/0數(shù)據(jù)未匹配數(shù)據(jù)數(shù)據(jù)加密后數(shù)據(jù)匹配ACL可以根據(jù)需求來(lái)定義過(guò)濾的條件以及匹配條件后所執(zhí)行的動(dòng)作。/.2/24SWA主機(jī)A主機(jī)B主機(jī)C主機(jī)DRTAACL分類Page6分類編號(hào)范圍參數(shù)基本ACL2000-2999源IP地址等高級(jí)ACL3000-3999源IP地址、目的IP地址、

源端口、目的端口等二層ACL4000-4999源MAC地址、目的MAC地址、以太幀協(xié)議類型等ACL規(guī)則Page7如果未匹配如果未匹配/24/24RTARTBrule15denysource55每個(gè)ACL可以包含多個(gè)規(guī)則，RTA根據(jù)規(guī)則來(lái)對(duì)數(shù)據(jù)流量進(jìn)行過(guò)濾。rule10denysource55acl2000rule5denysource55基本ACL配置Page8G0/0/0/24/24主機(jī)A主機(jī)BRTA[RTA]acl2000[RTA-acl-basic-2000]ruledenysource55[RTA]interfaceGigabitEthernet0/0/0[RTA-GigabitEthernet0/0/0]traffic-filteroutboundacl2000配置確認(rèn)Page9[RTA]displayacl2000BasicACL2000,1ruleAcl'sstepis5rule5denysource55[RTA]displaytraffic-filterapplied-record

InterfaceDirectionAppliedRecord

GigabitEthernet0/0/0outboundacl2000

高級(jí)ACL配置Page10RTA/24/24FTP服務(wù)器私有服務(wù)器G0/0/0/24/24主機(jī)A主機(jī)B[RTA]acl3000[RTA-acl-adv-3000]ruledenytcpsource55destinationdestination-porteq21[RTA-acl-adv-3000]ruledenytcpsource55destination[RTA-acl-adv-3000]rulepermitip[RTA-GigabitEthernet0/0/0]traffic-filteroutboundacl3000配置驗(yàn)證Page11[RTA]displayacl3000AdvancedACL3000,3rulesAcl'sstepis5rule5denytcpsource55destination0destination-porteqftprule10denytcpsource55destination0rule15permitip[RTA]displaytraffic-filterapplied-record

InterfaceDirectionAppliedRecord

GigabitEthernet0/0/0outboundacl3000

ACL應(yīng)用-NATPage12RTA/24/24主機(jī)A主機(jī)BG0/0/0本例要求通過(guò)ACL來(lái)實(shí)現(xiàn)主機(jī)A和主機(jī)B分別使用不同的公網(wǎng)地址池來(lái)進(jìn)行NAT轉(zhuǎn)換。地址池2……0地址池1……5Page13ACL應(yīng)用-NAT[RTA]nataddress-group15[RTA]nataddress-group20[RTA]acl2000[RTA-acl-basic-2000]rulepermitsource55[RTA-acl-basic-2000]acl2001[RTA-acl-basic-2001]rulepermitsource55[RTA-acl-basic-2001]interfaceGigabitEthernet0/0/0[RTA-GigabitEthernet0/0/0]natou