访问控制列表-Read.pptVIP

访问控制列表（ACL） 主要内容： 访问控制列表的作用 访问控制列表的种类 访问控制列表的建立 访问控制列表的作用 在路由器接口处，决定哪种类型的通信流量被转发，哪种类型的通信流量被阻塞。例如可以允许e-mail通信流量被路由，同时拒绝所有的telnet通信流量。 提供网络访问的基本安全手段。例如可以允许某一主机访问你的网络，而阻止另一主机访问同样的网络。 按正确顺序创建ACL 在ACL中各描述语句的放置顺序很重要。当路由器决定某一数据包是被转发还是被阻塞时，Cisco IOS按照各描述语句的顺序，根据各描述语句的判断条件，对数据包进行检查。一旦找到某一匹配条件，就结束比较过程，不再检查以后的其他条件判断语句。 如果你创建了一个允许所有通信流量通过的条件判断语句，那么后面的所有条件判断语句形同虚设，是不会被检查。如果需要另外的条件判断语句，则必须删除该ACL，然后重新建立一个新的带有一系列条件判断语句的ACL。 访问控制列表的种类 标准访问控制列表 只限制IP数据包中的源地址. 扩展访问控制列表 可针对IP数据包五元素中任一项进行限制. 访问列表用号码来标识。使用什么号码可由你随意决定，但必须符合：标准ACL使用1—99,扩展ACL使用100 — 199。 对一个表的所有语句必须使用相同的号码。 标准ACL图示 扩展ACL图示 标准ACL建立命令 第一步：定义标准ACL Router(config) # access-list access-list-number {permint | deny} {test-conditions} 第二步：将ACL应用到某一接口 Router(config-if) # ip access-group access-list-number {in| out} 反向掩码表示法 反向掩码是一个32比特位的数字串，它被用点号分成4个8位组，每个8位组包含8个比特。在反向掩码中，0表示“检查相应的位”，而1比示“不检查相应的位”。反向掩码跟IP地址是成对出现的，通过“1”或“0”来明确如何处理相应的IP地址位。 在IP子网掩码中“1”或“0”是用来决定是网络还是相应的主机IP地址。而在ACL的反向掩码中，掩码位“1”或“0”用来决定相应的IP地址是被忽略，还是被检查。 反向掩码表示示例 表示一台主机 9 host 9 表示一个网络 55 表示任何网络 55 any 标准ACL例 （1）access-list 1 deny host 9 （限制所有主机） （2）access-list 2 deny host 9 access-list 2 permit any （只限制IP地址为 9 的主机） （3）access-list 3 permit host 9 （ 除9 的主机都deny） （4）access-list 4 deny 9 55 access-list 4 permit any （限制99结尾的地址） 扩展ACL建立命令 建立扩展ACL Router(config) # access-list access-list-number {permint | deny} protocol source [source-mask destination destination-mask] [operator operand] 将扩展ACL应用到某一接口 Router(config-if) # ip access-group access-list-numbe {in| out} * * 源IP 目标IP 协议 源Port 目标Port Outgoing Packet E0 S0 Incoming Packet Access List Processes Permit? Source Standard Checks Source address Generally permits or denies entire protocol suite Outgoing Packet E0 S0 Incoming Packet Access List Processes Permit? Source and Destination Protocol Extended Checks Source and Destination add