03-4-访问控制列表幻灯片.pptVIP

第二单元 学习内容 本讲目标 访问控制列表－ACL概述 访问控制列表－ACL概述 访问控制列表－ACL概述 访问控制列表的类型 访问控制列表－标准与扩展 访问控制列表的类型 访问控制列表－IN-ACL 访问控制列表－OUT-ACL 访问控制列表的组成 访问控制列表的应用 访问控制列表－ACL配置 访问控制列表－匹配过程 访问控制列表－ACL分类 访问控制列表－ACL配置 一些关键字 访问控制列表－ACL配置 访问控制列表－ACL配置 访问控制列表－ACL配置 访问控制列表－ACL配置 访问控制列表－ACL配置 命名的ACL Slide 1 of 1 Purpose: Emphasize: Explain the basic rules on where to configure standard and extended access lists. Describe how the extended access list can eliminate unwanted traffic across the serial lines. 路由原理及实现 ---访问控制列表 第一讲、路由概念综述 第二讲、RIP、IGRP及配置 第三讲、EIGRP、OSPF及配置 第四讲、访问控制列表 第五讲、NAT 通过本讲的学习，您应该掌握以下内容： ACL(访问控制列表)概述，ACL的执行过程。 配置标准访问控制列表。 配置扩展访问控制列表。 回顾： IP头数据格式 回顾：TCP头 数据格式 为什么使用IP访问控制列表? 网络安全的需要，如限制对路由器的Telnet(VTY)访问。如允许某些特定的主机访问WWW等。 网络控制、维护的需要，如过滤路由信息（应用到路由协议而不是应用到端口，叫分布式列表） 提高网络服务质量的需要，通过排队技术区分WAN流量的优先次序。 管理网络流量、策略路由等 占用CPU及内存资源，降低速度 标准ACL：基于源IP地址进行控制。不区分IP流量类型。 扩展ACL：基地于源IP地址、目的IP地址、IP头协议字段以及TCP或UDP的端口号等进行控制，更加精细。 命名的ACL：可以是标准的ACL，也可以是扩展的ACL。 Outgoing Packet E0 S0 Incoming Packet Access List Processes source Permit? 标准访问控制列表VS扩展访问控制列表 Outgoing Packet E0 S0 Incoming Packet Access List Processes Permit? Source and Destination Protocol 扩展访问控制列表 根据源地址、目的地址 通常允许或拒绝某个协议 Inbound 和 Outbound 两个方向 编号100-199 编号1-99 可以指定某个 TCP/IP 协议与端口号 Permit 、deny 整个TCP/IP 协议栈 基于源地址、目的地址筛选 基于源地址筛选 Extended Standard 标准访问控制列表 根据源地址控制 通常允许或拒绝整个协议 按应用的方向分： IN-ACL：应用于接口的输入方向，先应用ACL，再发生路由。 OUT-ACL：应用于接口的输出方向，发生路由后再应用ACL。 Notify Sender N Y Packet Discard Bucket Routing Table Entry? N N Access List? Discard Packet N Select Out Interfaces Packets In “入端口方向”访问控制列表执行过程 Test Access List Statements Permit? N Y Notify Sender If no access list statement matches then discard the packet Test Access List Statements Permit? N Y Packet Discard Bucket Choose Interface Routing Table Entry? N Y Y Access List? Discard Packet N Outbound Interfaces Packet Packet InboundInterface Packets “出端口方向”访问控制列表执行过程 好比一系列IF THEN语句一样，是一系列的IF THEN的语句的条目（entity）。 编号一致的条目组成ACL。 条目是有先后顺序的 如果哪一行条目匹配，则按该行的决定执行。否则一直到最后一行；应将更特殊