第12章 ACL的基本配置.docVIP

第12章 ACL 12.1 ACL理论指导 ACL是网络通信流量的控制手段。可以限制网络流量、提高网络性能。在路由器端口处决定哪种类型的通信流量被转发或被阻塞。ACL使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。般原则：尽可能把扩展acl 放置在距离要被拒绝的通信流量近的地方。标准ACL由于不能指定目的地址，所以它们应该尽可能放置在距离目的地最近的地。IP ACL 标准IP ACL 的序列号的范围是1 到99或 1300 到 1999 之间.标准IP ACL仅仅根据源 IP 地址允许或拒绝流量,其中反掩码用于控制网段范围.另外如果使用关键字host,反掩码即为,可省略不写.并且要一记住IP ACL 末尾默认隐含的全部拒绝. 标准IP ACL的格式为： Router(config)# access-list {access-list-number} {permit|deny} [host] {source-ip-address}[inverse-mask] 接口配置模式下应用IP ACL: Router(config-if)#ip access-group {access-list-number} {in|out} 参数说明： access-list-number：ACL 的编号。 deny：匹配条件时拒绝访问。 Permit：匹配条件时准许访问。 Remark：在 IP 访问列表中添加备注，增强列表的可读性。 source-ip-address：源IP。 inverse-mask：通配符掩码In：在数据进入路由器前检测数据。 Out：在数据出路由器前检测数据。 例如：在图4-1 中禁止PC 1 访问路由器ASUQA: 图 4-1 路由器ASUQA 配置如下: ASUQA#configure terminal Enter configuration commands, one per line. End with CNTL/Z. ASUQA(config)#access-list 1 deny 55 ASUQA(config)#access-list 1 permit any ASUQA(config)#interface serial 0 ASUQA(config-if)#ip access-group 1 in ASUQA(config-if)#end ASUQA# 测试: AIKO#ping Protocol [ip]: Target IP address: Repeat count [5]: Datagram size [100]: Timeout in seconds [2]: Extended commands [n]: y Source address or interface: Type of service [0]: Set DF bit in IP header? [no]: Validate reply data? [no]: Data pattern [0xABCD]: Loose, Strict, Record, Timestamp, Verbose[none]: Sweep range of sizes [n]: Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Packet sent with a source address of ..... Success rate is 0 percent (0/5) AIKO# 扩展IP ACL 扩展IP ACL 的序列号的范围是100 到199.扩展 ACL 根据多种属性（例如，协议类型、源和 IP 地址、目的 IP 地址、源 TCP 或 UDP 端口、目的 TCP 或 UDP 端口）过滤 IP 数据包，并可依据协议类型信息（可选）进行更为精确的控制。 扩展IP ACL的格式为： Router（config# access-list {access-list-number} {permit|deny} protocol source [inverse-mask] [operator port-number] destination [inverse-mask] [operator port-number] [established] 接口配置模式下应用IP ACL: Router(config-if)#ip access-group {access-list-n