4.9、访问控制列表ACL.pptxVIP

访问控制列表ACL访问控制列表配置任务列表：创建一个命名标准IP 访问列表（最后隐含默认是允许）：配置包过滤功能:（1）全局打开包过滤功能（2）配置默认动作(default action)将accessl-list 绑定到特定端口的特定方向;ACL配置 ACL介绍ACL (Access Control Lists)是交换机实现的一种数据包过滤机制，通过允许或拒绝特定的数据包进出网络，交换机可以对网络访问进行控制，有效保证网络的安全运行。用户可以基于报文中的特定信息制定一组规则（rule），每条规则都描述了对匹配一定信息的数据包所采取的动作：允许通过（permit）或拒绝通过（deny）。用户可以把这些规则应用到特定交换机端口的入口或出口方向，这样特定端口上特定方向的数据流就必须依照指定的ACL规则进出交换机。Access-listAccess-list是一个有序的语句集，每一条语句对应一条特定的规则(rule)。每条rule包括了过滤信息及匹配此rule时应采取的动作。Rule包含的信息可以包括源IP、目的IP、IP协议号、tcp端口等条件的有效组合。根据不同的标准，access-list可以有如下分类：根据过滤信息：ip access-list（三层以上信息）mac access-list（二层信息）mac-ip access-list（二层以上信息）当前只支持ip access-list，其余两种将在以后提供。根据配置的复杂程度：标准（standard)和扩展（extended），扩展方式可以指定更加细致过滤信息。根据命名方式：数字（numbered）和命名（named）。对一条ACL的说明应当从这三个方面加以描述。 Access-group当用户按照实际需要制定了一组access-list之后，就可以把他们分别应用到不同端口的不同方向上。access-group就是对特定的一条access-list与特定端口的特定方向的绑定关系的描述。当您建立了一条access-group之后，流经此端口此方向的所有数据包都会试图匹配指定的access-list规则，以决定交换动作是允许（permit）或拒绝（deny）。Access-list动作及全局默认动作Access-list动作及默认动作分为两种：允许通过（permit）或拒绝通过（deny）。具体有如下：在一个access-list内，可以有多条规则（rule）。对数据包的过滤从第一条规则（rule）开始，直到匹配到一条规则（rule），其后的规则（rule）不再进行匹配。全局默认动作只对端口入口方向的IP包有效。对入口的非IP数据包以及出口的所有数据包，其默认转发动作均为允许通过（permit）。只有在包过滤功能打开且端口上没有绑定任何的ACL或不匹配任何绑定的ACL时才会匹配入口的全局的默认动作。 ACL配置任务序列1. 配置access-list（1） 配置数字标准IP 访问列表（2） 配置数字扩展IP 访问列表（3） 配置命名标准IP 访问列表a) 创建一个命名标准IP 访问列表b) 指定多条permit 或deny 规则表项c) 退出访问表配置模式（4） 配置命名扩展IP 访问列表a) 创建一个命名扩展IP 访问列表b) 指定多条permit 或deny 规则表项c) 退出访问表配置模式（5） 配置数字标准MAC 访问列表（6） 配置数字扩展MAC 访问列表（7） 配置命名扩展MAC 访问列表a) 创建一个命名扩展MAC 访问列表b) 指定多条permit 或deny 规则表项c) 退出MAC 访问表配置模式（8） 配置数字扩展MAC-IP 访问列表（9） 配置命名扩展MAC-IP 访问列表a) 创建一个命名扩展MAC-IP 访问列表b) 指定多条permit 或deny 规则表项c) 退出MAC-IP 访问表配置模式ACL配置任务序列2. 配置包过滤功能（1）全局打开包过滤功能（2）配置默认动作(default action)3. 配置时间范围功能（1） 创建时间范围名称（2） 配置周期性时段（3） 配置绝对性时段4. 将accessl-list 绑定到特定端口的特定方向5. 清空指定接口的包过滤统计信息配置数字标准IP访问列表 access-list num {deny | permit} {{sIpAddr sMask} | any-source | {host-source sIpAddr}}no access-list num 配置数字扩展IP访问列表 access-list num {deny | permit} icmp {{sIpAddr sMask} | any-source | {host-source sIpAddr}} {{dIpAddr d