网络基础知识笔记07:ACL访问控制列表
网络基础知识笔记07 ACL访问控制列表
企业网络中的设备进行通信时,需要保障数据传输的安全可靠和网络的性能稳定。
访问控制列表ACL(Access Control List)可以定义一系列不同的规则,设备根据这些规则对数据包进行分类,并针对不同类型的报文进行不同的处理,从而可以实现对网络访问行为的控制、限制网络流量、提高网络性能、防止网络攻击等等。
ACL应用场景
ACL可以通过定义规则来允许或拒绝流量的通过。
ACL的应用场景非常广泛。经常与网络地址转换技术(NAT),路由策略(route-policy),策略路由(policy-based-route),VPN(Virtual Private Network)和服务质量(QoS)等网络核心技术配合使用,是网络专业必须掌握的知识。
ACL是由一系列规则组成的集合。设备可以通过这些规则对数据包进行分类,并对不同类型的报文进行不同的处理。
如上图示例中,现在某企业有对网络中不同的网段有不同的访问限制。网关RTA允许192.168.1.0/24中的主机可以访问外网,也就是Internet;而192.168.2.0/24中的主机则被禁止访问Internet。对于服务器A而言,情况则相反。网关允许192.168.2.0/24中的主机访问服务器A,但却禁止192.168.1.0/24中的主机访问服务器A。通过ACL技术,可以将这个需求完美实现。
ACL工作原理
ACL可以根据需求来定义过滤的条件以及匹配条件后所执行的动作。
设备可以依据ACL中定义的条件(例如源IP地址等)来匹配入(出)方向的数据,并对匹配了条件的数据执行相应的动作。
在本示例所述场景中。RTA依据所定义的ACL而匹配到的感兴趣流量来自192.168.2.0/24网络, RTA会对这些感兴趣流量进行加密(在之后的虚拟局域网VPN笔记中会进行介绍)之后再转发。
ACL分类
根据不同的划分规则,ACL可以有不同的分类。最常见的三种分类是基本ACL、高级ACL和二层ACL。
分类 |
编号范围 |
参数(匹配规则) |
基本ACL |
2000-2999 |
源IP地址等 |
高级ACL |
3000-3999 |
源IP地址、目的IP地址、 源端口、目的端口等 |
二层ACL |
4000-4999 |
源MAC地址、目的MAC地址、以太帧协议类型等 |
用户自定义ACL |
5000-5999 |
可根据偏移位置和偏移量从报文中提取出一段内容进行匹配。 |
用户ACL |
6000-6999 |
既可使用IPv4报文的源IP地址或源UCL(User Control List)组,也可使用目的地址或目的UCL组、IP协议类型、ICMP类型、TCP源端口/目的端口、UDP源端口/目的端口号等来定义规则。 |
①基本ACL可以使用报文的源IP地址,分片标记和时间段信息来匹配报文,其编号取值范围是2000-2999。
②高级ACL可以使用报文的源/目的IP地址,源/目的端口号以及协议类型等信息来匹配报文。高级ACL可以定义比基本ACL更准确、更丰富、更灵活的规则,其编号取值范围是3000-3999。
③二层ACL可以使用源/目的MAC地址以及二层协议类型等二层信息来匹配报文,其编号取值范围是4000-4999。
④用户自定义ACL和用户ACL在这里不做讨论。
ACL匹配规则
每个ACL可以包含多个规则(rule),路由器RTA根据规则来对数据流量进行过滤。如下图所示:
一个ACL可以由多条“deny | permit”语句组成,每一条语句描述了一条规则。设备收到数据流量后,会从上到下逐条匹配ACL规则(rule),看其是否匹配,如果不匹配,则继续匹配下一条规则(rule):
①如果找到一条匹配的规则,则执行规则中定义的动作,并不再继续与后续规则进行匹配。
②如果找不到匹配的规则,则设备不对报文进行任何处理。
Tips:需要注意的是,ACL中定义的这些规则可能存在重复或矛盾的地方。规则的匹配顺序(从上到下)决定了规则的优先级,ACL通过设置规则的优先级来处理规则之间重复或矛盾的情形。
路由器支持两种匹配顺序:配置顺序(config)和自动排序(auto)。
(1)配置顺序
配置顺序按ACL规则编号(rule-id)从小到大的顺序进行匹配。设备会在创建ACL的过程中自动为每一条规则分配一个编号,规则编号决定了规则被匹配的顺序。
如上图示例中,RTA收到了来自两个网络的报文。默认情况下,RTA会依据ACL的配置顺序来匹配这些报文。网络172.16.0.0/24发送的数据流量将被RTA上配置的ACL 2000的规则15匹配,因此会被拒绝。而来自网络172.17.0.0/24的报文不能匹配访问控制列表中的任何规则,因此RTA对报文不做任何处理,而是正常转发。
(2)自动排序
自动排序使用“深度优先”的原则进行匹配,即根据规则的精确度排序(从高到低)。规则中定义的匹配项限制越严格,规则的精确度就越高,即优先级越高,系统越先匹配。各类ACL的“深度优先”顺序匹配原则如下表所示(用户自定义ACL和用户ACL不做讨论):
ACL类型 |
自动排序匹配原则 |
基本ACL&ACL6 |
①先看规则中是否带VPN实例,带VPN实例的规则优先。 ②再比较源IP地址范围,源IP地址范围小(IP地址通配符掩码中“0”位的数量多)的规则优先。 ③如果源IP地址范围相同,则规则编号小的优先。 |
高级ACL&ACL6 |
①先看规则中是否带VPN实例,带VPN实例的规则优先。 ②再比较协议范围,指定了IP协议承载的协议类型的规则优先。 ③如果协议范围相同,则比较源IP地址范围,源IP地址范围小(IP地址通配符掩码中“0”位的数量多)的规则优先。 ④如果协议范围、源IP地址范围相同,则比较目的IP地址范围,目的IP地址范围小(IP地址通配符掩码中“0”位的数量多)的规则优先。 ⑤如果协议范围、源IP地址范围、目的IP地址范围相同,则比较四层端口号(TCP/UDP端口号)范围,四层端口号范围小的规则优先。 ⑥如果上述范围都相同,则规则编号小的优先。 |
二层ACL |
①先比较二层协议类型通配符掩码,通配符掩码大(协议类型通配符掩码中“1”位的数量多)的规则优先。 ②如果二层协议类型通配符掩码相同,则比较源MAC地址范围,源MAC地址范围小(MAC地址通配符掩码中“1”位的数量多)的规则优先。 ③如果源MAC地址范围相同,则比较目的MAC地址范围,目的MAC地址范围小(MAC地址通配符掩码中“1”位的数量多)的规则优先。 ④如果源MAC地址范围、目的MAC地址范围相同,则规则编号小的优先。 |
“深度优先”规则,就是把指定数据包范围最小的语句排在最前面。这一点主要可以通过比较IP地址的通配符来实现。通配符越小,则指定主机的范围就越小。
Tips:匹配顺序可以采用命令match-order { auto | config }来修改。
(3)ACL的步长
如果将步长设定为5,则规则编号将按照5、10、15…这样的规律自动分配。同理如果步长设定为2,则规则编号将按照2、4、6、8…这样的规律自动分配。
通过设置步长,使规则之间留有一定的空间,用户可以在已存在的两个规则之间插入新的规则。路由器匹配规则时默认采用配置顺序。
Tips:华为系列路由器默认规则编号的步长是5。
基本ACL(2000-2999)的配置方法
如下图所示,拓扑中有三台主机和两台路由器。主机A和主机B分别代表172.16.1.0/24和172.16.2.0/24两个网段,还有一台外网的主机代表10.1.1.0/24网段。
现有需求:172.16.1.0/24网段可以访问外网主机,但172.16.2.0/24网段不能。可以通过配置基本ACL来达到需求。
Step 1:基础配置。配置路由器的端口IP和静态路由,主机的配置省略。
路由器R1的基础配置:
路由器R2的基础配置:
Step 2:在R1路由器上配置基本ACL
命令:acl [ number ]
创建一个ACL,并进入ACL视图。基本ACL的编号为2000-2999。
命令:rule [ rule-id ] { deny | permit } source { source-address source-wildcard | any }
增加或修改ACL的规则。
①deny用来指定拒绝符合条件的数据包,permit用来指定允许符合条件的数据包。
②source用来指定ACL规则匹配报文的源地址信息,any表示任意源地址。
③wildcard指反掩码。关于反掩码笔记下面会有介绍。
命令:traffic-filter { inbound | outbound }acl{ acl-number }
在接口上配置基于ACL对报文进行过滤。
inbound应用在端口的入方向匹配的流量上
outbound应用在端口的出方向匹配的流量上
若该ACL应用在路由器R1的端口GE0/0/0上,也就是R1连接R2的端口。现在的需求是禁止172.16.2.0网段访问10.1.1.0网段,数据流方向是从R1到R2。所以要匹配的数据流是出方向的。
Step 3:配置验证
本示例中,主机B发送的流量到达RTA后,会匹配ACL 2000中创建的规则rule deny source 172.16.2.0 0.0.0.255,因而将被拒绝继续转发到Internet。
主机A发送的流量不匹配任何规则,所以会被RTA正常转发到Internet。
命令:display acl <acl-number>
可以验证配置的基本ACL。
配置的ACL只有一条规则,即拒绝源IP地址在172.16.2.0/24范围的所有IP报文。由于在172.16.2.0网段的主机B上使用ping命令验证了两次,每次ping会发送5个数据包,所以上图中显示该条ACL一共成功匹配了10次数据包(10 matches)。
命令:display traffic-filter applied-record
可以查看设备上所有基于ACL进行报文过滤的应用信息。这些信息可以帮助用户了解报文过滤的配置情况并核对其是否正确,同时也有助于进行相关的故障诊断与排查。
Tips:补充知识
反掩码(通配符掩码)告诉路由器为了判断出匹配,它需要检查IP地址中的多少位。
反掩码中,0表示要检查的位,1表示不需要检查的位。而在IP子网掩码中,数字1、0用来决定网络、子网,还是相应的主机的IP地址。
反掩码中,可以用255.255.255.255表示所有IP地址,因为全为1说明32位中所有位都不需检查,此时可用any替代。而0.0.0.0的通配符则表示所有32位都必须要进行匹配,它只表示一个IP地址,可以用host表示。
简单计算反掩码的方法:使用代表全1的网络IP按每位减去子网掩码代表的二进制数字,即可得到反掩码。如下图所示:例如172.16.2.0/24的子网掩码为24位,计算得出反掩码为0.0.0.255。
高级ACL(3000-3999)的配置方法
基本ACL可以依据源IP地址进行报文过滤,而高级ACL能够依据源/目的IP地址、源/目的端口号、网络层及传输层协议以及IP流量分类和TCP标记值等各种参数(SYN|ACK|FIN等)进行报文过滤。
拓扑如下图所示。在基本ACL拓扑图的基础上,在代表外网的10.1.1.0/24网段作出了一些更改,该网段现在有两台服务器,一台服务器提供FTP服务(10.1.1.1),一台服务器提供私有服务(10.1.1.2),其他设备配置不变。
关于各设备的基础配置(端口配置,互联调通,服务器配置)此处已省略。现在有一个需求,PCA不能通过FTP协议访问FTP服务器,PCB不能访问私有服务器。因为涉及端口号,网络协议等,所以高级ACL可以满足需求。
Step 1:首先对基础配置进行验证
PCA可以正常访问FTP服务器(10.1.1.1)
正常登陆,可以读取到服务器的文件列表。
PCB可以正常访问私有服务器(10.1.1.2)
正常访问,成功发送4个ping包。
Step 2:在路由器R1上配置高级ACL
第一条规则匹配并拒绝源地址为172.16.1.1访问10.1.1.1的tcp 21端口。即FTP协议的端口
第二条规则匹配并拒绝源地址为172.16.2.1访问10.1.1.2
第三条规则用于匹配所有IP报文,并对报文执行允许动作。
在R1的出方向端口GE0/0/0上应用高级ACL
Step 3:配置验证
PCA不能访问FTP服务器。
PCB不能访问私有服务器。
小结
高级ACL可以基于哪些条件来定义规则?
高级ACL可以基于源/目的IP地址,源/目的端口号,协议类型以及IP流量分类和TCP标记值(SYN|ACK|FIN等)等参数来定义规则。
参考链接:
https://support.huawei.com/enterprise/zh/knowledge/EKB1000070062