【实操】路由选择工具ACL
一、背景介紹
?
?
?
ACL全稱(chēng)access control list，作為一種路由選擇工具更多的是應(yīng)用于路由過(guò)濾，根據(jù)ACL編號(hào)可以分為：
基礎(chǔ)訪(fǎng)問(wèn)控制列表
高級(jí)訪(fǎng)問(wèn)列表
指定2層接口組
[R1]acl number ?
INTEGER<2000-2999> ?Basic access-list(add to current using rules)
INTEGER<3000-3999> ?Advanced access-list(add to current using rules)
INTEGER<4000-4999> ?Specify a L2 acl group
其中基礎(chǔ)ACL只能指定源地址，高級(jí)ACL可以指定源、目的的IP地址，端口號(hào)與協(xié)議等五元組，不同于前綴列表，ACL可以過(guò)濾路由及數(shù)據(jù)包，而前綴列表僅能過(guò)濾路由條目。
?
二、實(shí)驗(yàn)拓?fù)?/strong>
?
?
?
?
如上圖所示，當(dāng)啟動(dòng)ospf后（步驟略），此時(shí)在R2上能看到已成功建立全毗鄰
?
但在R3上還能學(xué)習(xí)到通往1.1.1.0/24網(wǎng)段的路由?
?
創(chuàng)建一個(gè)標(biāo)準(zhǔn)的ACL
[R2]acl number 2000[R2-acl-basic-2000]rule 0 deny source 1.1.1.0 0.0.0.255 [R2-acl-basic-2000]rule 5 permit
將ACL用到R2路由器ospf進(jìn)程的入方向，為什么不能是R1的出方向，下文中會(huì)回答
[R2-ospf-1]filter-policy 2000 ? ? ?
export ?Filtering outgoing routing updates ? ?
import ?Filtering incoming routing updates ? ?
此時(shí)會(huì)發(fā)現(xiàn)一個(gè)奇怪的現(xiàn)象：R2上已經(jīng)過(guò)濾掉了1.1.1.0/24網(wǎng)段?
?
但在R3上還能學(xué)習(xí)到通往1.1.1.0/24網(wǎng)段的路由?
?
盡管R3上有路由，但是此時(shí)R3卻無(wú)法ping同R1的1.1.1.0/24網(wǎng)段，原因就是R3的路由表上通往1.1.1.0/24網(wǎng)段的下一跳指向R2的23.0.0.1/24接口，但此時(shí)R2由于ACL的關(guān)系，過(guò)濾掉了1.1.1.0/24網(wǎng)段的路由，所以無(wú)法ping通，盡管R2上沒(méi)有1.1.1.0/24網(wǎng)段的路由條目，但是lsdb中卻有R1的1類(lèi)lsa（1.1.1.1）
[R2]display ospf lsdb
OSPF Process 1 with Router ID 2.2.2.2
? ? Link State Database
? ? ? ? ? ? Area: 0.0.0.0Type ? ? ?LinkState ID ? ?AdvRouter ? ? ? ? ?Age ?Len ? Sequence ? MetricRouter ? ?2.2.2.2 ? ? ? ? 2.2.2.2 ? ? ? ? ? ?706 ?48 ? ?80000009 ? ? ? 1Router ? ?1.1.1.1 ? ? ? ? 1.1.1.1 ? ? ? ? ? ?757 ?60 ? ?8000000A ? ? ? 1Router ? ?3.3.3.3 ? ? ? ? 3.3.3.3 ? ? ? ? ? ?716 ?36 ? ?80000004 ? ? ? 1Network ? 23.0.0.1 ? ? ? ?2.2.2.2 ? ? ? ? ? ?706 ?32 ? ?80000003 ? ? ? 0Network ? 12.0.0.1 ? ? ? ?1.1.1.1 ? ? ? ? ? ?760 ?32 ? ?80000003 ? ? ? 0
其中就包含了1.1.1.0/24網(wǎng)段的信息?
?
所以關(guān)于ACL過(guò)濾路由的本質(zhì)就是：
- ?
- ?
- ?
- ?
- ?
- ?
- ?
- ?
- ?
- ?
- ?
- ?
- ?
- ?
- ?
- ?
- ?
- ?
- ?
ACL不會(huì)過(guò)濾lsa信息，且同一個(gè)area內(nèi)所有路由器的lsdb一致，這就解釋了為什么R3上有1.1.1.0/24網(wǎng)段的路由
ACL過(guò)濾是發(fā)生在本地路由根據(jù)lsa計(jì)算的結(jié)果上，再一次印證了鏈路狀態(tài)型協(xié)議是本地計(jì)算路由這一特性
至于為什么要配置在入方向（import），原因就是鏈路狀態(tài)型協(xié)議對(duì)外發(fā)送的lsa，他并不受ACL約束，所以配置在出方向（export）并不會(huì)產(chǎn)生實(shí)際作用
但是對(duì)于rip，BGP這種宣告路由條目的距離矢量型協(xié)議，他們對(duì)外宣告的路由會(huì)受到ACL的影響
三、掩碼、反掩碼、通配符
?
?
?
本實(shí)驗(yàn)在配置時(shí)，宣告ospf接口用的是反掩碼，宣告ACL時(shí)使用的是通配符，IP地址使用的是掩碼，他們之間區(qū)別如下：?
不少資料中提到過(guò)掩碼、反掩碼、通配符的區(qū)別，甚至百度也有專(zhuān)門(mén)介紹三種不同的文章，但此處需要糾正一點(diǎn)的是：通配符全稱(chēng)通配符掩碼，就是坊間所說(shuō)的反掩碼，根本沒(méi)有3種類(lèi)型之說(shuō)，掩碼與通配符掩碼的區(qū)別為：
在掩碼中，1表示精確匹配，0表示忽略，在配置IP地址以及路由的時(shí)候，會(huì)使用掩碼
在通配符掩碼（反掩碼）中，0表示精確匹配，1表示忽略，在ospf的配置中，通過(guò)network命令進(jìn)行網(wǎng)段宣告時(shí)，在acl匹配路由時(shí)會(huì)使用通配符掩碼
四、ospf接口宣告方式
?
?
?
ospf接口宣告有2種特殊宣告方式：
宣告時(shí)采用192.168.1.1 0.0.0.0，這種方式表示精確匹配到192.168.1.1這個(gè)接口，并將它在相應(yīng)的area中激活ospf
宣告時(shí)采用0.0.0.0 255.255.255.255，這種方式表示該路由器上所有接口都在相應(yīng)的area中激活ospf
通常情況下ospf的宣告方式為192.168.1.0 0.0.0.255，這種方式表明地址為192.168.1.0~255的接口都能在相應(yīng)area中激活ospf，另需說(shuō)明的是：宣告ospf接口時(shí)，不理會(huì)接口IP的掩碼，只是被匹配IP地址。
總結(jié)
以上是生活随笔為你收集整理的【实操】路由选择工具ACL的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。
- 上一篇： 【必看】Linux 或 Windows上
- 下一篇： 【必看】Linux 系统的备份恢复