原创力文档- 1、本文档共10页，可阅读全部内容。
- 2、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。
- 3、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
查看更多
ScottWang
ACL
ACL 的功能：
1.定义感兴趣流量；
2.安全策略；
3.路由策略
ACL 的分类：
基于编号的ACL ：标准
扩展
基于命名的ACL ：标准
扩展
一、基于编号的标准ACL:
范围：1--99 、1300--1999
特点：基于源IP 地址来进行匹配；
无法删除ACL 的某条语句
应用：
A.匹配具体的主机：
access-list 1 permit ( 表示反掩码 )==
access-list 1 permit host ==
access-list 1 permit <默认反掩码值为>
B.匹配特定网段：
匹配普通网段：access-list 1 permit 55
匹配奇数IP：access-list 1 permit 54
匹配偶数IP：access-list 1 permit 54
C.匹配全网段：access-list 10 permit 55
access-list 10 permit any
注：access-list 1 permit 此方法无法匹配
全网段
D.控制vty 访问：
access-list 1 permit 55
access-list 1 permit 55
line vty 0 15
access-class 1 in
ScottWang
NOTE:
此拓扑在运行路由协议的情况下做ACL ，首先要将协议permit 出
去，在做流量控制；但是标准的ACL 中没有基于协议，所以在此情
况下，要将协议停止并做默认路由出去，这样协议才不会对ACL 有
所影响：
access-list 100 permit ospf any any
access-list 100 permit ip host any
access-list 100 deny ip any any
int s0/0
ip access-group 100 in
二、基于编号的扩展ACL ：
范围：100--199 、2000--2699
应用：
A.匹配路由协议：
access-list 100 permit ospf any any
access-list 100 permit eigrp any any
access-list 100 permit udp any any eq rip
access-list 100 permit tcp any any eq bgp
B.匹配具体协议的流量：
ICMP :access-list 100 permit icmp =
access-list 100 permit icmp host host
access-list 100 permit icmp host host echo
ping 出去不返回
ScottWang
access-list 100 permit icmp host host
echo-replay ping 并出去返回
access-list 100 deny icmp any any time-exceeded
access-list 100 deny icmp any any unreachable
access-list 100 deny icmp any any traceroute
FTP: access-list 100 deny tcp host host eq ftp
Telnet: access-list 100 permit tcp host host eq
telnet端口为23
C.匹配已连接会话流量：
access-list 100 permit tcp any any established
NOTE:
established 表示只要TCP
文档评论（0）