标准访问控制列表-浙江广播电视大学在线学习平台.pptVIP

* * 55相当于any * * * 从某个IP地址来的数据不能从指定的接口in或out， 因此标准的访问控制列表是只针对源设置的 * Established：允许回程的数据流，但是对方发起的会被拒绝 * * 标准访问控制列表的配置 第一步，使用access-list命令创建访问控制列表 第二步，使用ip access-group命令把访问控制列表应用到某接口 Router(config)#access-list access-list-number { permit | deny } source [ source- wildcard ] [log] Router(config-if)#ip access-group access-list-number { in | out } 标准ACL应用1：允许特定源的流量 Non- E0 E1 S0 3 标准ACL应用：允许特定源的流量 第一步，创建允许来自的流量的ACL 第二步，应用到接口E0和E1的出方向上 Router(config)#access-list 1 permit 55 Router(config)#interface fastethernet 0/0 Router(config-if)#ip access-group 1 out Router(config)#interface fastethernet 0/1 Router(config-if)#ip access-group 1 out 标准ACL应用：拒绝特定主机的通信流量 第一步，创建拒绝来自3的流量的ACL 第二步，应用到接口E0的出方向 Router(config)#access-list 1 deny host 3 Router(config)#access-list 1 permit 55 Router(config)#interface fastethernet 0/0 Router(config-if)#ip access-group 1 out any 标准ACL应用：拒绝特定子网的流量 第一步，创建拒绝来自子网的流量的ACL 第二步，应用到接口E0的出方向 Router(config)#access-list 1 deny 55 Router(config)#access—list 1 permit any Router(config)#interface fastethernet 0/0 Router（config-if）#ip access-group 1 out 55 扩展访问控制列表 扩展访问控制列表 基于源和目的地址、传输层协议和应用端口号进行过滤 每个条件都必须匹配，才会施加允许或拒绝条件 使用扩展ACL可以实现更加精确的流量控制 访问控制列表号从100到199 扩展访问控制列表 扩展访问控制列表使用更多的信息描述数据包，表明是允许还是拒绝 从/24来的,到3的， 使用TCP协议， 利用HTTP访问的 数据包可以通过！ 路由器 有访问控制列表吗？ 源地址 目的地址 协议 协议任选项 应用条件 拒绝 允许 更多条目？ 列表中的下一个条目 不匹配 否 是 匹配 匹配 匹配 匹配 是 否 Icmp消息 转发数据包 如果在访问控制列表中有的话 扩展访问控制列表 不匹配 不匹配 不匹配 端口号 关键字 描述 TCP/UDP 20 FTP-DATA （文件传输协议）FTP（数据） TCP 21 FTP （文件传输协议）FTP TCP 23 TELNET 终端连接 TCP 25 SMTP 简单邮件传输协议 TCP 42 NAMESERVER 主机名字服务器 UDP 53 DOMAIN 域名服务器（DNS) TCP/UDP 69 TFTP 普通文件传输协议（TFTP) UDP 80 WWW 万维网 TCP 扩展访问控制列表 扩展访问控制列表的配置 第一步，使用access-list命令创建扩展访问控制列表 Router(config)#access-list access-list-number { permit | deny } protocol [source source-wildcard destination destination-wildcard ] [operator port] [established] [log] 扩展访问控制列表操作符的含义 操作符及语法 意义 eq portnumber 等于端口号 portnumber gt portnumber 大于端口号portnumber lt portnumber 小于端口号p