下载文档原格式
acl概念
ACL（Access Control List，访问控制列表）是一种用于控制网络访问权限的技术。
它在计算机网络中扮演着重要的角色，用于定义和管理对资源的访问。
ACL 的主要目的是通过设置一系列规则来决定哪些用户或设备可以访问特定的资源或执行特定的操作。
这些规则可以基于各种条件进行定义，例如 IP 地址、MAC 地址、协议类型、端口号等。
ACL 可以应用于网络设备（如路由器、交换机）或操作系统（如服务器、防火墙）上，以实现对网络流量的精细控制。
ACL 的核心概念包括以下几个方面：
1. 规则：ACL 由一系列规则组成，每个规则定义了允许或拒绝的访问条件。
2. 匹配顺序：ACL 中的规则按照特定的顺序进行匹配，一旦匹配成功，就会执行相应的操作（允许或拒绝）。
3. 方向：ACL 可以针对进入或外出的网络流量进行控制。
4. 操作类型：根据匹配结果，ACL 可以执行允许或拒绝操作，以决定是否允许流量通过。
ACL 在网络安全中起着重要的作用，它可以帮助组织保护其网络资源，防止未经授权的访问、攻击和威胁。
通过合理配置 ACL，可以提高网络的安全性、降低风险，并实现对网络资源的精细化管理。
希望以上内容对你有所帮助！如果你对 ACL 有更多的疑问，请随时提问。
•ACL ：Access Control List ，访问控制列表ACL••ACL由一条或多条规则组成•每条规则必须选择动作：允许或拒绝•每条规则都有一个id 序列号（默认=5，间隔=5）•ACL 工作原理：序列号越小越先进行匹配•只要有一条规则和报文匹配，就停止查找，称为命中规则•查找完所有规则，如果没有符合条件的规则，称为未命中规则•ACL创建后，必须将其应用到某个接口或其他技术内才会生效•应用在接口时必须选择方向：入站或出站（相对设备来判断）•每个接口在每个方向上只可应用一个ACL •不能过滤由设备自己产生的数据•••ACL类型：分为数字型ACL和命名型ACL。
•192.168.0.1 0.0.0.0/0匹配一个主机地址192.168.0.0 0.0.0255匹配一个网段正掩码、反掩码、通配符区别：192.168.0.1 0.0.0.254匹配网段内奇数地址192.168.0.0 0.0.0.254匹配网段内偶数地址any=0.0.0.0 255.255.255.255匹配所有地址•acl 2000创建一个基本ACL rule 5deny/permit source 192.168.1.0 0.0.0.255配置ACL 的规则：拒绝或允许源地址为192.168.1.0/24网段内的所有流量acl 3000创建一个高级ACLrule 5deny/permit tcp source 192.168.1.0 0.0.0.255 destination 8.8.8.8 0destination-port eq 80配置ACL 的规则：拒绝或允许源地址为192.168.1.0/24网段内到8.8.8.8的HTTP 流量traffic-filter inbound/outbound acl 2000在接口调用ACL 过滤流量display acl 2000验证ACLdisplay traffic-filter applied-record查看设备上所有基于ACL 调用情况•ACL配置：••••基本ACL 尽量调用在离目标最近的出站接口•高级ACL 尽量调用在离源头最近的入站接口••ACL 接口调用方向的建议：。
访问控制列表（Access Control List，ACL）(2012-01-11 23:06:21)转载▼标签：杂谈访问控制列表（Access Control List，ACL）是路由器和交换机接口的指令列表，用来控制端口进出的数据包。
ACL适用于所有的被路由协议，如IP、IPX、AppleTalk等。
这张表中包含了匹配关系、条件和查询语句，表只是一个框架结构，其目的是为了对某种访问进行控制。
ACL介绍信息点间通信和内外网络的通信都是企业网络中必不可少的业务需求，但是为了保证内网的安全性，需要通过安全策略来保障非授权用户只能访问特定的网络资源，从而达到对访问进行控制的目的。
简而言之，ACL可以过滤网络中的流量，是控制访问的一种网络技术手段。
ACL的定义也是基于每一种协议的。
如果路由器接口配置成为支持三种协议（IP、AppleTalk以及IPX）的情况，那么，用户必须定义三种ACL来分别控制这三种协议的数据包。
[1]ACL的作用ACL可以限制网络流量、提高网络性能。
例如，ACL可以根据数据包的协议，指定数据包的优先级。
ACL提供对通信流量的控制手段。
例如，ACL可以限定或简化路由更新信息的长度，从而限制通过路由器某一网段的通信流量。
ACL是提供网络安全访问的基本手段。
ACL允许主机A访问人力资源网络，而拒绝主机B访问。
ACL可以在路由器端口处决定哪种类型的通信流量被转发或被阻塞。
例如，用户可以允许E-mail通信流量被路由，拒绝所有的Telnet通信流量。
例如：某部门要求只能使用WWW 这个功能，就可以通过ACL实现；又例如，为了某部门的保密性，不允许其访问外网，也不允许外网访问它，就可以通过ACL实现。
ACL 3p原则记住3P 原则，您便记住了在路由器上应用ACL 的一般规则。
您可以为每种协议(per protocol)、每个方向(per direction)、每个接口(per interface) 配置一个ACL：每种协议一个ACL 要控制接口上的流量，必须为接口上启用的每种协议定义相应的ACL。
访问控制列表-细说ACL那些事儿（初步认识ACL）传闻江湖乱世之时，出现了一门奇招妙计名曰“ACL”。
其变化多端、高深莫测，部署在江湖各处的交换机轻松使上这一招，便能平定乱世江湖。
所以，这ACL也被江湖人士一时传为佳话。
ACL到底是何方秘籍？它拥有什么样的魔力能够平定江湖？今日，且让小编来为大家答疑解惑！ACL，是Access Control List的简称，中文名称叫“访问控制列表”，它由一系列规则（即描述报文匹配条件的判断语句）组成。
这些条件，可以是报文的源地址、目的地址、端口号等。
这样解释ACL，大家是不是觉得太抽象了！好，现在小编换一种解释方式。
打个比方，ACL其实是一种报文过滤器，ACL规则就是过滤器的滤芯。
安装什么样的滤芯（即根据报文特征配置相应的ACL规则），ACL就能过滤出什么样的报文了。
基于过滤出的报文，我们能够做到阻塞攻击报文、为不同类报文流提供差分服务、对Telnet 登录/FTP文件下载进行控制等等，从而提高网络环境的安全性和网络传输的可靠性。
说到这，大家一定迫不及待的想看看ACL长啥模样。
话不多说，先上图！围绕这张ACL结构图，小编为大家一一介绍ACL的基本概念。
1 ACL分类首先，图中是一个数字型ACL，ACL编号为2000。
这类似于人类的身份证号，用于唯一标识自己的身份。
当然，人类的身份证上不仅有身份证编号，还有每个人自己的名字。
ACL也同样如此，除了数字型ACL，还有一种叫做命名型的ACL，它就能拥有自己的ACL名称。
通过名称代替编号来定义ACL，就像用域名代替IP地址一样，可以方便记忆，也让大家更容易识别此ACL的使用目的。
另外，小编告诉大家，命名型ACL实际上是“名字+数字”的形式，可以在定义命名型ACL 时同时指定ACL编号。
如果不指定编号，则由系统自动分配。
上图就是一个既有名字“deny-telnet-login”又有编号“3998”的ACL。
细心的你，一定会注意到，ACL结构图中的ACL编号是“2000”，而这个例子中的ACL编号是“3998”，两者有什么区别吗？实际上，按照ACL规则功能的不同，ACL被划分为基本ACL、高级ACL、二层ACL、用户自定义ACL和用户ACL这五种类型。
路由器配置ACL详解1. 概述本文档旨在提供关于路由器访问控制列表（Access Control List，简称 ACL）的详细说明和使用指南。
通过正确配置 ACL，可以实现对网络流量进行精确的过滤和管理。
2. 路由器基础知识回顾在开始学习如何配置 ACL 前，请先了解以下几个与路由器相关的基础概念：- IP 地址：IP 地址是用来唯一标识设备或主机在互联网上位置的数字地址。
- 子网掩码：子网掩码用于划分一个 IP 网络中哪些位表示网络部分、哪些位表示主机部分。
- 默认网关：默认网关是当目标 IP 不属于同一局域网时数据包将被发送到该地址所代表的下一跳设备。
3. 访问控制列表介绍访问控制列表（ACL）允许管理员根据特定条件限制进出某个接口或者 VLAN 的数据流动。
它可应用于不同层次协议，并且能够定义多种类型规则以适配各类需求。
4. 配置步骤及示例a) 创建并命名一个扩展型 IPv4 或 IPv6 的访问清单。
b) 定义访问清单的规则，包括源地址、目标地址和允许/禁止等条件。
c) 将 ACL 应用到特定接口或 VLAN 上。
示例：```ip access-list extended MY_ACLpermit tcp any host 192.168.1.100 eq 80deny icmp any any echo-replyinterface GigabitEthernet0/0ip address 192.168.1.1 255.255..255.ipv6 address FE80::2 link-localipv6 enableinterface GigabitEthernet0/1description LAN Connectionswitchport mode trunkswitchport trunk allowed vlan allno shutdown```5．ACL 规则类型详解- 标准型 IPv4 访问控制列表：基于源 IP 地址进行过滤。
技术从来都是一把双刃剑，网络应用与互联网的普及在大幅提高企业的生产经营效率的同时，也带来了诸如数据的安全性，员工利用互联网做与工作不相干事等负面影响。
如何将一个网络有效的管理起来，尽可能的降低网络所带来的负面影响就成了摆在网络管理员面前的一个重要课题。
A公司的某位可怜的网管目前就面临了一堆这样的问题。
A公司建设了一个企业网，并通过一台路由器接入到互联网。
在网络核心使用一台基于IOS的多层交换机，所有的二层交换机也为可管理的基于IOS的交换机，在公司内部使用了VLAN技术，按照功能的不同分为了6个VLAN。
分别是网络设备与网管(VLAN110.1.1.0/24)、内部服务器(VLAN2)、Internet连接(VLAN3)、财务部（VLAN4）、市场部(VLAN5)、研发部门（VLAN6），出口路由器上Fa0/0接公司内部网，通过s0/0连接到Internet。
每个网段的三层设备（也就是客户机上的缺省网关）地址都从高位向下分配，所有的其它节点地址均从低位向上分配。
网络建成后麻烦就一直没断过，一会儿有人试图登录网络设备要捣乱；一会儿领导又在抱怨说互联网开通后，员工成天就知道泡网；一会儿财务的人又说研发部门的员工看了不该看的数据。
这些抱怨都找这位可怜的网管，搞得他头都大了。
那有什么办法能够解决这些问题呢?答案就是使用网络层的访问限制控制技术,访问控制列表（下文简称ACL）。
那么，什么是ACL呢？ACL是种什么样的技术，它能做什么，又存在一些什么样的局限性呢？ACL的基本原理、功能与局限性网络中常说的ACL是Cisco IOS所提供的一种访问控制技术，初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机如2950之类也开始提供ACL的支持。
只不过支持的特性不是那么完善而已。
在其它厂商的路由器或多层交换机上也提供类似的技术，不过名称和配置方式都可能有细微的差别。
本文所有的配置实例均基于Cisco IOS 的ACL进行编写。
网络层访问权限控制技术－ACL详解技术从来都是一把双刃剑，网络应用与互联网的普及在大幅提高企业的生产经营效率的同时，也带来了诸如数据的安全性，员工利用互联网做与工作不相干事等负面影响。
如何将一个网络有效的管理起来，尽可能的降低网络所带来的负面影响就成了摆在面前的一个重要课题。
A公司的难题A公司的某位可怜的网管目前就面临了一堆这样的问题。
A公司建设了一个企业网，并通过一台路由器接入到互联网。
在网络核心使用一台基于IOS的机，所有的也为可管理的基于IOS的交换机，在公司内部使用了，按照功能的不同分为了6个VLAN。
分别是与网管(VLAN1，10.1.1.0/24)、内部服务器(VLAN2)、连接(VLAN3)、财务部（VLAN4）、市场部(VLAN5)、研发部门（VLAN6），出口路由器上Fa0/0接公司内部网，通过s0/0连接到Internet。
每个网段的三层设备（也就是客户机上的缺省网关）地址都从高位向下分配，所有的其它节点地址均从低位向上分配。
该网络的拓朴如下图所示：网络拓扑图自从网络建成后麻烦就一直没断过，一会儿有人试图登录网络设备要捣乱；一会儿领导又在抱怨说互联网开通后，员工成天就知道泡网；一会儿财务的人又说研发部门的员工看了不该看的数据。
这些抱怨都找这位可怜的网管，搞得他头都大了。
那有什么办法能够解决这些问题呢？答案就是使用网络层的访问限制控制技术――访问控制列表（下文简称ACL）。
那么，什么是ACL呢？ACL是种什么样的技术，它能做什么，又存在一些什么样的局限性呢？ACL的基本原理、功能与局限性网络中常说的ACL是所提供的一种技术，初期仅在路由器上支持，近些年来已经扩展到，部分最新的如2950之类也开始提供ACL 的支持。
只不过支持的特性不是那么完善而已。
在其它厂商的路由器或机上也提供类似的技术，不过名称和方式都可能有细微的差别。
本文所有的配置实例均基于Cisco IOS的ACL进行编写。
A公司的某位可怜的网管目前就面临了一堆这样的问题。
A公司建设了一个企业网，并通过一台路由器接入到互联网。
在网络核心使用一台基于IOS的多层交换机，所有的二层交换机也为可管理的基于IOS的交换机，在公司内部使用了VLAN技术，按照功能的不同分为了6个VLAN。
分别是网络设备与网管(VLAN1，10.1.1.0/24)、内部服务器(VLAN2)、Internet连接(VLAN3)、财务部（VLAN4）、市场部(VLAN5)、研发部门（VLAN6），出口路由器上Fa0/0接公司内部网，通过s0/0连接到Internet。
每个网段的三层设备（也就是客户机上的缺省网关）地址都从高位向下分配，所有的其它节点地址均从低位向上分配。
该网络的拓朴如下图所示：自从网络建成后麻烦就一直没断过，一会儿有人试图登录网络设备要捣乱；一会儿领导又在抱怨说互联网开通后，员工成天就知道泡网；一会儿财务的人又说研发部门的员工看了不该看的数据。
这些抱怨都找这位可怜的网管，搞得他头都大了。
那有什么办法能够解决这些问题呢？答案就是使用网络层的访问限制控制技术――访问控制列表（下文简称ACL）。
那么，什么是ACL呢？ACL是种什么样的技术，它能做什么，又存在一些什么样的局限性呢？ACL的基本原理、功能与局限性网络中常说的ACL是Cisco IOS所提供的一种访问控制技术，初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机如2950之类也开始提供ACL的支持。
只不过支持的特性不是那么完善而已。
在其它厂商的路由器或多层交换机上也提供类似的技术，不过名称和配置方式都可能有细微的差别。
本文所有的配置实例均基于Cisco IOS的ACL进行编写。
基本原理：ACL使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。
功能：网络中的节点资源节点和用户节点两大类，其中资源节点提供服务或数据，用户节点访问资源节点所提供的服务与数据。
ACL的主要功能就是一方面保护资源节点，阻止非法用户对资源节点的访问，另一方面限制特定的用户节点所能具备的访问权限。
配置ACL的基本原则：在实施ACL的过程中，应当遵循如下两个基本原则：最小特权原则：只给受控对象完成任务所必须的最小的权限最靠近受控对象原则：所有的网络层访问权限控制局限性：由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。
因此，要达到end to end的权限控制目的，需要和系统级及应用级的访问权限控制结合使用。
ACL基本配置ACL配置技术详解“说那么多废话做什么，赶快开始进行配置吧。
”，A公司的网管说。
呵呵，并不是我想说那么多废话，因为理解这些基础的概念与简单的原理对后续的配置和排错都是相当有用的。
说说看，你的第一个需求是什么。
“做为一个网管，我不期望普通用户能telnet到网络设备”――ACL基础“补充一点，要求能够从我现在的机器(研发VLAN的10.1.6.66)上telnet到网络设备上去。
”。
hamm，是个不错的主意，谁都不希望有人在自己的花园中撤野。
让我们分析一下，在A公司的网络中，除出口路由器外，其它所有的网络设备段的是放在Vlan1中，那个我只需要在到VLAN 1的路由器接口上配置只允许源地址为10.1.6.66的包通过，其它的包通通过滤掉。
这中只管源IP地址的ACL就叫做标准IP ACL：我们在SWA上进行如下的配置：access-list 1 permit host 10.1.6.66access-list 1 deny anyint vlan 1ip access-group 1 out这几条命令中的相应关键字的意义如下：access-list：配置均ACL的关键字，所有的ACL均使用这个命令进行配置。
access-list后面的1：ACL号，ACL号相同的所有ACL形成一个组。
在判断一个包时，使用同一组中的条目从上到下逐一进行判断，一遇到满足的条目就终止对该包的判断。
1-99为标准的IP ACL号，标准IP ACL由于只读取IP包头的源地址部分，消耗资源少。
permit/deny：操作。
Permit是允许通过，deny是丢弃包。
host 10.1.6.66/any：匹配条件，等同于10.1.6.66 0.0.0.0。
刚才说过，标准的ACL只限制源地址。
Host 10.1.6.66(10.1.6.66 0.0.0.0)的意思是只匹配源地址为10.1.6.66的包。
0.0.0.0是wildcards，某位的wildcards为0表示IP地址的对应位必须符合，为1表示IP地址的对应位不管是什么都行。
简单点说，就是255.255.255.255减去子网掩码后的值，0.0.0.0的wildcards就是意味着IP地址必须符合10.1.6.66，可以简称为host 10.1.6.66。
any表示匹配所有地址。
注意：IOS中的ACL均使用wildcards，并且会用wildcards对IP地址进行严格的对齐，如你输入一条access-list 1 permit 10.1.1.129 0.0.0.31，在你show access-list 看时，会变成access-list 1 permit 10.1.1.128 0.0.0.31，PIXOS中的ACL均使用subnet masks，并且不会进行对齐操作。
int vlan1///ip access-group 1 out：这两句将access-list 1应用到vlan1接口的out方向。
其中1是ACL号，和相应的ACL进行关联。
Out是对路由器该接口上哪个方向的包进行过滤，可以有in和out两种选择。
注意：这里的in/out都是站在路由器或三层模块（以后简称R）上看的，in表示从该接口进入R的包，out表示从该接口出去的包。
好了，这就是一个最基本的ACL的配置方法。
什么，你说普通用户还能telnet到RTA？那你在int vlan3上现加一个ip access-group 1 out吧。
Hammmm，等等，你这样加上去普通用户就访问不了internet了。
让我们把刚才的ACL去掉，重新写一个。
回忆一下，我们的目的是除了10.1.6.66能够进行telnet操作外，其它用户都不允许进行telnet操作。
刚才我们说过，标准的IP ACL只能控制源IP地址，不能控制到端口。
要控制到第四层的端口，就需要使用到：扩展的IP ACL的配置先看看配置实例吧。
在SWA上进行如下配置：int vlan 1no ip access-group 1 outexitno access-list 1access-list 101 permit tcp host 10.1.6.66 any eq telnetaccess-list 101 deny tcp any any eq telnetint vlan 1ip access-group 101 outint vlan 3ip access-group 101 out你应该注意到到这里的ACL有一些变化了，现在对变化的部分做一些说明：access-list 101：注意这里的101，和刚才的标准ACL中的1一样，101是ACL 号，表示这是一个扩展的IP ACL。
扩展的IP ACL号范围是100-199，扩展的IP ACL可以控制源IP、目的IP、源端口、目的端口等，能实现相当精细的控制，扩展ACL不仅读取IP包头的源地址/目的地址，还要读取第四层包头中的源端口和目的端口，的IP在没有硬件ACL加速情况下，会消耗大量的CPU资源。
int vlan 1///no ip access-group 1 out///exit///no access-list 1：取消access-list 1，对于非命名的ACL，可以只需要这一句就可以全部取消。
注意，在取消或修改一个ACL前，必须先在它所应用的接口上先把应用给no掉，否则会导致相当严重的后果。
tcp host 10.1.6.66 any eq telnet：匹配条件。
完整格式为：协议源地址源wildcards [关系] [源端口] 目的地址目的wildcards [关系] [目的端口]。
其中协议可以是IP、TCP、UDP、EIGRP等，[]内为可选字段。
仅在协议为tcp/udp等具备端口号的协议才有用。
关系可以是eq(等于)、neq（不等于）、lt(大于)、range（范围）等。
端口一般为数字的1-65535，对于周知端口，如23(服务名为telnet)等可以用服务名代替。
源端口和目的端口不定义时表示所有端口。
把这个ACL应用上去后，用户们开始打电话来骂娘了，因为他们都访问不了Internet 了，是哪里出了问题了呢？注意：所有的ACL，缺省情况下，从安全角度考虑，最后都会隐含一句deny any(标准ACL)或deny ip any any（扩展IP ACL）。
所以在不了解业务会使用到哪些端口的情况下，最好在ACL的最后加上一句permit ip any any，在这里就是access-list 101 permit ip any any。
现在用户倒是能够访问Internet了，但我们的可怜的网管却发现普通用户还是能够telnet到他的SWA上面，因为SWA上面有很多个网络接口，而且使用扩展的ACL会消耗很多的资源。
有什么简单的办法能够控制用户对网络设备的Telnet访问，而又不消耗太多的资源呢？这就需要使用到：对网络设备自身的访问如何进行控制的技术让我们先把刚才配置的ACL都取掉(具体配置略，不然后读者会以为我在骗稿费了。
)，再在每台网络设备上均进行如下配置：access-list 1 permit host 10.1.6.66line vty 0 4(部分设备是15)access-class 1 in这样就行了，telnet都是访问的设备上的line vty，在line vty下面使用access-class 与ACL组进行关联，in关键字表示控制进入的连接。
就这么简单？wk，你丫是不是在玩我们，为什么还要绕一大圈？臭鸡蛋和烂西红柿开始在70的脑袋上方狂飞。
(5555555，偶也只是想向大家把ACL的基础知识讲的明白一些的嘛)。
经过刚才的配置，我们可以理出一个简单的ACL配置步骤了：分析需求，找清楚需求中要保护什么或控制什么；为方便配置，最好能以表格形式列出。
在本文的后面会举例的。
