63交换机路由器的配置技术(九).pdfVIP

网络工程师 之 交换机路由器的配置技术(九) 高级项目经理 任铄 第17章 交换机路由器的配置技术  17.1 交换机的概念与配置基础  17.2 VLAN的配置与管理  17.3 路由器的概念与配置基础  17.4 路由选择协议与配置技术  17.5 广域网接入配置  17.6 VPN配置技术  17.7 NAT与访问控制列表配置  17.8 防火墙配置技术 一、访问控制列表 访问控制列表根据源地址、目标地址、源端口或目标端口等协议 信息对数据包进行过滤，从而达到控制访问的目的，提高安全性。 在IP网络中，可以使用的访问列表有：  标准访问列表（标号为1 ～99和1300 ～1999 ）  扩展访问列表（标号为100 ～199和2000 ～2699 ） 路由器自顶向下逐个处理ACL语句:  首先把第一个语句与分组信息进行比较，如果匹配，则路由器 将允许(Permit)或拒绝(Deny)分组通过 access-list 10 deny host  如果第一个语句不匹配，则处理第二个语句，直到找出一个 匹配的  如果在整个列表中没有发现匹配的语句，则路由器丢弃该分组 对ACL语句的处理规则总结出以下要点： (1) 一旦发现匹配的语句，就不再处理列表中的后续语句。 (2) 语句的排列顺序很重要。 (3) 如果整个列表中没有匹配的语句，则分组被丢弃。 1. ACL语句排列的基本原则  需要特别强调ACL语句的排列顺序。  如果有两条语句，一个拒绝来自某个主机的通信，另一个允许 来自该主机的通信，则排在前面的语句将被执行，而排在后面 的语句将被忽略。所以在安排ACL语句的顺序时要把最特殊的 语句排在列表的最前面，而最一般的语句排在列表的最后。 高级项目经理 任铄 例如，下面的两条语句组成一个标准ACL。 access-list 10 permit 55 access-list 10 deny host 第一条语句表示允许来自子网/24的所有分组通过，而 第二条语句表示拒绝来自主机的通信。如果路由器收 到一个源地址为的分组，则首先与第一条语句进行匹配， 该分组被允许通过，第二条语句就被忽略了。 高级项目经理 任铄 要达到预想的结果“允许来自除主机之外的、属于子网 /24的所有通信”，则两条语句的顺序应该为： access-list 10 deny host access-list 10 permit host 55 可见列表顶部是特殊语句，列表底部是一般性语句。 高级项目经理 任铄 出于安全性考虑，ACL的默认动作是拒绝(Implicit Deny), 即在ACL 中没有找到匹配的语句时分组将被拒绝通过，这相当于在列表