銳捷交換機(jī)單向訪問(wèn)控制

1、應(yīng)用場(chǎng)景：路由器有一種功能叫自反ACL，能夠?qū)崿F(xiàn)單向訪問(wèn)的需求，比如A用戶能夠主動(dòng)訪問(wèn)B，但是B用戶不能主動(dòng)訪問(wèn)A，但是交換機(jī)的安全ACL是通過(guò)硬件芯片直接實(shí)現(xiàn)，所以沒有自反ACL的邏輯，無(wú)法實(shí)現(xiàn)同樣的效果。但是如果您需要控制的AB用戶之間的數(shù)據(jù)流是TCP這樣的帶有狀態(tài)位的協(xié)議時(shí)，因?yàn)槊看卧L問(wèn)前都需要先進(jìn)行TCP會(huì)話協(xié)商，有三次握手的過(guò)程，就可以考慮利用TCPSYN位的發(fā)起方來(lái)變相的控制A能主動(dòng)發(fā)起到B的訪問(wèn)，但是B不能主動(dòng)訪問(wèn)A，從而

2、實(shí)現(xiàn)類似于自反ACL的功能。特別適用于一些敏感服務(wù)器，比如提供給外網(wǎng)訪問(wèn)他的FTP，WEB服務(wù)等，但是出于安全考慮，不允許這些服務(wù)器去訪問(wèn)inter上面的其他TCP的服務(wù)。交換機(jī)依靠TCPFLAG實(shí)現(xiàn)基于TCP的訪問(wèn)限制，其他非TCP協(xié)議，比如ICMP報(bào)文和UDP報(bào)文將無(wú)法做限制。功能簡(jiǎn)介：ACLs的全稱為接入控制列表(AccessControlLists)，也稱為訪問(wèn)列表（AccessLists），俗稱為防火墻，在有的文檔中還稱之為包

3、過(guò)濾。ACLs通過(guò)定義一些規(guī)則對(duì)網(wǎng)絡(luò)設(shè)備接口上的數(shù)據(jù)報(bào)文進(jìn)行控制：允許通過(guò)或丟棄。對(duì)數(shù)據(jù)流進(jìn)行過(guò)濾可以限制網(wǎng)絡(luò)中的通訊數(shù)據(jù)的類型，限制網(wǎng)絡(luò)的使用者或使用的設(shè)備。安全ACLs在數(shù)據(jù)流通過(guò)網(wǎng)絡(luò)設(shè)備時(shí)對(duì)其進(jìn)行分類過(guò)濾，并對(duì)從指定接口輸入或者輸出的數(shù)據(jù)流進(jìn)行檢查，根據(jù)匹配條件(Conditions)決定是允許其通過(guò)(Permit)還是丟棄(Deny)。ACLs由一系列的表項(xiàng)組成，我們稱之為接入控制列表表項(xiàng)(AccessControlEntry：

4、ACE)。每個(gè)接入控制列表表項(xiàng)都申明了滿足該表項(xiàng)的匹配條件及行為。訪問(wèn)列表規(guī)則可以針對(duì)數(shù)據(jù)流的源目MAC、源目IP地址、TCPUDP上層協(xié)議，時(shí)間區(qū)域等信息，通常分為如下幾種類型的ACL：IP標(biāo)準(zhǔn)ACL，IP擴(kuò)展ACL，MAC擴(kuò)展ACL，專家級(jí)ExpertACL，IPv6擴(kuò)展ACL，報(bào)文的前80字節(jié)的ACL80等。ACL部署原則：ACL通過(guò)過(guò)濾數(shù)據(jù)包并且丟棄不希望抵達(dá)目的地的數(shù)據(jù)包來(lái)控制通信流量。然而，網(wǎng)絡(luò)能否有效地減少不必要的通信流量

5、，這還要取決于網(wǎng)絡(luò)管理員把ACL放置在哪個(gè)地方。原則：根據(jù)減少不必要通信流量的通行準(zhǔn)則，管理員應(yīng)該盡可能地把ACL放置在靠近被拒絕的通信流量的來(lái)源處。舉個(gè)例子：我們經(jīng)常見到對(duì)常見病毒端口進(jìn)行過(guò)濾的ACL，那么這種ACL應(yīng)用在哪里比較合適呢？四、配置步驟說(shuō)明：環(huán)境要求阻止網(wǎng)絡(luò)B的主機(jī)發(fā)起到網(wǎng)絡(luò)A的TCP通信請(qǐng)求，只要過(guò)濾從網(wǎng)絡(luò)B發(fā)起經(jīng)過(guò)中間設(shè)備G32口轉(zhuǎn)發(fā)的TCP連接請(qǐng)求報(bào)文即可。分析TCP連接過(guò)程可知，TCP初始請(qǐng)求報(bào)文的TCP首部標(biāo)志

6、字段的SYN置位且ACK標(biāo)志位為0。因此，我們可以通過(guò)配置擴(kuò)展訪問(wèn)控制列表的Matchall選項(xiàng)，在G32端口的入口方向，對(duì)TCP首部SYN標(biāo)志位置1且ACK標(biāo)志位為0的報(bào)文進(jìn)行過(guò)濾，即可實(shí)現(xiàn)網(wǎng)絡(luò)A單向訪問(wèn)網(wǎng)絡(luò)B的應(yīng)用。方法1：在B上做控制交換機(jī)SWB的配置命令如下：Ruijie#configureterminalRuijie(config)#ipaccesslistextended101在配置模式下創(chuàng)建擴(kuò)展訪問(wèn)列表ACL101Ruij

7、ie(configextnacl)#denytcp192.168.100.00.0.0.255192.168.200.00.0.0.255matchallsyn拒絕TCPFlag的SYN=1，且其它（包含ACK標(biāo)志位）標(biāo)志位為0的報(bào)文通過(guò)Ruijie(configextnacl)#permitipanyany允許其它IP報(bào)文通過(guò)Ruijie(configextnacl)#exitRuijie(config)#interfacegigab