6.1 使用访问控制列表管理IP流量-访问列表和它们应用.pdf

白金高级网络工程师系列教程 使用访问控制列表 管理IP流量 第六单元 白金高级网络工程师系列教程 目标 目标 通过完成这个单元的学习，你将能够： • 使用Cisco IOS命令配置标准和扩展IP访问控制 列表和NAT/PAT 。 • 使用show命令验证在标准和扩展IP访问控制列 表中不正确的配置 白金高级网络工程师系列教程 访问列表和它们的应用 白金高级网络工程师系列教程 目标 目标 通过完成这一节的学习，你将能够： • 描述访问列表的功能和应用 • 描述在输入(Inbound)和输出(Outbound)接口上 Cisco IOS软件处理标准和扩展访问列表的过程 白金高级网络工程师系列教程 为什么使用访问列表 为什么使用访问列表 • 当网络访问增长时管理IP通信量 • 当数据包通过路由器传输时进行过滤 白金高级网络工程师系列教程 应用访问列表 应用访问列表 • 允许(Permit)或者拒绝(Deny)数据包通过路由器。 • 允许(Permit)或者拒绝(Deny)VTY访问。 • 没有访问列表，网络上的所有数据包都可以被传输。 白金高级网络工程师系列教程 访问列表在其它方面的应用 访问列表在其它方面的应用 • 基于包过滤技术处理特殊流量 白金高级网络工程师系列教程 访问列表的类型 访问列表的类型 • 标准(Standard) – 检查源地址 – 通常允许或者拒绝完整的协议组 • 扩展(Extended) – 检查源和目标地址 – 通常允许或者拒绝详细的协议 白金高级网络工程师系列教程 如何识别访问列表 如何识别访问列表 • 标准IP访问列表(1-99)检查所有IP数据包的源地址。 • 扩展IP访问列表(100-199)检查源和目标地址，详细的TCP/IP协 议和目标端口。 • 标准IP访问列表(1300-1999)(expanded range). • 扩展IP访问列表(2000-2699)(expanded range). • 检查其它网络协议使用另外的访问列表编号。 白金高级网络工程师系列教程 使用标准访问列表检查数据包 使用标准访问列表检查数据包 白金高级网络工程师系列教程 使用扩展访问列表检查数据包 使用扩展访问列表检查数据包 白金高级网络工程师系列教程 输出型ACL操作过程 输出型ACL操作过程 •如果没有访问列表规则可以匹配，那么丢弃这个数据包。