当前位置：文档之家 › 专题 二 ACL配置详解

专题 二 ACL配置详解

  • 格式：pdf
  • 大小：375.42 KB
  • 文档页数：4

NGFW—ACL精确控制
一、netfilter架构
1.NGFW的底层架构是netfilter架构，而netfilter架构就是在整个网络流程的若干位置放置了一些检测点（HOOK），而在每个检测点上登记了一些处理函数进行处理（如包过滤，NAT 等，甚至可以是用户自定义的功能）。

IP层的五个HOOK点的位置如下图所示
[1]:NF_IP_PRE_ROUTING：刚刚进入网络层的数据包通过此点；
[2]:NF_IP_LOCAL_IN：经路由查找后，送往本机的通过此检查点；
[3]:NF_IP_FORWARD：要转发的包通过此检测点；
[4]:NF_IP_POST_ROUTING：所有马上要通过网络设备出去的包通过此检测点；
[5]:NF_IP_LOCAL_OUT：本机进程发出的包通过此检测点；
2.每个HOOK点(A、B、C、D、E)上罗列了可以调用的策略，并且已按优先级进行排列（越靠前的优先级越高）；
需求：防火墙犹如放置在边界的一堵墙，作用是保护内网，隔离外网。

防火墙中内置了很多的关卡，比如：NAT、路由、ACL、流控等策略，数据包进入防火墙后就会经过这些关卡，只要任何一道关卡出现问题，数据包就无法再继续转发；为了发挥防火墙的最大功效,对每道关卡都要精确配置;
要实现安全策略（ACL）的细化控制，就必须要知道需要ACL控制的流量在经过ACL控制点的时候源地址，目的地址，甚至端口分别是什么，而影响数据流量的主要要素是NAT策略、VPN策略，下面分析VPN策略和NAT策略对数据的影响以及ACL的配置。

一、IPSEC数据NGFW处理（IPSEC处理）
1.分支VPN数据包处理：数据包进入—HOOKA—HOOKC（路由查找、ACL过滤）
---HOOKE(VPN封装)
注意点：（1）放通的流量也是私网到私网
（2）做分支IPSEC策略时，进行NAT排除，放通流量是
私网到私网
2.总部vpn数据包处理：数据包进入—HOOKA(判断)—HOOKB（解密）
---HOOKA---HOOKC（路由、ACL）---HOOKE
注意点: (1)放通的流量应该是私网到私网的流量
（2）做IPSEC策略时，进行NAT排除，放通流量是私网
到私网
二、SSL（客户端）数据NGFW处理（SSL处理）
总部SSL数据包处理：数据包进入—HOOKA(判断)—HOOKB（解密）---HOOKA---HOOKC（路由、ACL）---HOOKE（SNAT）
注意点:（1）在做总部ACL时放通的流量应该是下发地址到服务器资源
的流量
（2）下发地址如果是内网不存在的地址，就要进行地址伪装，
地址伪装实质就是进行了SNAT，将下发的地址转换成内网
接口的地址
三、非VPN数据，NGFW执行转发动作（内网数据访问互联网）
1.数据包由总部内网发出（SNAT）：
数据包进入—HOOKA—HOOKC（路由查找、ACL过滤）---HOOKE(SNAT)
注意点：放通流量是私网到公网的流量，回来的流量不需要放通，
因为防火墙有记录会话的功能
2.数据包主动从外网发起（DNAT）
收到数据包时:
数据包回来流量/外网主动发起：—HOOKA（DNAT）—HOOKC（路由查找、ACL 过滤）---HOOKE
注意点：放通流量是放通外网对内网的流量，内网放回的流量不
需要放通，因为防火墙有记录会话的功能
四、内部用户用公网IP访问内部服务器（双向NAT）
数据包进入到设备：—HOOKA（DNAT）—HOOKC（路由查找、ACL过滤）---HOOKE （SNAT）
注意点：放通流量是放通私网对私网的流量
五、非VPN数据，就是交给NGFW设备
数据包进入—HOOKA—HOOKB
注意点：并没有经过NGFW的ACL过滤，所以无需放通流量
六、非VPN数据，从本设备发出
数据包发出—HOOKD—HOOKE
注意点：并没有经过NGFW的ACL过滤，所以无需放通流量。

合集下载

acl配置详解

acl配置详解

什么是ACL?访问控制列表简称为ACL,访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。

该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持了。

访问控制列表的原理对路由器接口来说有两个方向出：已经经路由器的处理，正离开路由器接口的数据包入：已经到达路由器接口的数据包，将被路由器处理。

匹配顺序为："自上而下，依次匹配".默认为拒绝访问控制列表的类型标准访问控制列表：一般应用在out出站接口。

建议配置在离目标端最近的路由上扩展访问控制列表：配置在离源端最近的路由上，一般应用在入站in方向命名访问控制列表：允许在标准和扩展访问列表中使用名称代替表号访问控制列表使用原则1、最小特权原则只给受控对象完成任务所必须的最小的权限。

也就是说被控制的总规则是各个规则的交集，只满足部分条件的是不容许通过规则的。

2、最靠近受控对象原则所有的网络层访问权限控制。

也就是说在检查规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。

3、默认丢弃原则在CISCO路由交换设备中默认最后一句为ACL中加入了DENY ANY ANY,也就是丢弃所有不符合条件的数据包。

这一点要特别注意，虽然我们可以修改这个默认，但未改前一定要引起重视。

由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。

因此，要达到端到端的权限控制目的，需要和系统级及应用级的访问权限控制结合使用。

一、标准访问列表(标准ACL)访问控制列表ACL分很多种，不同场合应用不同种类的ACL.其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用访问控制列表号1到99来创建相应的ACL.它的具体格式：access-list access-list-number [permit | deny ] [sourceaddress][wildcard-mask]access-list-number 为1-99 或者1300-1999之间的数字，这个是访问列表号。

访问控制列表(ACL)配置

访问控制列表(ACL)配置

ACL（访问控制列表）一、基本：1、基本ACL表2、扩展ACL表3、基于时间的ACL表4、动态ACL表二、ACL工作过程1、自上而下处理1)、如果有一个匹配的ACL，后面的ACL表不再检查2)、如果所有的ACL都不匹配，禁止所有的操作（隐含）特例，创建一个空的ACL表，然后应用这个空的ACL表，产生禁止所有的操作。

3）、后添加的ACL表，放在尾部4)、ALC表放置的原则：如果是基本ACL表，尽量放在目的端，如果是扩展ACL表，尽量放在源端5)、语句的位置：一般具体ACL表放在模糊的ACL表前6)、3P原则：每一个协议每一个接口每一个方向只有一个ACL表。

（多个ACL表会引起干扰）7)、应用ACL的方向，入站和出站，应用在接口上三、基本ACL表(不具体)1、定义命令：access-list <</span>编号> permit/denny 源IP地址 [子网掩码反码]应用命令：ip access-group <</span>编号> in/out 查看命令：sh access-lists1）、编号：1-99和1300-19992）、可以控制一台计算机或控制一段网络3）、host:表示一台计算机4)、any:表示任何计算机四、ACL配置步骤：1、定义ACL表2、应用ACL表五、路由器在默认的情况下，对所有数据都是开放，而防火墙在默认情况下，对所有数据都禁止。

六：判断是流入还是流出，看路由器的数据流向七：注意：如果在写禁止，小心默认禁止所有1.控制一台计算机(禁止)Access-list 1 deny 172.16.2.100Access-list 1 permit anyInterface f0/0Ip access-group 1 out (应用到端口)2、控制一段网络（禁止）Access-list 1 deny 172.16.2.0 0.0.0.255Access-list 1 permit anyInterface f0/0Ip access-group 1 out(应用到端口)3、控制一台计算机（允许）Access-list 1 permit 172.16.1.1004、控制一个网段（允许）Access-list 1 permit 172.16.1.0 0.0.0.255telnet服务配置：1)、使能密码2)、登录密码控制telnet服务应用端口命令：access-class <</span>编号> in/out 实例：只允许172.16.1.100能够使用telnet服务access-list 1 permit 172.16.1.100 Line vty 0 4Access-class 1 in实例：。

如何设置网络防火墙的访问控制列表(ACL)？

如何设置网络防火墙的访问控制列表(ACL)？

网络防火墙是保护网络安全的重要工具，它通过设置访问控制列表（ACL）来限制网络流量，防止未经授权的访问和攻击。

本文将从什么是ACL、为何需要ACL以及如何设置ACL三个方面来讨论如何设置网络防火墙的访问控制列表。

一、什么是ACL访问控制列表（ACL）是一种网络安全策略，用于控制网络流量的流动。

它通过规定哪些网络流量可以通过网络防火墙进入网络或离开网络，从而保护网络的安全。

ACL可以基于多个因素进行限制，例如源IP地址、目标IP地址、协议类型、源端口号、目标端口号等。

二、为何需要ACL1.控制访问权限：ACL可以限制特定IP地址或IP地址范围的访问权限，从而保护网络资源免受未经授权的访问。

2.防止网络攻击：ACL可以阻止恶意流量和入侵尝试，有效减少网络攻击的风险。

3.提高网络性能：通过限制特定流量的访问权限，可以减少网络拥堵和带宽占用，提高网络的响应速度和性能。

三、如何设置ACL1.了解网络拓扑：在设置ACL之前，需要全面了解网络拓扑结构和网络设备的配置。

确定哪些设备需要受ACL控制，并了解它们之间的通信需求。

2.确定ACL的目标：在设置ACL之前，需要明确ACL的目标和限制范围。

例如，限制特定IP地址或IP地址范围的访问权限，限制特定协议或端口号的流量等。

3.编写ACL规则：根据确定的目标和限制范围，编写ACL规则。

ACL规则应包括源IP地址、目标IP地址、协议类型、源端口号、目标端口号等信息。

根据具体需求，可以编写多条规则，实现更精细的访问限制。

4.优化ACL规则：编写ACL规则后，需要对规则进行优化。

避免使用过于宽泛的规则，可以根据实际需求进行调整和优化。

同时，还需要将最常用的规则放在前面，以提高访问控制的效率。

5.配置ACL规则：配置ACL规则时，需要将规则应用到网络设备上。

根据网络设备的型号和配置界面，选择合适的方式进行配置。

通常可以通过命令行界面或图形界面来进行配置。

6.测试和监控ACL：在配置ACL后，需要进行测试和监控。

acl配置规则与端口使用规则

acl配置规则与端口使用规则

acl配置规则与端口使用规则ACL（访问控制列表）是一个网络安全的重要概念，它是一种网络设备防火墙的配置规则，用于控制数据包按照规则是否允许通过网络设备。

ACL的主要作用是限制网络上的非法访问，保护网络的安全。

ACL的配置规则是由管理员根据实际需要设置的，其中最常用的规则是基于IP地址和端口号。

基于IP地址的ACL规则可以限制特定的IP地址或者IP地址段的访问，同时也可以排除某些特定的IP地址。

而基于端口号的ACL规则可以限制特定的端口号或端口号范围的访问，这样就可以实现对不同端口的访问控制。

在配置ACL规则时，我们需要考虑不同协议的不同端口号。

例如，如果我们想要禁止某个电脑使用FTP协议传输文件，我们就需要将FTP 协议的端口号21加入ACL规则中进行限制。

如果我们想要限制某个网站的访问，我们就需要使用HTTP协议的端口号80，SMTP协议的端口号25，POP3协议的端口号为110等进行限制。

需要注意的是，如果我们不了解ACL规则的使用方法，就可能导致误限制或漏限制。

误限制会使得一些合法的数据包被误认为是非法的，这样就会影响到正常的数据传输。

而漏限制则可能会使得一些非法的数据包被误认为是合法的，从而进入网络系统，对网络安全造成威胁。

因此，在配置ACL规则时，需要仔细考虑并充分了解对应的协议和端口号，并且要进行多次测试，确保规则的正确性和可靠性。

如果发现问题，应及时对ACL规则进行调整、修改和优化，提高网络安全性能。

综上所述，ACL是一种非常重要的网络安全配置规则，对网络安全保护至关重要。

在使用ACL时，需要根据实际需要设置对应的规则，充分了解协议和端口号，进行多次测试和优化，确保规则的准确性和有效性，从而保障网络系统的安全性和可靠性。