ensp acl

举报
hello12345678 发表于 2021/09/25 09:50:41 2021/09/25
【摘要】 转载 https://www.cnblogs.com/arisskz6/p/12031976.html

原理概述

访问控制列表ACL (Access Control L ist)是由permit或 deny语句组成的一系列有顺序的规则集合,这些规则根据数据包的源地址、目的地址、源端口、目的端口等信息来描述。ACL规则通过匹配报文中的信息对数据包进行分类,路由设备根据这些规则判断哪些数据包可以通过,哪些数据包需要拒绝。
按照访问控制列表的用途,可以分为基本的访问控制列表和高级的访问控制列表,基本ACL可使用报文的源IP地址、时间段信息来定义规则,编号范围为2000〜2999。
一个ACL可以由多条“deny/permit"语句组成,每一条语句描述一条规则,每条规 则有一个Rule-IDoRule-ID可以由用户进行配置,也可以由系统自动根据步长生成,默 认步长为5, Rule-ID默认按照配置先后顺序分配0、5、10、15等,匹配顺序按照ACL 的Rule-ID的顺序,从小到大进行匹配。

实验内容

本实验模拟企业网络环境,R1为分支机构A 管理员所在IT部门的网关,R2为分支机构A用户部门的网关,R3为分支机构A 去往总部出口的网关设备,R4为总部核心路由器设备。整网运行OSPF协议,并在区域0 内。企业设计通过远程方式管理核心网路由器R 4 ,要求只能由R1所连的PC (本实验使用环回接口模拟)访问R 4 ,其他设备均不能访问。

实验拓扑

image

实验编址

image

实验步骤

根据实验编址表进行相应的基本配置,并使用ping命令检测各直连链路的连通性。(其余测试也通过了,在此省略)

image

搭建OSPF网络

在所有路由器上运行OSPF协议,通告相应网段至区域0 中。

image

image

image

image

配置完成之后,在 R1的路由表上查看OSPF路由信息。

image

路由器R1己经学习到了相关网段的路由条目,测试R1的环回口与R4的环回口间的连通性。

image

配置基本ACL控制访问

在总部核心路由器R4上配置Telnet相关配置,配置用户密码为huawei

image

image

配置完成后,尝试在IT部门网关设备R1上建立Telnet连接。

image

可以看到,R1可以成功登录R4。再尝试在普通员工部门网关设备R2上建立连接。

image

可以发现,只要是路由可达的设备,并且拥有Telnet的密码,都可以成功访问核心 设备R4。这显然是极为不安全的。通过配置标准ACL来实现访问过滤,禁止普通员工设备登录。

基本的ACL可以针对数据包的源IP地址进行过滤,在 R4上使用acl命令创建一个编号型ACL,基本ACL的范围是2000〜2999。

image

接下来在ACL视图中,使用rule命令配置ACL规则,指定规则1D为5 , 允许数据包源地址为1.1.1.1的报文通过,反掩码为全0 , 即精确匹配。

image

使用rule命令配置第二条规则,指定规则ID为10 ,拒绝任意源地址的数据包通过。

在上面的ACL配置中,第一条规则的规则ID定义为5 , 并不是1:第二条定义为10 ,也不与5连续,这样配置的好处是能够方便后续的修改或插入新的条目。并且在配置的时候也可以不采用手工方式指定规则ID, ACL会自动分配规则ID ,第一条为5 ,第二条为1 0 ,第三条为1 5 ,依此类推,即默认步长为5 , 该参数也是可以修改的。

ACL配置完成后,在 VTY中调用。使用inbound参数,即在R4的数据入方向 上调用。

image

配置完成后,使用R1的环回口地址1.1.1.1测试访问4.444的连通性。

image

发现没问题,然后尝试在R2上访问R4。

image

可以观察到,此时R2已经无法访问4 4 4 .4 ,即上述ACL配置己经生效。

ACL的执行是有顺序性的,如果规则ID小的规则已经被命中,并且执行了允许或者拒绝的动作,那么后续的规则就不再继续匹配。
在使用display acl all命令可以查看设备上所有的访问控制列表。

image

【版权声明】本文为华为云社区用户转载文章,如果您发现本社区中有涉嫌抄袭的内容,欢迎发送邮件进行举报,并提供相关证据,一经查实,本社区将立刻删除涉嫌侵权内容,举报邮箱: cloudbbs@huaweicloud.com
  • 点赞
  • 收藏
  • 关注作者

评论(0

0/1000
抱歉,系统识别当前为高风险访问,暂不支持该操作

全部回复

上滑加载中

设置昵称

在此一键设置昵称,即可参与社区互动!

*长度不超过10个汉字或20个英文字符,设置后3个月内不可修改。

*长度不超过10个汉字或20个英文字符,设置后3个月内不可修改。