访问控制列表（acl）.ppt

* 计算机网络技术. 计算机网络技术 * 使用访问控制列表控制网络通讯 主讲人：孟庆宝 使用访问控制列表控制网络通讯 学习目的与要求： 互联网的开放性决定了网络上的数据可以任意流动，但有时候需要对数据进行控制。通过设置访问控制列表来控制和过滤通过路由器的信息流是的一种方法。 本项目主要讲述使用标准访问控制列表和扩展访问控制列表控制网络流量的方法，同时提供了标准访问控制列表和扩展访问控制列表以及在路由接口应用ACL的例子。 完成本项目的学习，你将能够： 描述访问控制列表的分类及其工作过程 会根据应用需求配置访问控制列表 访问控制列表（ACL） 访问控制列表ACL(Access Control Lists)，是网络管理员手工配置的，放置在路由器接口中的一组含有允许（permit）或拒绝（deny）语句条目序列，在数据包流经路由器的入方向（in）或出方向（out）进行匹配检查，最终决定数据包通过（forwarding）或丢弃（discarding）。 ACL的功能 检查和过滤数据包。ACL通过将访问控制列表应用到路由器接口来管理流量和检查特定的数据包。例如，可以允许E-mail流量被路由，但同时阻塞所有Telnet流量。 限制或减少路由更新的内容。ACL能够限定或简化路由器选择更新的内容，这些限定常用于限定关于特定网络的信息通过网络传播。 提供网络访问的基本安全级别。通过在路由器上配置ACL，可以允许一个主机访问网络的一部分，而阻止其他主机访问相同的区域。 作为高级功能的基础配置。为网络地址转换功能、拨号访问功能提供基础配置。 ACL分类及编号 标准访问控制列表（Standard ACL）：可以根据源地址作访问控制，编号范围：1-99 扩展访问控制列表（Extended ACL）：可以根据源地址、目的地址和网络应用作访问控制，编号范围：100-199 ACL的工作原理 顺序查找，匹配后不再检索 隐式拒绝处理 ACL在路由器中的工作过程 注：ACL在路由查找后进行处理 任务：使用标准访问控制列表限制网络访问 案例1： 网络不能访问网络 其他网络可以访问 配置标准ACL 步骤1. 定义标准ACL Router(config)# access-list access-list-number {deny | permit} source [source-wildcard] [log] 参 数 描 述 access-list-number 访问控制列表表号，用来指定入口属于哪一个访问控制列表。对于标准ACL来说，是一个从1到99或1300到1999之间的数字 deny 如果满足测试条件，则拒绝从该入口来的通信流量 permit 如果满足测试条件，则允许从该入口来的通信流量 source 数据包的源地址，可以是网络地址或是主机IP地址 source-wildcard (可选项)通配符掩码，又称反掩码，用来跟源地址一起决定哪些位需要匹配 log (可选项)生成相应的日志消息，用来记录经过ACL入口的数据包的情况 配置标准ACL 步骤2．将标准ACL应用到某一接口上 Router(config-if)# ip access-group access-list-number { in | out } 其中，参数in和out表示ACL作用在接口上的方向，两者都是以路由器作为参照物的，如果in和out都没有指定，那么默认为out。 注意：1、在每个接口、每个协议、每个方向上只能有一个访问控制列表。 2、标准访问控制列表放置在离目的网络近的路由器中 流出方向 E0 S0 进入方向 Access List Processes Permit? Source and Destination Protocol 配置标准ACL 删除已建立的标准ACL Router(config)#no access-list access-list-number Router(config-if)#ip access-group access-list-number { in | out } 关于通配符掩码的使用说明 表示成4位点分十进制形式。默认的通配符掩码为。 在通配符掩码位中，0表示“检查相应的位”，而1表示“不检查(忽略)相应的位”。 比如，源地址和通配符掩码为 55，表示路由器前3个8位组必须精确匹配，最后1个8位组的值可以任意。 再如，如要指定IP地址为从到之间的所有子网，则通配符掩码为55 (31-16=15)。 any可以表示任何IP地址，例如： 　Router(config)# access-list 10 permit a