项目12 使用ACL6限制Jan16公司网络访问-v0.4

项目12使用ACL6限制Jan16公司网络访问目录项目描述项目需求分析项目相关知识项目规划设计项目实施项目验证项目描述项目描述Jan16公司网络已全面升级为IPv6网络，出于对网络安全的考虑，需限制部分部门网络通信，公司拓扑如下图所示，具体要求如下：（1）公司设有财务部、设计部、管理部，分别在VLAN10、VLAN20、VLAN30中。（2）出于安全考虑，禁止公司设计部访问财务部。（3）财务部无访问互联网的需求，出口路由器上仅允许设计部和管理部访问互联网。项目需求分析项目需求分析Jan16公司网络全面支持IPv6协议，财务部、设计部、管理部均以交换机LSW1作为网关交换机，AR1作为公司出口路由器，AR1与LSW1需要配置路由实现网络的互联互通。同时，可以在AR1配置ACL6限制财务部流量访问互联网，LSW1上配置ACL6限制设计部访问财务部，实现公司网络的访问控制。因此，本项目可以通过以下工作任务来完成。（1）创建VLAN，实现部门网络划分。（2）配置PC、交换机、路由器的IP地址。（3）配置静态路由，实现全网互联互通。（4）配置ACL6，实现财务部网络的安全访问控制。项目相关知识12.1ACL6概述IPv6访问控制列表（IPv6AccessControlList，ACL6）是由一系列规则组成的集合，ACL通过这些规则对报文进行分类，从而使设备可以对不同类型的报文进行不同的处理。一个ACL通常由若干条“deny｜permit”语句组成，每条语句就是该ACL的一条规则，每条语句中的“deny｜permit”就是与这条规则相对应的处理动作。处理动作“permit”的含义是“允许”，处理动作“deny”的含义是“拒绝”。特别需要说明的是，ACL技术总是与其他技术结合使用的，因此，所结合的技术不同，“permit”及“deny”的内涵及作用也不同。例如，当ACL技术与流量过滤技术结合使用时，“permit”就是“允许通行”的意思，“deny”就是“拒绝通行”的意思。ACL是一种应用非常广泛的网络安全技术，配置了ACL的网络设备的工作过程可以分为以下两个步骤。（1）根据事先设定好的报文匹配规则对经过该设备的报文进行匹配。（2）对匹配的报文执行事先设定好的处理动作。12.2ACL6工作原理1.ACL6的分类华为设备根据ACL6编号数值取值范围对ACL6进行分类，如下表所示。12.2ACL6工作原理（1）数字型ACL6通常用户在创建ACL6时会为ACL6指定一个编号，仅通过编号来识别ACL6，所创建的ACL6属于数字型ACL6，不同的编号对应不同类型的ACL6。（例如：创建ACL6编号为2020，则该ACL6属于基本ACL6。创建ACL6编号为3020，则该ACL6属于高级ACL6。）不同类型的ACL6的规则定义不同，高级ACL6的规则定义能力要比基本ACL6强大，但是配置也较为复杂。（2）命名型ACL6为了方便记忆和识别，用户可以选择创建命名型ACL6，即在创建ACL6时仅为该ACL6配置一个名称（例如配置名称为：ABC），未指定该ACL6的编号，设备默认为该ACL6分配编号数字3999，即默认为高级ACL6。（3）“名称+数字”型ACL6有时，也会配置“名称+数字”型ACL6，即在定义命名型ACL6时，同时为该ACL6指定一个ACL6编号，该ACL6编号可以是基本的也可以是高级的。12.2ACL6工作原理2.ACL6格式（1）基本ACL6格式例：路由器允许源IPv6地址2020::1的流量经过，禁止源IPv6地址前缀2030::/64的流量经过。ACL6配置如下图所示。需要注意的是：ACL的源地址后面跟的是地址对应的通配符，而ACL6源地址后面跟的是该地址对应的前缀长度。上述例子中的生效时间段可根据实际情况选择配置。12.2ACL6工作原理（2）高级ACL6格式如下图所示与高级ACL相同，高级ACL6根据规则定义的内容不同，格式也会所有不同，以TCP为例。禁止源IPv6地址2020::1对所有WEB的访问，ACL6配置如下图所示。12.2ACL6工作原理3.华为路由器ACL6的规则编号与匹配顺序（1）规则编号根据ACL6格式，在每一条ACL6里面都可以创建多条规则，每一条规则都有一个规则编号与之对应。在配置规则时，规则编号是一个可选项配置选项，可以根据用户指定的编号数字为每一条规则进行编号。若用户没有指定规则的编号，华为路由器会根据默认步长设定规则，为创建每一条规则设置一个规则编号。步长规则如下：①缺省步长数值为5，若ACL6下的规则为空，即第一条被创建的ACL的规则编号为5，后续创建的规则，以每次5递增，如下图所示。[AR1]aclipv62000//创建ACL6[AR1-acl6-basic-2000]displaythis#aclipv6number2000//空ACL6#[AR1-acl6-basic-2000]rulepermitsource2010::1128//添加第1条规则，未指定编号[AR1-acl6-basic-2000]displaythis#aclipv6number2000rule5permitsource2010::1/128//获得规则编号为5#[AR1-acl6-basic-2000]rulepermitsource3010::1128//添加第2条规则，未指定编号[AR1-acl6-basic-2000]displaythis#aclipv6number2000rule5permitsource2010::1/128rule10permitsource3010::1/128//获得规则编号为10#12.2ACL6工作原理②ACL6下的规则非空，则步长规则需结合现有规则的数值再进行规则编号配置。若现有规则的编号小于等于数值5，则后续创建编号的规则与情况①相同。若现有规则的编号大于5，则使用大于当前ACL内最大规则编号且是步长整数倍的最小整数作为规则编号。如下图所示，已有规则编号12，根据步长规则为第2条规则设备编号，取值时，数值不得小于12，且必须是默认步长数值5的最小整数倍数，故取值为15。[AR1-acl6-basic-2000]disthis#aclipv6number2000rule12permitsource2010::1/128//现有规则编号为12#[AR1-acl6-basic-2000]

rulepermitsource3010::1/128//创建第2条规则，未指定编号[AR1-acl6-basic-2000]displaythis[V200R003C00]aclipv6number2000rule12permitsource2010::1/128rule15permitsource3010::1/128//获得规则编号为15[AR1-acl6-basic-2000]12.2ACL6工作原理（2）ACL6匹配顺序华为ACL6支持两种ACL匹配顺序：配置顺序模式（Config模式）和自动排序模式（Auto模式）。缺省匹配顺序为Config模式。①Config模式根据ACL6规则编号，按编号数值从小到大的顺序进行匹配，规则编号越小越先用于匹配数据或者路由。一旦匹配成功，立即停止匹配行为，执行当前规则编号对应的动作。如下图所示，根据ACL62000，若路由器AR1收到源地址为：2010::1/128的数据，则首先与rule5进行匹配，配成功，根据rule5定义动作“permit”，接收或者转发数据。[AR1-acl6-basic-2000]disthis#aclipv6number2000rule5permitsource2010::1/128rule10denysource2010::1/128#12.2ACL6工作原理如下图所示，根据ACL62000，若路由器AR1收到源地址为：2010::1/128的数据，则首先与rule5进行匹配，配成功，根据rule5定义动作“deny”，丢弃数据。[AR1-acl6-basic-2000]disthis#aclipv6number2000rule5denysource2010::1/128rule10permitsource2010::1/128#需要注意的是：ACL6的默认规则是允许所有流量通过，若流量未被ACL6中的规则匹配到，则按照默认规则进行处理。12.2ACL6工作原理②Auto模式Auto模式采用“深度优先”的原则，创建ACL时用户不能为规则指定规则编号，设备会根据所创建规则的精确度自行排序，精确度越高，获得编号数值越小，越先被执行。如下图所示，规则“rule……2010::1/128”的精确度比规则“rule……2010::64”的精确度高，尽管是最后才配置的，却获得了最小的规则编号。Auto模式收到数据之后的处理方式与Config相同。[AR1]aclipv62000match-orderauto//配置匹配顺序为Auto[AR1-acl6-basic-2000]rulepermitsource2010::/64[AR1-acl6-basic-2000]ruledenysource2010::1/128[AR1-acl6-basic-2000]displaythisaclipv6number2000match-orderautorule5denysource2010::1/128rule10permitsource2010::/64

[AR1-acl6-basic-2000]12.2ACL6工作原理（3）设置步长的作用通过步长设置，使得规则编号并非连续，规则与规则之间有剩余的规则编号空间，这样便可以在不改变设备原有配置的情况下，为设备添加某些需要被优先执行的规则。如下图所示，此时已经创建了rule5和rule10，根据这两条规则，2020::/64网段中，仅有地址2020::1的流量能通过路由器AR1。若此时需要在不改变原有配置的情况下，配置允许地址2020::2的流量通过路由器AR1，此时仅需添加一条规则，规则编号X，要求X＜10即可。例如添加“rule6permitsource2020::2/128”，那么地址2020::2的流量的流量便可通过AR1。[AR1]aclipv62001[AR1-acl6-basic-2001]rulepermitsource2020::1128[AR1-acl6-basic-2001]ruledenysource2020::64[AR1-acl6-basic-2001]displaythisaclipv6number2001rule5permitsource2020::1/128rule10denysource2020::/64[AR1-acl6-basic-2001]rule6permitsource2020::2128[AR1-acl6-basic-2001]displaythisaclipv6number2001rule5permitsource2020::1/128rule6permitsource2020::2/128rule10denysource2020::/64#12.2ACL6工作原理4.华为交换机ACL6的规则编号与匹配顺序华为交换机ACL6默认不支持步长设定，添加规则时，若没有指定规则编号，则第1条规则的规则编号为0。第2条规则的规则编号为1。第3条规则的规则编号为2，以此类推。建议配置时，手动添加编号规则，并在规则与规则之间预留有剩余的规则编号空间。华为交换机的ACL6匹配顺序与路由器相同。项目规划设计项目拓扑本项目中，使用3台PC、1台路由器、2台二层交换机搭建项目拓扑，如下图所示。其中PC1是财务部员工主机，PC2是设计部员工主机，PC3是管理部员工主机，LSW1为各部门网关交换机，LSW1通过出口路由器AR1连接至互联网。通过在AR1及LSW1上配置ACL6，来完成对财务部的安全访问控制。项目规划根据项目拓扑进行业务规划，端口互联、IPv6地址规划如下表所示。1.端口互联规划2.IPv6地址规划本端设备本端接口对端设备对端接口PC1Ethernet0/0/1LSW1GE0/0/1PC2Ethernet0/0/1GE0/0/2PC3Ethernet0/0/1GE0/0/3LSW1GE0/0/1PC1Ethernet0/0/1GE0/0/2PC2Ethernet0/0/1GE0/0/3PC3Ethernet0/0/1GE0/0/24AR1GE0/0/0AR1GE0/0/0LSW1GE0/0/24GE0/0/1ISPEthernet0/0/1设备名称接口IP地址网关地址用途PC1Ethernet0/0/12010::10/642010::1/64PC1主机地址PC2Ethernet0/0/12020::10/642020::1/64PC2主机地址PC3Ethernet0/0/12030::10/642030::1/64PC3主机地址LSW1VLANIF102010::1/64N/APC1网关地址VLANIF202020::1/64N/APC2网关地址VLANIF302030::1/64N/APC3网关地址VLANIF1001010::1/64N/A接口地址AR1GE0/0/01010::2/64N/A接口地址GE0/0/11020::2/64N/A接口地址项目实施任务12-1创建VLAN任务规划根据端口互联规划表要求，为交换机创建VLAN，然后将对应端口划分到VLAN中。任务12-1创建VLAN任务实施1.交换机上创建VLAN为LSW1创建部门VLAN及互联VLAN。<Huawei>system-view进入系统视图[Huawei]sysnameLSW1设备命名[LSW1]vlanbatch102030100创建VLAN任务12-1创建VLAN2.将交换机端口添加到对应VLAN中为LSW1划分VLAN，并将对应端口添加到VLAN中。[LSW1]interfaceGigabitEthernet0/0/1进入端口视图[LSW1-GigabitEthernet0/0/1]portlink-typeaccess配置链路类型为Access[LSW1-GigabitEthernet0/0/1]portdefaultvlan10划分VLAN[LSW1-GigabitEthernet0/0/1]quit退出端口视图[LSW1]interfaceGigabitEthernet0/0/2进入端口视图[LSW1-GigabitEthernet0/0/2]portlink-typeaccess配置链路类型为Access[LSW1-GigabitEthernet0/0/2]portdefaultvlan20划分VLAN[LSW1-GigabitEthernet0/0/2]quit退出端口视图[LSW1]interfaceGigabitEthernet0/0/3进入端口视图[LSW1-GigabitEthernet0/0/3]portlink-typeaccess配置链路类型为Access[LSW1-GigabitEthernet0/0/3]portdefaultvlan30划分VLAN[LSW1-GigabitEthernet0/0/3]quit退出端口视图[LSW1]interfaceGigabitEthernet0/0/24进入端口视图[LSW1-GigabitEthernet0/0/24]portlink-typeaccess配置链路类型为Access[LSW1-GigabitEthernet0/0/24]portdefaultvlan100划分VLAN[LSW1-GigabitEthernet0/0/24]quit退出端口视图任务12-1创建VLAN任务验证（1）在LSW1上使用【displayvlan】命令验证VLAN的创建情况，如下图所示。（2）在LSW1上使用【displayportvlan】命令验证链路状态配置，如下图所示。[LSW1]displayvlan……--------------------------------------------------------------------------------1commonUT:GE0/0/4(D)GE0/0/5(D)GE0/0/6(D)GE0/0/7(D)GE0/0/8(D)GE0/0/9(D)GE0/0/10(D)GE0/0/11(D)GE0/0/12(D)GE0/0/13(D)GE0/0/14(D)GE0/0/15(D)GE0/0/16(D)GE0/0/17(D)GE0/0/18(D)GE0/0/19(D)GE0/0/20(D)GE0/0/21(D)GE0/0/22(D)GE0/0/23(D)10commonUT:GE0/0/1(U)20commonUT:GE0/0/2(U)30commonUT:GE0/0/3(U)100commonUT:GE0/0/24(U)……[LSW1]displayportvlanPortLinkTypePVIDTrunkVLANList-------------------------------------------------------------------------------GigabitEthernet0/0/1access10-GigabitEthernet0/0/2access20-GigabitEthernet0/0/3access30-……GigabitEthernet0/0/24access100-任务12-2配置PC、交换机、路由器的IPv6地址任务规划根据IPv6地址规划表，为各部门的PC和路由器配置IPv6地址。任务12-2配置PC、交换机、路由器的IPv6地址任务实施1.根据下表为各部门PC配置IPv6地址及网关设备名称IP地址网关地址PC12010::10/642010::1/64PC22020::10/642020::1/64PC32030::10/642030::1/64任务12-2配置PC、交换机、路由器的IPv6地址如下图为PC1的IP地址配置结果，同理完成PC2~PC3的IP地址配置。任务12-2配置PC、交换机、路由器的IPv6地址2.配置LSW1的VLANIF接口IP在交换机LSW1上为两个部门VLAN创建VLANIF接口并配置IP地址，作为两个部门的网关。<Huawei>system-view进入系统视图[LSW1]ipv6全局启用IPv6功能[LSW1]interfaceVlanif10进入接口视图[LSW1-Vlanif10]ipv6enable接口下启用IPv6功能[LSW1-Vlanif10]ipv6address2010::164配置IPv6地址[LSW1-Vlanif10]quit退出接口视图[LSW1]interfaceVlanif20进入接口视图[LSW1-Vlanif20]ipv6enable接口下启用IPv6功能[LSW1-Vlanif20]ipv6address2020::164配置IPv6地址[LSW1-Vlanif20]quit退出接口视图[LSW1]interfaceVlanif30进入接口视图[LSW1-Vlanif30]ipv6enable接口下启用IPv6功能[LSW1-Vlanif30]ipv6address2030::164配置IPv6地址[LSW1-Vlanif30]quit退出接口视图[LSW1]interfaceVlanif100进入接口视图[LSW1-Vlanif100]ipv6enable接口下启用IPv6功能[LSW1-Vlanif100]ipv6address1010::164配置IPv6地址[LSW1-Vlanif100]quit退出接口视图任务12-2配置PC、交换机、路由器的IPv6地址3.为路由器AR1配置IPv6地址在路由器AR1上为接口配置IP地址，作为与LSW1和LSP互联的地址。<Huawei>system-view进入系统视图[Huawei]sysnameAR1设备命名[AR1]ipv6全局启用IPv6功能[AR1]interfaceGigabitEthernet0/0/0进入接口视图[AR1-GigabitEthernet0/0/0]ipv6enable接口下启用IPv6功能[AR1-GigabitEthernet0/0/0]ipv6address1010::264配置IPv6地址[AR1-GigabitEthernet0/0/0]quit退出接口视图[AR1]interfaceGigabitEthernet0/0/1进入接口视图[AR1-GigabitEthernet0/0/1]ipv6enable接口下启用IPv6功能[AR1-GigabitEthernet0/0/1]ipv6address1020::264配置IPv6地址[AR1-GigabitEthernet0/0/1]quit退出接口视图任务12-2配置PC、交换机、路由器的IPv6地址任务验证（1）在LSW1上使用【displayipv6interfacebrief】命令验证IP地址配置情况，如下图所示。（2）在AR1上使用【displayipv6interfacebrief】命令验证IP地址配置情况，如下图所示。[LSW1]displayipv6interfacebrief……InterfacePhysicalProtocolVlanif10upup[IPv6Address]2010::1Vlanif20upup[IPv6Address]2020::1Vlanif30upup[IPv6Address]2030::1Vlanif100upup[IPv6Address]1010::1[LSW1][AR1]displayipv6interfacebrief……InterfacePhysicalProtocolGigabitEthernet0/0/0upup[IPv6Address]1010::2GigabitEthernet0/0/1upup[IPv6Address]1020::2[AR1]任务12-3配置静态路由任务规划在交换机LSW1上配置通往ISP的缺省路由，在路由器AR1上配置到达各部门的明细静态路由。任务12-3配置静态路由任务实施1.配置交换机LSW1的缺省路由配置通往互联网的缺省路由，下一跳为AR11010::22.配置路由器AR1的静态路由为各部门创建静态路由，分别指向前缀2010::/64、2020::/64、2030::/64，下一跳为LSW11010::1。[LSW1]ipv6route-static::01010::2配置IPv6缺省路由[AR1]ipv6route-static2010::641010::1配置IPv6静态路由[AR1]ipv6route-static2020::641010::1配置IPv6静态路由[AR1]ipv6route-static2030::641010::1配置IPv6静态路由任务12-3配置静态路由任务验证（1）在AR1上使用【displayipv6routing-table】命令验证静态路由配置情况，如下图所示。[AR1]displayipv6routing-table……Destination:2010::PrefixLength:64NextHop:1010::1Preference:60Cost:0Protocol:StaticRelayNextHop:::TunnelID:0x0Interface:GigabitEthernet0/0/0Flags:RD

Destination:2020::PrefixLength:64NextHop:1010::1Preference:60Cost:0Protocol:StaticRelayNextHop:::TunnelID:0x0Interface:GigabitEthernet0/0/0Flags:RD

Destination:2030::PrefixLength:64NextHop:1010::1Preference:60Cost:0Protocol:StaticRelayNextHop:::TunnelID:0x0Interface:GigabitEthernet0/0/0Flags:RD……[AR1]任务12-3配置静态路由（2）在LSW1上使用【displayipv6routing-table】命令验证缺省路由配置情况，如下图所示。[LSW1]displayipv6routing-tableRoutingTable:PublicDestinations:11Routes:11

Destination:::PrefixLength:0NextHop:1010::2Preference:60Cost:0Protocol:StaticRelayNextHop:::TunnelID:0x0Interface:Vlanif100Flags:RD……[LSW1]任务12-4配置ACL6任务规划在LSW1上配置ACL6，禁止设计部访问财务部。在AR1上配置允许设计部和管理部流量通过，禁止财务部流量通过。任务12-4配置ACL6任务实施1.配置交换机LSW1的ACL6禁止设计部访问财务部，创建ACL63000，名称：JAN16，创建规则5，动作为“deny”匹配源地址为设计部门前缀，目的地址为财务部门前缀。将ACL3000应用于交换机VLAN20的流量入方向。[LSW1]aclipv6nameJAN163000创建ACL[LSW1-acl6-adv-JAN16]rule5denyipv6source2020::/64destination2010::/64创建规则[LSW1-acl6-adv-JAN16]quit退出ACL视图[LSW1]traffic-filtervlan20inboundaclipv6nameJAN16接口流量入接口方向应用ACL6任务12-4配置ACL62.配置路由器AR1的ACL6允许设计部和管理部访问互联网，禁止财务部访问互联网，创建ACL62000，名称：JAN16，创建规则5，动作为“permit”,匹配源地址为设计部门前缀。创建规则10，动作为“permit”,匹配源地址为管理部门前缀。创建规则15，动作为“deny”,匹配源地址为财务部门前缀。将ACL2000应用于路由器AR1G0/0/0接口的流量入方向。[AR1]aclipv6nameJAN162000创建ACL[AR1-acl6-basic-JAN16]rule5permitsource2020::64创建规则[AR1-acl6-basic-JAN16]rule10permitsource2030::64创建规则[AR1-acl6-basic-JAN16]rule15denysource2010::64创建规则[AR1-acl6-basic-JAN16]quit退出ACL视图[AR1]interfaceGigabitEthernet0/0/0进入接口视图[AR1-GigabitEthernet0/0/0]traffic-filterinboundipv6aclnameJAN16流量入接口方向应用ACL6[AR1-GigabitEthernet0/0/0]quit退出接口视图任务12-4配置ACL6任务验证（1）在LSW1使用【displayaclipv6all】命令查看ACL6配置情况，如下图所示。（2）在AR1使用【displayaclipv6all】命令查看ACL6配置情况，如下图所示。[LSW1]displayaclipv6allTotalnonemptyacl6numberis1AdvancedIPv6ACL3000nameJAN16,1rulerule5denyipv6source2020::/64destination2010::/64[LSW1][AR1]displayaclipv6allTotalnonemptyacl6numberis1BasicIPv6ACL2000nameJAN16,3rulesAcl'sstepis5rule5permitsource2020::/64rule10permitsource2030::/64rule15denysource2010::/64[AR1]项目验证项目验证1.财务部PC1ping管理部PC3的IPv6地址为：2030::10，如下图所示。2.财务部PC1ping路由器AR1的外网接口IPv6地址为：1020::2，如下图所示。C:\Users\admin>ping2030::10

正在Ping2030::10具有32字节的数据:来自2030::10的回复:时间=1ms来自2030::10的回复:时间=1ms来自2030::10的回复:时间=2ms来自2030::10的回复:时间=1ms

2030::10的Ping统计信息:

数据包:已发送=4，已接收=4，丢失=0(0%丢失)，往返行程的估计时间(以毫秒为单位):

最短=1ms，最长=2ms，平均=1msC:\Users\admin>ping1020::2

正在Ping1020::2具有32字节的数据:请求超时。请求超时。请求超时。请求超时。

1020::2的Ping统计信息:

数据包:已发送=4，已接收=0，丢失=4(100%丢失)，项目验证3.设计部PC2ping财务部PC1的IPv6地址为：2010::10，如下图所示。4.设计部PC2ping管理部PC3的IPv6地址为：2030::10，如下图所示C:\Users\admin>ping2010::10

正在Ping2010::10具有32字节的数据:请求超时。请求超时。请求超时。请求超时。

2010::10的Ping统计信息:

数据包:已发送=4，已接收=0，丢失=4(100%丢失)，C:\Users\admin>ping2030::10

正在Ping2030::10具有32字节的数据:来自2030::10的回复:时间=1ms来自2030::10的回复:时间=4ms来自2030::10的回复:时间=1ms来自2030::10的回复:时间=1ms

2030::10的Ping统计信息:

数据包:已发送=4，已接收=4，丢失=0(0%丢失)，往返行程的估计时间(以毫秒为单位):

最短=1ms，最长=4ms，平均=1ms项目验证5.设计部PC2ping路由器AR1的外网接口IPv6地址为：1020::2，如下图所示。C:\Users\admin>ping1020::2

正在Ping1020::2具有32字节的数据:来自1020::2的回复:时间=122ms来自1020::2的回复:时间=7ms来自1020::2的回复: