访问控制列表-IPAccess-讲座.docVIP

访问控制列表-（ACL）基本规则 访问控制列表技术在网络安全技术中的应用可以说是最广泛的一种，而基于IP的访问控制列表更是在多种访问控制列表技术当中运用最广泛的，能够让学生很好地掌握访问控制列表技术，是在网络工程实践中一个重要课题，由于访问控制列表技术的讲解涉及到规则的规划，规则的调整，规则的关联，规则的调用，所以访问控制列表技术的讲解是实践教学工作中的一个难点。 访问控制列表规则第一条：基于IP的访问控制列表分为标准访问控制列表和扩展访问控制列表。IP标准访问控制列表的编号范围是1-99，IP扩展访问控制列表的编号范围是100-199。 标准访问控制列表所检查的项目比较少，适合于规则控制不精细的网络，扩展访问控制列表适合于规则控制得比较精细的网络。 ?????访问控制列表规则第二条：标准访问控制列表只检查源地址。 只检查源地址的意思是说只检查数据包是从哪一个网段发出的，符合规则的网段采用相应的规则。标准访问控制列表例子：access-list 10 deny 192.168.1.0 0.0.0.255 这条访问控制列表的意思是拒绝192.168.1.0网段发出的任何数据包的任意访问通过。 访问控制列表规则第三条：访问控制列表的策略执行是从上至下，逐条匹配的，一旦匹配，立即执行。 例如： #access-list 10 premit 192.168.1.0 0.0.0.255 #access-list 10 deny 192.168.2.0 0.0.0.255 当一个属于192.168.2.0网段的数据包过来以后首先会查看第一条规则，然后才会查看第二条规则，直到找到适合自己的规则之后才会执行相应的策略。 ?????访问控制列表规则第四条：越精细的规则越要放在访问控制列表的前列。 在设计访问控制列表规则时，要防止精细的规则由于位置的问题，基于规则第三条，可能产生这样的情况。 例如： #access-list 10 permit 192.168.1.0 0.0.0.255 #access-list 10 deny 192.168.1.1 0.0.0.0 两条访问控制列表的规则分别是允许192.168.1.0网段数据包通过，不允许192.168.1.1这台主机的数据包通过，如果按照例子中的顺序来写规则，那么当192.168.1.1这台主机的数据包到来时，会优先查看允许192.168.1.0网段数据包通过的规则，恰好符合，那么自然就通过了，而拒绝192.168.1.1这台主机数据包通过的规则就不会发生作用了，与我们想象中的作用不符。 ?????访问控制列表规则第五条：越常用的规则越要放在访问控制列表的前列，但不能逾越规则四。 本条规则也是访问控制列表的规则设计上进行指导， 例如： #access-list 10 deny 192.168.1.1 0.0.0.0 #access-list 10 permit 192.168.1.0 0.0.0.255 #access-list 10 deny 192.168.2.0 0.0.0.255 三条规则中按设计原则上没有太大问题，但如果网络中存在大量的192.168.2.0网段的向外访问，而192.168.1.0网段向外访问量比较少，那么我们可以将规则这样调整 #access-list 10 deny 192.168.1.1 0.0.0.0 #access-list 10 deny 192.168.2.0 0.0.0.255 #access-list 10 permit 192.168.1.0 0.0.0.255 ， 这样可以提高规则查找的效率，近而提高整个访问控制列表的工作效率。但是为了提高访问控制列表工作效率不能以牺牲精确查找推后为原则。 例如： #access-list 10 deny 192.168.2.0 0.0.0.255 #access-list 10 permit 192.168.1.0 0.0.0.255 #access-list 10 deny 192.168.1.1 0.0.0.0。 这样是与规则四相违背的。 温建京 1