实训五、路由器访问控制列表的配置课题.ppt

重点内容 理解访问控制列表的概念及作用； 基于IP协议的访问控制列表的配置方法； 一、访问控制列表的概念 访问控制列表（Access Control List，ACL）是应用在路由器接口的指令列表，这些指令列表用来告诉路由器哪些数据包可以接收、哪些数据包需要拒绝，对于数据包是被接收还是拒绝，可以由类似于源地址、目的地址、端口号等的特定指示条件来决定。通过灵活地增加访问控制列表，ACL可以当作一种网络控制的有力工具，用来过滤流入和流出路由器接口的数据包。 访问控制列表的作用： 1、可以限制网络流量、提高网络性能，如可以根据数据包的协议指定数据包的优先级。 2、可以对通信流量的进行控制，如可以限定或简化路由更新信息的长度，从而限制通过路由器某一网段的通信流量。 3、提供网络安全访问的基本手段，如可以允许或拒绝某台主机访问某个网络。 4、可以在路由器接口处决定哪种类型的通信流量被转发或被阻塞，如用户可以允许转发E-mail通信流量，而拒绝所有的Telnet通信流量。 访问控制列表的分类： 1、标准IP访问控制列表 标准IP访问控制列表是基于源IP地址进行判定是否拒绝或允许数据包通过。其访问列表编号范围从1到99。 2、扩展IP访问控制列表 扩展IP访问控制列表比标准IP访问控制列表具有更多的匹配项，它能够基于协议类型、源地址、目的地址、源端口、目的端口等来控制数据包是否流入还是流出。其访问列表编号范围从100到199。 3、标准IPX访问控制列表 标准IPX访问控制列表检查IPX源网络号和目的网络号，同样可以检查源地址和目的地址的节点号部分。访问列表编号范围是从800-899。 4、扩展IPX访问控制列表 扩展IPX访问控制列表在标准IPX访问控制列表的基础上，增加了对IPX报头中以下几个宇段的检查，它们是协议类型、源Socket、目标Socket。访问列表编号范围是从900-999。 5、命名访问控制列表 　 所谓命名访问控制列表是用列表名称代替列表编号来定义访问控制列表，同样包括标准和扩展两种列表，定义过滤的语句与编号方式的访问列表相同。 二、配置命令格式介绍 1、标准访问控制列表 1）、命令格式 Router(config)#access-list list-number {permit|deny} [host/any] {source-address [wildcard-mask]} 2）、参数说明 []表示可选项，{}表示必选项； access-list------访问控制列表命令 list-number------列表号范围从1到99,可随意取 permit/deny------允许或拒绝数据包通过接口 host/any---------host表示特定的某台主机，而any表示指任何地址 source-address---源IP地址 wildcard-mask----通配符掩码或称反掩码 wildcard-mask省略时，表示取默认值；通配符掩码的作用与子网掩码刚好相反，在通配符掩码位中，0表示“匹配”即要检查相应的位，1表示“不关心”即不检查相应的位。通配符掩码与IP地址是成对出现的，如表示这个网段，使用通配符掩码应为55。 关键字host和any，在通配符掩码中，用55表示所有IP地址，因为全1说明所有32位都不进行匹配，所以可以用关键字any来代替。而的通配符掩码则表示所有32位都要进行匹配，这样只有一个IP地址，所以可以用关键字host代替。 3）、配置举例 Router(config)#Access-list 1 permit //表示允许IP地址为的数据包通过，相当于Access-list 1 permit ，还等同于Access-list 1 permit host 。 Router(config)#Access-list 2 permit 55 //表示允许这个网络中的所有主机数据包通过。 Router(config)#Access-list 3 deny //表示禁止IP地址为的数据包通过。 Router(config)#Access-list 5 deny Router(config)#Access-list 5 permit any //这两条命令表示禁止IP地址为的数据包通过，但允许其他任何IP地址数据包通过。需要注意的是这两条语句的顺序，访问列表语句的处理顺序是从上到下，如果我们将两个语句顺序颠倒，将permit语句放在deny语句的前面，则我们将不能过滤来自主机地址的数据包，因为permit语句将允许所