2022年防火墙访问控制列表 .pdf

幻灯片 1 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 1 页，共 36 页 - - - - - - - - - 幻灯片 2 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 2 页，共 36 页 - - - - - - - - - 幻灯片 3 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 3 页，共 36 页 - - - - - - - - - 幻灯片 4 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 4 页，共 36 页 - - - - - - - - - 幻灯片 5 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 5 页，共 36 页 - - - - - - - - - 幻灯片 6 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 6 页，共 36 页 - - - - - - - - - 幻灯片 7 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 7 页，共 36 页 - - - - - - - - - 4、访问控制列表 还可以 用于地址转 换5、在配置 路由策略时，可以利 用访问控制列表来 作路由 信息的过滤PDF 文件使用 pdfFactory Pro 试用版本创建w 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 8 页，共 36 页 - - - - - - - - - 幻灯片 8 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 9 页，共 36 页 - - - - - - - - - 幻灯片 9 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 10 页，共 36 页 - - - - - - - - - 路由策略路由策略是指在发 送与接收路由信息时所实施的策略，它能够对路由信息进行过滤。路由策略有多种过滤方 法。其中，ACL 作为它的一个 重要过滤 器被广泛使用，即用户使用 ACL 指定一个 IP 地址或子网的范围，作为匹配路由信息的目的网段地址或 下一跳地址QoSQoS（Quality of Service ）用来评估服务 方满足客户需求 的能力。在 Internet 上保证 QoS 的有效办法 是增加网络层在流 量控制和 资源分配上的 功能，为有不同服务需求 的业务提供 有区别的服务。流分类是有区别地进行服务的前提和基础。 实际应用中， 首先制定流 分类策略 （规则），流分类规则既可以使用 IP 报文头的 ToS 字段内 容来识别不同 优先级特征的流量，也可以通过 ACL 定义流 分类的策略。 例如综合源地址 /目的地址 /MAC地址、 IP 协议或应用程序的端口号等信息对流进行 分类，然后在流量监管、流量整形、拥塞管 理和拥塞避免 等具体实施上 引用流分类策略或 ACL。IPSecIPSec（IP Security ）协议族是 IETF 制定的一 系列协议，它通过 IP 层的加密与数据源 验证机制， 确保在 Internet 上参与通信的两个网络 节点之间传输的数据包具有私有 性、完整性 和真实性。IPSec 能够对不同的数据流施 加不同的安全 保护。 例如防火墙对 不同的数据流使用不同的安全 协议、算法和密钥。实际应用中，数据流 首先通过 ACL 来定义，匹配同一个 ACL 的所有流量在逻辑上作为一个数据流。 然后，通过在安全策略中引用该 ACL，从而确保 指定的数据流 受到保护。PDF 文件使用 pdfFactory Pro 试用版本创建w 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 11 页，共 36 页 - - - - - - - - - 幻灯片 10 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 12 页，共 36 页 - - - - - - - - - 幻灯片 11 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 13 页，共 36 页 - - - - - - - - - 3、基于 MAC 地址的 ACL4000 4099 主要用于防火墙 工作在透明模式的应用中，此时防火墙 能够根据以太网帧头中的源 MAC 地址、目的 MAC 地址、 类型字段等信息 与 ACL 规则进行 匹配，从而达到控制二层数据 帧的目的。PDF 文件使用 pdfFactory Pro 试用版本创建w 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 14 页，共 36 页 - - - - - - - - - 幻灯片 12 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 15 页，共 36 页 - - - - - - - - - PDF 文件使用 pdfFactory Pro 试用版本创建w 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 16 页，共 36 页 - - - - - - - - - 幻灯片 13 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 17 页，共 36 页 - - - - - - - - - Permit: 表示允许符合条件的报文。Source: 指定匹配规则的源 IP 地址。src-address: 报文的源 IP 地址， 点分十进制格式。src-wildcard: 源 IP 地址通配 符，点分十进制格式，与 IP 地址掩码含义相反。Any: 表示匹配任何报文的源 IP 地址。基本 ACL（组号范围为 20002999）,建议在 ACL 配置完成时,配置 description text，配置 ACL 描述信息.PDF 文件使用 pdfFactory Pro 试用版本创建w 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 18 页，共 36 页 - - - - - - - - - 幻灯片 14 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 19 页，共 36 页 - - - - - - - - - 幻灯片 15 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 20 页，共 36 页 - - - - - - - - - 1. 源地址信息2. 目的地址信息3. IP 承载的协议类型4. 源端口号和目的端口号PDF 文件使用 pdfFactory Pro 试用版本创建w 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 21 页，共 36 页 - - - - - - - - - 幻灯片 16 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 22 页，共 36 页 - - - - - - - - - source-ip-address: 报文的源 IP 地址， 点分十进制格式。source-wildcard: 源 IP 地址通配 符，点分十进制格式，与 IP 地址掩码含义相反。Destination: 指定匹配规则的目的 IP 地址。destination-ip-address: 报文的目的 IP 地址， 点分十进制格式。destination-wildcard: 目的 IP 地址通配 符，点分十进制格式，与 IP 地址掩码含义相反。Any: 表示匹配任何报文的源 IP 地址或目的 IP 地址。Precedence: 指定匹配规则的报文 优先级， 取值范围为 07， 或者以名字 routine（0）、priority（1）、immediate （2）、flash（3）、flash-override （4）、critical（5）、internet （6）、network （7）表示。Tos:指定匹配规则的报文 服务类型 ，取值范围为 015，其中部分类型可用名字normal（0）、min-monetary-cost （1）、max-reliability （2）、max-throughput（4）、min-delay （8）表示。Time-range: 指定规则 生效的时间段 。Time-name: 时间段 名称，必须是已配置的 时间段 。PDF 文件使用 pdfFactory Pro 试用版本创建w 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 23 页，共 36 页 - - - - - - - - - 幻灯片 17 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 24 页，共 36 页 - - - - - - - - - 幻灯片 18 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 25 页，共 36 页 - - - - - - - - - 幻灯片 19 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 26 页，共 36 页 - - - - - - - - - 幻灯片 20 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 27 页，共 36 页 - - - - - - - - - 幻灯片 21 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 28 页，共 36 页 - - - - - - - - - 幻灯片 22 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 29 页，共 36 页 - - - - - - - - - 在 USG5000 系列防火墙中， 首先定义一个地址 集，然后将 若干个不冲突的地址元素加入一个地址 集中，通过 引用该地址集的方式来简化配置。PDF 文件使用 pdfFactory Pro 试用版本创建w 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 30 页，共 36 页 - - - - - - - - - 幻灯片 23 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 31 页，共 36 页 - - - - - - - - - 幻灯片 24 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 32 页，共 36 页 - - - - - - - - - 幻灯片 25 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 33 页，共 36 页 - - - - - - - - - ACL 计数器在 USG 系列防火墙中 增加了 ACL 匹配次数计数器， 当数据包 匹配某条 ACL 后，该 ACL 计数器加 1，通过计数器可以明确的看出某条 ACL 的匹配测试，便于故障诊断 。例如：display ACL 2001 17:18:07 2009/07/21 Basic ACL 2001， 2 rules ，not binding with vpn-instance ACLs step is 5 rule 0 permit source 10.32.255.0 0.0.0.255 （27 times matched ）rule 10 permit source 192.168.10.0 0.0.0.255 （1 times matched ）从例子中可以看出 ACL 2001 中规则的 匹配情况，给故障诊断 提供了依据，具体步骤参考故障诊断 。PDF 文件使用 pdfFactory Pro 试用版本创建w 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 34 页，共 36 页 - - - - - - - - - 幻灯片 26 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 35 页，共 36 页 - - - - - - - - - 幻灯片 27 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 36 页，共 36 页 - - - - - - - - -