ACL访问控制技术.ppt

第9章 ACL访问控制技术 本章学习内容 9.1 ACL概述 9.1.1 什么是ACL 9.1.2 ACL的访问顺序（难点） 9.1.3 ACL的分类 9.2 ACL的基本配置举例 9.2.1 标准ACL配置举例(重点) 9.2.3 扩展ACL配置举例（重难点） 9.3 本章命令汇总 要求：PC1所在网络仅能访问PC2的WWW服务器，PC3所在网络仅能访问PC2的FTP服务器，其他计算机都不能访问PC2服务器。 9.1 ACL 概 述 访问控制列表（Access Control List，简称ACL）——网络操作系统所提供的一种访问控制技术。 ACL原理——ACL使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。 功能——保护资源、阻止非法用户对资源的访问；限制特定用户对资源的访问权限。 使用范围——路由器、三层交换机、部分最新的二层交换机都提供ACL支持。 配置ACL的基本原则： （1）最小特权原则：只给受控对象完成任务所必需的最小的权限； （2）最靠近受控对象原则：所有的网络层访问权限控制尽可能离受控对象最近。 ACL语句的增加与删除 ACL由一系列访问控制语句组成。 当创建一个ACL列表后，新增加的语句总是放到列表最后。 无法删除某一条ACL语句，只能删除整个ACL列表。 ACL的访问顺序 按照语句顺序，根据判定条件对数据包进行检查。一旦找到了匹配条件就结束比较过程，不再检查后面的判断条件。 如果所有条件语句都不匹配，则在最后强加一条拒绝全部流量的隐含语句，即总是拒绝所有流量。 ACL访问顺序 示例 ip access-list extend server-protect Permit tcp 55 host 0 eq 80 Peimit tcp 55 host 2 ep 21 Peimit tcp 55 host 1 eq 1521 Deny tcp 55 host 1 eq 1521 Peimit tcp host 3 host 1 eq 1521 Deny ip 55 any ip access-list extend server-protect Peimit tcp host 3 host 1 eq 1521 Deny tcp 55 host 1 eq 1521 Peimit tcp 55 host 1 eq 1521 Permit tcp 55 host 0 eq 80 Peimit tcp 55 host 2 eq 21 1. 标准ACL 标准ACL： 使用IP包中的源IP地址进行过滤。 在思科的路由器上使用的ACL编号为1~99以及1300~1999。 1.标准ACL的配置 第一步，定义访问控制列表，命令如下： Router(config)# access-list access-list-number { permit | deny } source [source-wildcard] [log] 第二步，把标准 ACL应用到一个具体接口。 1.标准ACL的配置 第一步，定义访问控制列表，命令如下： Router(config)# access-list access-list-number { permit | deny } source [source-wildcard] [log] 1.标准ACL的配置 第一步，定义访问控制列表，命令如下： Router(config)# access-list access-list-number { permit | deny } source [source-wildcard] [log] 1.标准ACL的配置 第二步，把标准 ACL应用到一个具体接口： Router(config)# int interface Router(config-if)# { protocol } access-group access-list-number {in | out} 2. 扩展ACL 扩展ACL： 可以控制源IP，目的IP，源端口，目的端口等。 在思科路由器上，扩展ACL的编号为100~199以及2000~2699。 缺点——在没有硬件ACL加速的情况下，消耗大量的路由器CPU资源。中低档路由器上尽量减少扩展ACL的条目数。 3.命名ACL的配置 命名ACL——在标准ACL和扩展ACL中，使用名字代替ACL编号。 命名ACL好处： 字母数字串直观表示特定ACL。 不受99条标准ACL和100条扩展ACL限制。 修改方便，无需删除后再重新配置。 命名ACL配置——3个步骤 第一步，