【网络】10.ACL原理与配置实验
1.ACL的概念及作用
ACL：访问控制协议，指的是一条一条的规则策略，构成一个访问控制的列表，从而实现设备之间的访问控制以及确认数据包是否放行通过（工作于网络层）。
主要的配置设备：路由器
ACL的作用：1.对数据包做访问控制
2.结合其他的协议，对设备做出访问控制权限，匹配范围
3.控制在传输层协议的数据包是否放行通过
注意：1.ACL可以配置多条策略，用接口进行调用即可
2.根据报文来进行匹配和区分
3.一个接口只能调用一个规则编号的ACL策略
2.ACL基本原理
ACL：访问控制协议，一条一条的带有编号的规则策略
ACL的组成
ACL编号：用于标识ACL，根据数字的划分范围，ACL分为基本ACL，高级ACL，二层ACL和用户ACL几种类型，每类ACL编号的取值范围不同，相应的所具备的功能也不一样。
关于每类ACL编号，我们只需要学习基本和高级ACL.
基本ACL：范围2000-2999，只能匹配源地址 （实验情况下尽量要靠近目的地的端口）
高级ACL：范围3000-3999，既可以匹配带源IP地址，目标IP地址，还可以匹配到源端口号，目标端口号
（实验条件下，尽量使用在靠近源地址的地方，起保护宽带的作用）
规则编号：可以自行配置规则编号，也可以由系统自动分配，主要作用是在可以在之后添加acl策略，用来标识每一条acl策略,
，即每一条策略都有自己的编号，系统就按照这个编号从小到大来进行匹配。
命令：permit 允许 / deny 拒绝
步长：每一条策略之间的差值，默认为5，作用是为了方便后续在旧策略之间插入新的策略
通配符掩码
当进行IP地址匹配的时候，后面会跟着32位掩码位，这32位称为通配符
匹配规则 "0"表示匹配，"1"表示随机分配 运用点分十进制表示（即0必须匹配，1无需匹配）
例如：192.168.1.8 /24 匹配 20 22 24 26
192.168.1.8 11000000.10101000.00000001.00001000 点分十进制
/24 00000000.00000000.00000000.11111111
20 00010100
22 00010110
24 00011000
26 00011010
由红标可以看出 只有三位是变化的，"0"表示匹配，为不变，"1"表示随机，表示变化
所以可以的到00000000.0000000.0000000.00001110，即通配符0.0.0.14
所以当是IP地址时，通配符是要写死的，因为IP地址是不变的
举例：
| 192.168.10.2 0.0.0.0/0 | 匹配一个主机地址 |
| 192.168.20.0 0.0.0.255 | 匹配一个网段 |
即：网络位需要严格的匹配，主机位随机匹配
ACL匹配机制
匹配原则：1.遵循匹配成功则停止匹配，匹配一条成功后，后边有相同的不匹配
2.有则匹配，无则放通数据包
匹配流程：
1.系统会查找设备上是否配置了ACL。
2.如果ACL不存在，则匹配不成功，数据包会直接放通
3.如果ACL存在，进行查找ACL中是否包含ACL策略，
4.如果有acl策略存在，匹配成功则需要看是permit或者deny，然后执行
5.如果没有策略，则继续向下查找符合的，如果没有，则匹配失败
总结：存在ACL且必须有符合添加的规则才可以匹配成功
3.ACL原理实现
问题：1.只允许PC1和PC3进行通信
2.不允许PC1,PC2,CLIENT1和server1进行通信
3.允许CLIENT1与SERBER1进行通信
实现步骤：首先创建一个ACL
写入策略：1.允许PC1进行通信的 2.不允许所有通过（按顺序匹配。规则编号，规则编号小的优先）
然后调用接口，一题使用的基本acl，配目的地近的端口
禁止ping，所以禁用掉icmp协议即可
由于在第二问题 icmp已经被进制，即ping不同，所以使用抓包工具看传输层三次握手四次挥手
此次端口就本着尽量原则，最合适的已经被占用，用其他端口调用acl也是可以的
