前言

一、ACL概述

1、ACL簡介

2、ACL分類

（1）基本ACL

（2）高級ACL

（3）二層ACL

（4）用戶自定義ACL

（5）用戶ACL

3、ACL組成

（1）ACL標識

（2）ACL規則

4、ACL匹配機制

5、ACL步長

6、ACL的匹配順序

（1）配置順序

（2）自動排序

7、ACL應用場景

（1）在NAT中使用ACL

（2）在防火墻中使用ACL

（3）在QoS中使用ACL

8、常見TCP/UDP埠號

（1）TCP

（2）UDP

二、ACL配置

1、案例

2、配置程序

（1）AR1

（2）AR2

（3）L2-SW1

3、測驗

（1）FTP

（2）客戶機1

（3）客戶機2

結語

前言

ACL本質上是一種報文過濾器，規則是過濾器的濾芯，設備基于這些規則進行報文匹配，可以過濾出特定的報文，并根據應用ACL的業務模塊的處理策略來允許或阻止該報文通過

一、ACL概述

1、ACL簡介

ACL是Access Control List的簡稱，中文是訪問控制串列，ACL表中包含了一系列的規則，所謂規則，是指描述報文匹配條件的判斷陳述句，這些條件可以是報文的源地址、目的地址、埠號等，簡單來說，ACL其實是人為定義的一組或幾組規則，以便設備判斷是否執行用戶指定的動作，抽象來說，通過ACL，可以對報文進行分類，將具有某類共同特征的報文劃分為一類，來為同一類報文提供相同的服務，也可以對不同類的報文提供不同的服務

2、ACL分類

（1）基本ACL

基本ACL編號范圍為2000～2999，規則中只包含源IP地址，對設備的CPU消耗較少，可用于簡單的部署，但是使用場景有限，不能提供強大的安全保障

（2）高級ACL

高級ACL編號范圍為3000～3999，相較于基本ACL，高級ACL提供更高的擴展性，可以對流量進行更精細的匹配，通過配置高級ACL，可以阻止特定主機或者整個網段的源或者目標，除此之外，還可以使用協議資訊（IP、ICMP、TCP、UDP）去過濾相應的流量

（3）二層ACL

二層ACL編號范圍為4000～4999，可根據報文的以太網幀頭資訊來定義規則，在公司的內部網路中，想對特定的終端進行訪問權限控制，這時就需要二層ACL，使用二層ACL，可以根據源MAC地址、目的MAC地址、802.1p優先級、二層協議型別等二層資訊對流量進行管控

（4）用戶自定義ACL

用戶自定義ACL編號范圍為5000～5999，可根據偏移位置和偏移量從報文中提取出一段內容進行匹配

（5）用戶ACL

用戶ACL編號范圍為6000～6031，由于企業內部同部門的作業人員的終端不在同一個網段難以管理，需要將其納入一個用戶組，并對其用戶組進行訪問權限管理，這時候就需要用戶ACL，用戶ACL在高級ACL的基礎上增加了用戶組的配置項，可以實作對不同用戶組的流量管控

3、ACL組成

（1）ACL標識

使用數字標識ACL：不同的型別的ACL使用不同的數字進行標識

使用名稱標識ACL：可以使用字符來標識ACL，就像用域名代替IP地址一樣，更加方便記憶

（2）ACL規則

規則編號：用于標識ACL規則，所有規則均按照規則編號從小到大進行排序

動作：包括permit/deny兩種動作，表示設備對所匹配的資料包接受或者丟棄

匹配項：ACL定義了極其豐富的匹配項，包括生效時間段、IP協議（ICMP、TCP、UDP等）、源/目的地址以及相應的埠號（21、23、80等）

4、ACL匹配機制

首先系統會查找設備上是否配置了ACL

如果ACL不存在，則回傳ACL匹配結果為：不匹配
如果ACL存在，則查找設備是否配置了ACL規則
如果規則不存在，則回傳ACL匹配結果為：不匹配
如果規則存在，則系統會從ACL中編號最小的規則開始查找
如果匹配上了permit規則，則停止查找規則，并回傳ACL匹配結果為：匹配（允許）
如果匹配上了deny規則，則停止查找規則，并回傳ACL匹配結果為：匹配（拒絕）
如果未匹配上規則，則繼續查找下一條規則，以此回圈，如果一直查到最后一條規則，報文仍未匹配上，則回傳ACL匹配結果為：不匹配

報文與ACL規則匹配后，會產生兩種匹配結果：“匹配”和“不匹配”

匹配（命中規則）：指存在ACL，且在ACL中查找到了符合匹配條件的規則，不論匹配的動作是“permit”還是“deny”，都稱為“匹配”，而不是只是匹配上permit規則才算“匹配”
不匹配（未命中規則）：指不存在ACL，或ACL中無規則，再或者在ACL中遍歷了所有規則都沒有找到符合匹配條件的規則

5、ACL步長

步長，是指系統自動為ACL規則分配編號時，每個相鄰規則編號之間的差值，ACL（特指基本ACL、高級ACL、二層ACL、用戶ACL）的預設步長為5，系統為ACL中首條未手工指定編號的規則分配編號時，使用步長值作為該規則的起始編號；為后續規則分配編號時，則使用大于當前ACL內最大規則編號且是步長整數倍的最小整數作為規則編號，如果重新調整了步長值（例如調整為2），系統則會自動從當前步長值開始重新排列規則編號，規則編號變成2、4、6…，恢復步長值為預設值后，系統則會立刻按照預設步長重新調整規則編號，規則編號變成5、10、15…

6、ACL的匹配順序

共有兩種ACL匹配順序：配置順序（config模式）和自動排序（auto模式），預設的ACL匹配順序是配置順序

（1）配置順序

系統按照ACL規則編號從小到大的順序進行報文匹配，規則編號越小越容易被匹配

如果配置規則時指定了規則編號，則規則編號越小，規則插入位置越靠前，該規則越先被匹配
如果配置規則時未指定規則編號，則由系統自動為其分配一個編號，該編號是一個大于當前ACL內最大規則編號且是步長整數倍的最小整數，因此該規則會被最后匹配

（2）自動排序

自動排序是指系統使用“深度優先”的原則，將規則按照精確度從高到低進行排序，并按照精確度從高到低的順序進行報文匹配，規則中定義的匹配項限制越嚴格，規則的精確度就越高，即優先級越高，系統越先匹配