CISCO的CL教程课件.pptVIP

? 2002, Cisco Systems, Inc. All rights reserved.;第7章　访问控制列表ACL ;本章要求;访问控制列表（Access Control List，ACL） 应用在路由器接口的指令列表 指定哪些数据报可以接收、哪一些需要拒绝 ACL用途 （1）限制网络流量、提高网络性能； （2）提供对通信流量的控制手段； （3）提供网络访问的基本安全手段； （4）在路由器（交换机）接口处，决定哪种类型的通信流量被转发、哪种被阻塞。 ;ACL的工作过程 ;入站访问控制操作过程 ;出站访问控制操作过程 ;入站接口 数据包 ;;通知发送者;ACL的逻辑测试过程 ;Y;Y;Y;范围/标识;源地址;目的地址;第一步：创建ACL;0代表检查对应地址位的值 1代表忽略对应地址位的值;例如：9 表示检查所有的地址位 可以使用关键字host将上语句简写为：host 9;接受任何地址： 55 可以使用关键字any将上语句简写为：any; Check for IP subnets /24 to /24;标准ACL的配置 ;access-list access-list-number {permit|deny} source [mask];;只允许本机所在网络访问;拒绝特定主机的访问;;access-list 1 deny 3 access-list 1 permit 55 (implicit deny all) (access-list 1 deny 55) interface ethernet 0 ip access-group 1 out;拒绝特定子网的访问;access-list 1 deny 55 access-list 1 permit any (implicit deny all)(access-list 1 deny 55) interface ethernet 0 ip access-group 1 out;扩展ACL的配置 ;Router(config-if)# ip access-group access-list-number { in | out };禁止子网中任何主机访问3上的ftp服务 允许其他任何服务;;access-list 101 deny tcp 55 55 eq 21 access-list 101 deny tcp 55 55 eq 20 access-list 101 permit ip any any (implicit deny all) (access-list 101 deny ip 55 55) interface ethernet 0 ip access-group 101 out;禁止网段的主机远程登录（telnet）到网段的任何机器 允许其他任何数据通过;;access-list 101 deny tcp 55 any eq 23 access-list 101 permit ip any any (implicit deny all) interface ethernet 0 ip access-group 101 out;命名（Named）ACL的配置 ;Router(config)#;Router(config)# ip access-list { standard | extended } name;在靠近源地址的网络接口上设置扩展ACL 在靠近目的地址的网络接口上设置标准ACL;wg_ro_a#show ip int e0 Ethernet0 is up, line protocol is up Internet address is 1/24 Broadcast address is 55 Address determined by setup command MTU is 1500 bytes Helper address is not set Directed broadcast forwarding is disabled Outgoing access list is not set Inbound access list is 1 Proxy ARP is enabled Security level is default Split horizon is enabled ICMP redirects are always sent ICMP unreachables are always sent ICMP mask replies are never sent IP fast switching is enable