网络安全与防护课程迟恩宇实训指导3.12CISCO访问控制列表ACL1.pptVIP

访问列表配置要点： 访问列表的编号指明了使用何种协议的访问列表 每个端口、每个方向、每条协议只能对应于一条访问列表 访问列表的内容决定了数据的控制顺序 具有严格限制条件的语句应放在访问列表所有语句的最上面 在访问列表的最后有一条隐含声明：deny any－每一条正确的访问列表都至少应该有一条允许语句 先创建访问列表，然后应用到端口上 访问列表不能过滤由路由器自己产生的数据 访问列表配置准则 访问列表中限制语句的位置是至关重要的 将限制条件严格的语句放在访问列表的最上面 使用 no access-list number 命令删除完整的访问列表 隐含声明 deny all 在设置的访问列表中要有一句 permit any ACLs的放置位置 每个 ACL 都应该放置在最能发挥作用的位置。基本的规则是： 将扩展 ACL 尽可能靠近要拒绝流量的源。这样，才能在不需要的流量流经网络之前将其过滤掉. 因为标准 ACL 不会指定目的地址，所以其位置应该尽可能靠近目的地. 几种配置实例 ACL配置实例补充 实验1：配置TELNET的访问控制列表 实验2：配置基于时间的访问控制列表 几种配置实例 实验1：配置TELNET的访问控制列表 定义一个访问扩展控制列表TELNET的 Y_R(config)#access-list 11 permit 192.168.104.0 0.0.0.255 Y_R(config)#access-list 11 permit 192.168.105.0 0.0.0.255 Y_R(config)#access-list 11 permit 192.168.107.0 0.0.0.255 Y_R (config)#line vty 0 4 Y_R (config-line)#access-class 11 in Y_R (config-line)#password cisco Y_R (config-line)#login Y_R (config-line)#exit Y_R (config)#enable password cisco Y_R (config)#service password-encryption 几种配置实例 实验2：配置基于时间的访问控制列表 定义当前时间及一个时间段 Y_R#clock set 20:02:00 1 apr 2013 Y_R(config)#time-range noworkshangwang Y_R(config-time-range)#absolute start 8:00 1 jan 2013 end 16:20 31 dec 2030 Y_R(config-time-range)#periodic daily 16:21 to 23:59 Y_R(config-time-range)#periodic daily 00:00 to 07:59 设置扩展ACL并应用 Y_R(config)#ip access-list extended xiuxitime Y_R(config-ext-nac1)#deny ip host 10.1.1.1 any time-range noworkshangwang Y_R(config-ext-nac1)#permit ip any any Y_R(config-ext-nac1)#exit Y_R(config)#interface fastethernet 0/1 Y_R(config-if)#ip access-group xiuxitime in 谢谢您的收看！ 请多提宝贵意见！ 谢谢 * 此页为了让学员和老师对课程安排有一个大致的了解。 此页列出本课程的主要培训标题，列出每章的名称即可。如果章下面的节不多，在此页可以一并列出。 此页胶片仅在授课时使用，胶片＋注释中有专门的目录和标题，不需要重复使用该页面。 Graphic 5.1.2.2 Graphic 5.1.2.2 Graphic 5.1.4.1 Graphic 5.1.5.1 Graphic 5.2.2.1 5.2.2.2 Graphic 5.2.3.1 5.2.3.2 (use the examples), 5.2.3.4 The any and host Keywords Graphic 5.2.4.1 (use syntax one example), 5.2.4.2 Graphic 5.2.4.1 (use syntax one example), 5.2.4.2 Graphic 5.2.4.1 (use syntax one example), 5.2.4.2 Graphic 5.2.5.1 Graphic 5.2.7.1 Gra