网络访问与控制.pptVIP

网络访问与控制 议程 为什么需要 IP ACL IP ACL的定义与应用 IP ACL的其它应用 其它类型的ACL 什么是访问控制列表 访问控制列表（access control lists），也称为访问列表（access lists），俗称为防火墙，在有的文档中还称之为包过滤，是通过定义一些准则对经过路由器接口上的数据报文进行控制：转发或丢弃。 什么是访问控制列表 访问控制列表的本质是： 定义一些准则，对经过路由器、交换机接口的数据包进行控制：转发或丢弃 准则的定义依据：源目标地址、端口、上层控制比特位 访问控制列表的分类： 基本访问控制列表 标准 扩展 基于时间的访问控制列表 动态访问控制列表 基本访问控制列表 ＋ 时间因素 IP ACL的作用 配置访问列表的原因比较多，主要有以下一些： 限制路由更新：控制路由更新信息发往什么地方，同时希望在什么地方收到路由更新信息。 限制网络访问：为了确保网络安全，通过定义规则，限制用户访问一些服务（如只需要访问WWW和电子邮件服务，其他服务如TELNET则禁止），或只允许一些主机访问网络等等。 IP ACL的作用 IP ACL的作用 议程 为什么需要 IP ACL IP ACL的定义与应用 ACL的其它应用 其它类型的ACL IP ACL的规则定义 规则定义依据 源IP地址、目标IP地址、TCP/UDP端口号、TCP控制位 最后一条缺省规则 缺省规则为deny（拒绝） 输入规则的顺序 先匹配前面的规则，匹配了就执行相应动作 所以一定要认真检查匹配规则的顺序 路由器、交换机的定义细节有所不同 以路由器为例进行描述 合格的规则排列顺序 单个IP地址 IP子网 IP自然网络 IP超网 (summarized networks) 缺省网络 IP ACL的方向 访问控制列表，是对数据流进行控制的 方向是从设备的角度来看，设备从该接口接收到数据称为“in”，设备从该接口发送数据称为“out”； 每个设备接口的一个方向只能应用一个访问控制列表；不同的方向上可以应用不同的访问控制列表。 方向十分重要，错误的方向定义导致不可思议的结果 标准访问列表和扩展访问列表区别 标准IP访问列表（1－99）主要是根据源地址来进行转发或阻断分组的，扩展IP访问列表（100－199）使用源地址 ,目标地址 ,上层协议 组合来进行转发或阻断分组的。其他类型的访问列表根据相关代码来转发或阻断分组的。 基本IP ACL－标准访问列表 access-list access-list-number {permit | deny} source-IP-address [wildcard] Number:1~99 只对源IP地址进行控制 匹配符（wildcard)缺省为，0表示精确匹配，1表示忽略 基本IP ACL－扩展访问列表 access-list access-list-number {permit | deny} protocol source-IP-address source-wildcard-mask destination-IP-address destination-wildcard-mask [additional options] Number:100~199 根据源、目标IP地址 TCP/UDP端口 及其它条件 IP访问列表的配制步骤 第一步 Red-Giant(config)# access-list access-list-number {permit|deny} source-IP-address source-wildcard-mask 或 Red-Giant(config)# access-list access-list-number {permit | deny} protocol source-IP-address source-wildcard-mask destination-IP-address destination-wildcard-mask [additional options] 第二步 Red-Giant(config)# interface type number 选择要应用访问列表的接口 第三步 Red-Giant(config-if)# ip access-group access-list-number {in|out} 将访问列表应用特定接口 基本IP ACL配置例子 RouterB的配置 interface Serial0 ip address ip access-group 101 out encapsulation ppp ip route Serial0 access-list 10