華為防火墻acl與思科訪問控制列表有什么區(qū)別
華為防火墻acl與思科訪問控制列表有什么區(qū)別
路由器為了過濾數(shù)據(jù)包，需要配置一系列的規(guī)則，以決定什么樣的數(shù)據(jù)包能夠通過，這些規(guī)則就是通過訪問控制列表ACL(Access Control List)定義的。訪問控制列表是由permit | deny語句組成的一系列有順序的規(guī)則，這些規(guī)則根據(jù)數(shù)據(jù)包的源地址、目的地址、端口號(hào)等來描述。下面是學(xué)習(xí)啦小編給大家整理的一些有關(guān)華為防火墻acl與思科訪問控制列表的區(qū)別，希望對(duì)大家有幫助!
華為防火墻acl與思科訪問控制列表的區(qū)別
1、在華為路由器里訪問控制列表的用途，可以分為三類：
1)基本的訪問控制列表(basic acl)
基本訪問控制列表只能使用源地址信息，做為定義訪問控制列表的規(guī)則的元素。通過上面小節(jié)介紹的acl的命令，可以創(chuàng)建一個(gè)基本的訪問控制列表，同時(shí)進(jìn)入基本訪問控制列表視圖，在基本訪問控制列表視圖下，可以創(chuàng)建基本訪問控制列表的規(guī)則。
rule [ rule-id ] { permit | deny } [ source { sour-addr sour-wildcard | any } ] [ time-range time-name ]
2)高級(jí)的訪問控制列表(advanced acl)
高級(jí)訪問控制列表可以使用數(shù)據(jù)包的源地址信息、目的地址信息、IP承載的協(xié)議類型、針對(duì)協(xié)議的特性，例如TCP的源端口、目的端口，ICMP協(xié)議的類型、code等內(nèi)容定義規(guī)則?？梢岳酶呒?jí)訪問控制列表定義比基本訪問控制列表更準(zhǔn)確、更豐富、更靈活的規(guī)則。
rule [ rule-id ] { permit | deny } protocol [ source {sour-addr sour-wildcard | any }] [ destination { dest-addr dest-wildcard | any }] [ source-port operator port1 [ port2 ] ] [ destination-port operator port1 [ port2 ] ] [ icmp-type icmp-type icmp-code ] [ precedence precedence ] [ tos tos ] [ time-range time-name ]
3)基于接口的訪問控制列表(interface-based acl)
基于接口的訪問控制列表，是一種特殊的訪問控制列表，可以根據(jù)接收?qǐng)?bào)文的接口指定規(guī)則。
rule [ rule-id ] { permit | deny } { interface interface-type interface-number | any } [ time-range time-name ]
2、在思科路由器里訪問控制列表常見的有兩類
1)標(biāo)準(zhǔn)的訪問控制列表
跟華為的基本訪問控制列表一樣，只檢查數(shù)據(jù)包的源地址。
access-list ACL號(hào) permit|deny host ip地址
2)擴(kuò)展的訪問控制列表
跟華為的高級(jí)訪問控制列表類似，既檢查數(shù)據(jù)包的源地址，也檢查數(shù)據(jù)包的目的地址，同時(shí)還可以檢查數(shù)據(jù)包的特定協(xié)議類型、端口號(hào)等。
access-list ACL號(hào) [permit|deny] [協(xié)議] [定義過濾源主機(jī)范圍] [定義過濾源端口] [定義過濾目的主機(jī)訪問] [定義過濾目的端口]
3)除了上述兩種訪問控制列表之外，思科路由器中還有：基于名稱的訪問控制列表、反向訪問控制列表、基于時(shí)間的訪問控制列表等，但在日常維護(hù)中比較少使用。
二、思科與華為訪問控制列表編號(hào)范圍的區(qū)別
訪問控制列表的使用用途是依靠數(shù)字的范圍來指定的。
1、在華為路由器里，2000～2999范圍的訪問控制列表是基本的訪問控制列表，3000～3999范圍的訪問控制列表是高級(jí)的訪問控制列表，1000～1999是基于接口的訪問控制列表。
2、在思科路由器里，標(biāo)準(zhǔn)的訪問控制列表使用 1～99 以及1300～1999之間的數(shù)字作為表號(hào)，擴(kuò)展的訪問控制列表使用 100～199以及2000～2699之間的數(shù)字作為表號(hào)。
三、思科與華為訪問控制列表匹配順序的區(qū)別
1、華為路由器訪問控制列表匹配規(guī)則
一個(gè)訪問控制列表可以由多條“permit | deny”語句組成，每一條語句描述的規(guī)則是不相同，這些規(guī)則可能存在重復(fù)或矛盾的地方，在將一個(gè)數(shù)據(jù)包和訪問控制列表的規(guī)則進(jìn)行匹配的時(shí)候，到底采用哪些規(guī)則呢?就需要確定規(guī)則的匹配順序。
有兩種匹配順序：
1)配置順序
配置順序，是指按照用戶配置ACL的規(guī)則的先后進(jìn)行匹配。
2)自動(dòng)排序
自動(dòng)排序使用“深度優(yōu)先”的原則。“深度優(yōu)先”規(guī)則是把指定數(shù)據(jù)包范圍最小的語句排在最前面。這一點(diǎn)可以通過比較地址的通配符來實(shí)現(xiàn)，通配符越小，則指定的主機(jī)的范圍就越小。比如129.102.1.1 0.0.0.0指定了一臺(tái)主機(jī)：129.102.1.1，而129.102.1.1 0.0.255.255則指定了一個(gè)網(wǎng)段：129.102.1.1～129.102.255.255，顯然前者在訪問控制規(guī)則中排在前面。具體標(biāo)準(zhǔn)為：對(duì)于基本訪問控制規(guī)則的語句，直接比較源地址通配符，通配符相同的則按配置順序;對(duì)于基于接口的訪問控制規(guī)則，配置了“any”的規(guī)則排在后面，其它按配置順序;對(duì)于高級(jí)訪問控制規(guī)則，首先比較源地址通配符，相同的再比較目的地址通配符，仍相同的則比較端口號(hào)的范圍，范圍小的排在前面，如果端口號(hào)范圍也相同則按配置順序。
使用那一種匹配順序，在創(chuàng)建ACL的時(shí)候就可以指定。
acl [ number ] acl-number [ match-order { config | auto } ]
2、思科路由器訪問控制列表匹配規(guī)則
思科路由器一般情況下采用順序匹配方式，只要一條滿足就不會(huì)繼續(xù)查找，另外在思科的訪問控制列別中，最后一條是隱含拒絕的，即前面所有條目都不匹配的話，則默認(rèn)拒絕。任何條件下只給用戶能滿足他們需求的最小權(quán)限。
看了“華為防火墻acl與思科訪問控制列表有什么區(qū)別”的人還看了
5.思科靜態(tài)nat與標(biāo)準(zhǔn)acl怎么混合使用
8.Cisco路由如何設(shè)置命令阻止訪問特定網(wǎng)站
9.關(guān)于cisco路由器用戶等級(jí)權(quán)限問題
10.如何配置思科IOS防火墻