用访问控制列表(ACL)实现包过滤
一.ACL概述
1.ACL（Access Control List,访问控制列表）是用来实现数据包识别功能的
2.ACL可以应用于诸多方面
a>.b包过滤防火墙功能；
b>.NAT（Network Address Translation,网络地址转换）；
c>.QoS（Quality of Service,服务质量）的数据分类；
d>.路由策略和过滤
e>.按需拨号
二.ACL包过滤原理
1.基于ACL的包过滤技术
a>.对进入的数据包逐个过滤，丢弃或允许通过；
b>.ACL应用于接口上，每个接口的出入双向分别过滤；
c>.仅当数据包过滤经过一个接口是时，才会被此接口的此方向的ACL过滤；
2.入站包过滤工作流程
3.出站包过滤工作流程
4.通配符掩码
a>.通配符掩码和IP地址结合使用以描述一个地址范围；
b>.通配符和子网掩码相思，但含义不同:0表示对应位需要比较，1表示对应为不需要比较。
5. 通配符掩码的应用示例
三.ACL分类
1.ACL的标识
a>.利用数字需要标识访问控制列表；
详细介绍：
1>.标准2000-2999：检查数据包的源，根据数据包的源IP指定规则，允许或拒绝的是整个数据包的IP；(属于基本ACL)
2>.扩展3000-3999：根据报文的源IP地址信息，目的IP地址信息，IP承载的协议类型，协议的特性等三，四层信息指定规则；(属于高级ACL)
3>.二层ACL 4000-4999：根据报文的源MAC地址，目的MAC地址，VLAN优先级，二层协议类型等二层信息指定规则。
4>.用户自定义ACL 5000-5999：可以以报文头，IP头等位基准，指定从第几个字节开始于掩码进行“与”操作，将报文提取出来的字符串和用户定义的字符串进行比较，找到匹配的报文。
b>.可以给访问控制列表指定名称，便于维护；
四.配置ACL包过滤
在做实验之前，需要将以下拓扑图两个机房配置通：
准备环境：要求亦庄机房的PC可以ping同高碑店的pc,我们可以用OSPF来做，配置过程如下：
"亦庄出口路由"配置如下：
[Huawei]sysname yizhuang
[yizhuang]interface Ethernet 0/0/0
[yizhuang-Ethernet0/0/1]ip address 172.30.1.254 24
[yizhuang-Ethernet0/0/1]undo shutdown
[yizhuang-Ethernet0/0/1]quit
[yizhuang]interface Ethernet 0/0/1
[yizhuang-Ethernet0/0/1]ip address 10.10.10.1 24
[yizhuang-Ethernet0/0/1]undo shutdown
[yizhuang-Ethernet0/0/1]quit
[yizhuang]ospf 200
[yizhuang-ospf-200]area 0
[yizhuang-ospf-200-area-0.0.0.0]network 10.10.10.1 0.0.0.0
[yizhuang-ospf-200-area-0.0.0.0]network 172.30.1.0 0.0.0.255
[yizhuang-ospf-200-area-0.0.0.0]quit
[yizhuang-ospf-200]quit "高碑店出口路由"配置如下：
[Huawei]sysname gaobeidian
[gaobeidian]interface Ethernet 0/0/0
[gaobeidian-Ethernet0/0/0]ip address 192.168.1.254 24
[gaobeidian-Ethernet0/0/0]undo shutdown
[gaobeidian]interface Ethernet 0/0/1
[gaobeidian-Ethernet0/0/1]ip address 10.10.10.2 24
[gaobeidian-Ethernet0/0/1]undo shutdown
[gaobeidian-Ethernet0/0/1]quit
[gaobeidian]ospf 100
[gaobeidian-ospf-100]area 0
[gaobeidian-ospf-100-area-0.0.0.0]network 10.10.10.2 0.0.0.0
[gaobeidian-ospf-100-area-0.0.0.0]network 192.168.1.0 0.0.0.255
[gaobeidian-ospf-100-area-0.0.0.0]quit
2个路由器的配置过程
PC>ipconfig Link local IPv6 address...........: fe80::5689:98ff:fe15:18c0
IPv6 address......................: :: / 128
IPv6 gateway......................: ::
IPv4 address......................: 172.30.1.1
Subnet mask.......................: 255.255.255.0
Gateway...........................: 172.30.1.254
Physical address..................: 54-89-98-15-18-C0
DNS server........................: PC>
PC>ping 192.168.1.1 Ping 192.168.1.1: 32 data bytes, Press Ctrl_C to break
From 192.168.1.1: bytes=32 seq=1 ttl=126 time=62 ms
From 192.168.1.1: bytes=32 seq=2 ttl=126 time=62 ms
From 192.168.1.1: bytes=32 seq=3 ttl=126 time=32 ms
From 192.168.1.1: bytes=32 seq=4 ttl=126 time=62 ms
From 192.168.1.1: bytes=32 seq=5 ttl=126 time=31 ms --- 192.168.1.1 ping statistics ---
5 packet(s) transmitted
5 packet(s) received
0.00% packet loss
round-trip min/avg/max = 31/49/62 ms PC>
测试结果
需求一：要求亦庄机房pc无法ping通高碑店机房pc.
我们在离高碑店机房pc的上联路由或者交换机上做配置即可:
华为机器配置如下：
[gaobeidian]acl 2000 #定义基本策略
[gaobeidian-acl-basic-2000]rule 0 deny source 172.30.1.1 0.0.0.0 #写一条拒绝的规则
[gaobeidian-acl-basic-2000]quit
[gaobeidian]traffic classifier deny_icmp #创建策略
[gaobeidian-classifier-deny_icmp]if-match acl 2000 #和条件绑定
[gaobeidian-classifier-deny_icmp]quit
[gaobeidian]traffic behavior deny #创建一个策略的动作，
[gaobeidian-behavior-deny]quit
[gaobeidian]traffic policy xianzhi #创建一个策略组
[gaobeidian-trafficpolicy-xianzhi]classifier deny_icmp behavior deny #关联策略和动作
[gaobeidian-trafficpolicy-xianzhi]quit
[gaobeidian]interface Ethernet 0/0/1
[gaobeidian-Ethernet0/0/1]traffic-policy xianzhi inbound #在相应的如接口调用策略组
H3C配置如下：（你会发现这2个差距并不是很大，原理都是一样的）
firewall enable #启用防火墙
firewall default permit #设置默认规则为允许
acl number 2000
rule 0 deny source 172.30.1.1 0.0.0.0
quit
interface Ethenet 0/0/1
firewall packer-filter 2000 inbound #绑定策略
H3C用到的命令如下
实验测试结果如下：
PC>ping 192.168.1.1 Ping 192.168.1.1: 32 data bytes, Press Ctrl_C to break
From 192.168.1.1: bytes=32 seq=1 ttl=126 time=93 ms
From 192.168.1.1: bytes=32 seq=2 ttl=126 time=109 ms
From 192.168.1.1: bytes=32 seq=3 ttl=126 time=93 ms
From 192.168.1.1: bytes=32 seq=4 ttl=126 time=62 ms
From 192.168.1.1: bytes=32 seq=5 ttl=126 time=78 ms --- 192.168.1.1 ping statistics ---
5 packet(s) transmitted
5 packet(s) received
0.00% packet loss
round-trip min/avg/max = 62/87/109 ms PC>ping 192.168.1.1 Ping 192.168.1.1: 32 data bytes, Press Ctrl_C to break
Request timeout!
Request timeout!
Request timeout!
Request timeout!
Request timeout! --- 192.168.1.1 ping statistics ---
5 packet(s) transmitted
0 packet(s) received
100.00% packet loss PC>ipconfig Link local IPv6 address...........: fe80::5689:98ff:fe80:32ad
IPv6 address......................: :: / 128
IPv6 gateway......................: ::
IPv4 address......................: 172.30.1.1
Subnet mask.......................: 255.255.255.0
Gateway...........................: 172.30.1.254
Physical address..................: 54-89-98-80-32-AD
DNS server........................: PC>
注意：
可能ENSP模拟的路由器在写ACL上存在BUG,我这里建议更换交换机测试，或者在路由器和电脑之前加个交换机，在交换机上做策略也好使，已经实测。
需求二.使得亦庄路由器无法telnet高碑店路由器.
拓扑图如下：
配置过程如下：
#高碑店路由器配置：
[gaobeidain]telnet server enable
[gaobeidain]user-interface vty 0 4
[gaobeidain-ui-vty0-4]authentication-mode none
[gaobeidain-ui-vty0-4]user privilege level 3 #亦庄路由器测试：
<Huawei>telnet 10.10.10.2
Trying 10.10.10.2 ...
Press CTRL+K to abort
Connected to 10.10.10.2 ... Info: The max number of VTY users is 10, and the number
of current VTY users on line is 1.
The current login time is 2017-04-19 00:15:06.
<gaobeidain> “三层交换机”配置如下：
[Huawei]acl number 3000
[Huawei-acl-adv-3000]rule 0 deny tcp source 10.10.10.1 0 destination 10.10.10.2 0 destination-port eq
telnet #拒绝访问10.10.10.2的路由器的telnet功能
[Huawei-acl-adv-3000]quit
[Huawei]traffic classifier deny_telnet
[Huawei-classifier-deny_telnet]if-match acl 3000
[Huawei-classifier-deny_telnet]quit
[Huawei]traffic behavior deny #定义一个动作
[Huawei-behavior-deny]quit #动作内容为空，直接退出即可
[Huawei]traffic policy xianzhi
[Huawei-trafficpolicy-xianzhi]classifier deny_telnet behavior deny
[Huawei-trafficpolicy-xianzhi]quit
拓扑图如下：
准备环境：
“鲁谷机房”配置如下：
[Huawei]sysname lugu
[lugu]interface Ethernet 0/0/1
[lugu-Ethernet0/0/1]ip address 10.10.10.2 24
[lugu-Ethernet0/0/1]quit
[lugu]interface LoopBack 1
[lugu-LoopBack1]ip address 192.168.1.1 24
[lugu-LoopBack1]quit
[lugu]ip route-static 0.0.0.0 0.0.0.0 10.10.10.1
[lugu]user-interface vty 0 4
[lugu-ui-vty0-4]authentication-mode none
[lugu-ui-vty0-4]user privilege level 3 "策略交换机"配置如下：
[Huawei]sysname celue
[celue]interface Ethernet 0/0/1
[celue-Ethernet0/0/1]port link-type trunk
[celue-Ethernet0/0/1]quit “兆维机房”配置如下：
[Huawei]sysname zhaowei
[zhaowei]interface LoopBack 1
[zhaowei-LoopBack1]ip address 172.30.1.1 24
[zhaowei-LoopBack1]quit
[zhaowei]interface Ethernet 0/0/1
[zhaowei-Ethernet0/0/1]ip address 10.10.10.1 24
[zhaowei-Ethernet0/0/1]undo shutdown
[zhaowei-Ethernet0/0/1]quit
[zhaowei]ip route-static 0.0.0.0 0.0.0.0 10.10.10.2
<zhaowei>telnet 192.168.1.1 #链接鲁谷机房pc
Trying 192.168.1.1 ...
Press CTRL+K to abort
Connected to 192.168.1.1 ... Info: The max number of VTY users is 10, and the number
of current VTY users on line is 1.
The current login time is 2017-04-19 11:11:19.
<lugu>
策略限制如下：
“鲁谷机房”配置如下： [lugu]acl 3000
[lugu-acl-adv-3000]rule 0 deny tcp source 172.30.1.1 0 destination 192.168.1.1 0 destination-port eq
telnet #定义一条拒绝telnet的策略
[lugu]user-interface vty 0 4
[lugu-ui-vty0-4]authentication-mode none #验证方式为空
[lugu-ui-vty0-4]acl 3000 inbound #绑定策略
测试结果如下：
<zhaowei>telnet 192.168.1.1
Trying 192.168.1.1 ...
Press CTRL+K to abort
Error: Failed to connect to the remote host.
<zhaowei>
以上操作用的是ENSP配置，如果要配置H3C的话请参考：
实验十 配置ACL包过滤
【实验目的】
l 掌握访问控制列表的简单的工作原理
l 掌握访问控制列表的基本配置方法
l 掌握访问控制列表的常用配置命令
【实验要求】
分别使用ACL禁止PC1访问PC2和禁止从PC1到网络192.168.3.0/24的FTP数据流。
【实验设备】
路由器两台、PC机两台、网线三根、console
【实验拓扑】
【实验过程】
实验过程一、配置基本的ACL
1、路由器接口IP地址以及PC机的IP地址规划
|
设备名称 |
接口 |
IP地址 |
网关 |
|
RT1 |
G0/0/1 |
192.168.1.1 |
-- |
|
G0/0/0 |
192.168.2.1 |
-- |
|
|
looback |
1.1.1.1.1/32 |
||
|
RT2 |
G0/0/0 |
192.168.2.2 |
-- |
|
G0/0/1 |
192.168.3.1 |
-- |
|
|
looback |
2.2.2.2./32 |
||
|
PC1 |
-- |
192.168.1.2 |
192.168.1.1 |
|
PC2 |
-- |
192.168.3.2 |
192.168.3.1 |
2、使用RIP协议使全网互通（也可以使用OSPF以及静态路由）
RT1
[RT1]rip
[RT1-rip-1]network 192.168.1.0
[RT1-rip-1]network 192.168.2.0
[RT1-rip-1]quit
[RT1]
RT2
[RT2]rip
[RT2-rip-1]network 192.168.2.0
[RT2-rip-1]network 192.168.3.0
[RT2-rip-1]quit
[RT2]
3、PC1 ping PC2验证网络的连通性
4、配置ACL并且应用
防火墙功能需要在路由器上启动后才能生效
[RT1]firewall enable
设置防火墙的默认过滤方式是Permit
[RT1]firewall default permit
配置基本ACL，并指定ACL序号
[RT1]acl number 2000
定义ACL定义规则
[RT1-acl-basic-2000]rule deny source 192.168.1.2 0.0.0.0[w1]
[RT1-acl-basic-2000]quit
进入接口并在接口上应用接口上
[RT1]interface g0/0/1
[RT1-GigabitEthernet0/0/1]firewall packet-filter 2000 inbound[w2]
[RT1-GigabitEthernet0/0/1]qu
[RT1]
5、PC1 ping PC2测试主机间的连通性，测试结果应该是不可达，如下
6、查看ACL以及防火墙的状态和统计
可以看到，有数据报文命中了ACL中定义的额规则。
实验过程二 配置扩展的ACL
1、PC组网图和IP地址规划同实验一基本的ACL
2、配置ACL规则
[RT1]acl number 3000
[RT1-acl-adv-3000]rule deny tcp source 192.168.1.2 0.0.0.0 destination 192.168.3.0 0.0.0.255 destination-port eq ftp
[RT1-acl-adv-3000]rule permit ip source 192.168.1.2 0.0.0.0 destination 192.168.2.0 0.0.0.255
[RT1-acl-adv-3000]quit
[RT1]interface g0/0/1
[RT1-GigabitEthernet0/0/1]firewall packet-filter 3000 inbound
[RT1-GigabitEthernet0/0/1]quit
[RT1]
3、做完之后铜须门可以自己试一下PC1 ping PC2能否ping通，如果能ping通过则说明什么？
4、在PC2上开启FTP服务，然后再PC1上使用FTP客户端软件连接到PC2，看一下结果是被拒绝还是允许？
【思考拓展】
在实验二高级ACL应用中，可以把ACL应用在RTB上吗？
指定动作是Permit挥着Deny
制定要匹配的源IP地址范围
Inbound：过滤接口接收的数据包
Outbound ：过滤接口转发的数据包
五.ACL包过滤的注意事项