一、ACL简介

访问控制列表ACL是一条或多条规则组成的集合,设备基于这些规则进行报文匹配,可以过滤出特定的报文,并根据应用ACL的业务模块的处理策略来允许或阻止该报文通过。

二、ACL分类

  • 基本ACL
    仅使用报文的源IP地址、分片信息和生效时间段信息来定义规则,编号范围2000-2999
  • 高级ACL
    既可使用IPv4报文的源IP地址,也可使用目的IP地址、IP协议类型、ICMP类型、TCP源/目的端口、UDP源/目的端口号、生效时间段等来定义规则。编号范围3000-3999
  • 二层ACL
    使用报文的以太网帧头信息来定义规则,如根据源MAC地址、目的MAC地址、二层协议类型等。编号范围4000-4999

三、ACL匹配机制

按照规则编号从小到大一次匹配规则,一旦匹配某条规则,就不再匹配后面的规则,默认最后隐含一条pertmit ip any any 规则。
路由交换(十):访问控制列表与地址前缀列表_第1张图片

四、ACL配置

1、基本ACL配置

// 配置ACL
acl number 2000
rule 5 permit source 10.1.12.0 0.0.0.255
// 应用ACL
user-interface vty 0 4
acl 2000 inbound

2、高级ACL配置

// 配置ACL
acl 3000
rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 202.100.1.0 0.0.0.255
// 应用ACL
interface GigabitEthernet0/0/0
nat outbound 3000 address-group 1

五、地址前缀列表

地址前缀列表是高级形式的访问控制列表,既能限制前缀的范围,又能限制掩码的范围。
一般形式为:
ip ip-prefix ip-prefix-name [ index index-number ] { permit | deny } ip-address mask-length [ greater-equal greater-equal-value ] [ less-equal less-equal-value ]
例如:
// 匹配192.168.1.0/24网络
ip ip-prefix test index 5 permit 192.168.1.0/24
// 默认路由
ip ip-prefix test index 5 permit 0.0.0.0/0
// 匹配any
ip ip-prefix test index 5 permit 0.0.0.0/0 less-equal 32
// 匹配10.0.0.0的前8位,且掩码长度在22位到27位之间
ip ip-prefix test index 5 permit 10.0.0.0/8 greater-equal 22 less-equal 27