N09.访问控制列表.pptVIP

访问控制列表 访问控制列表 为什么要使用访问列表 为什么要使用访问列表 ACL的类型 ACL的类型主要分为IP标准访问控制列表和IP扩展访问控制列表。 主要的动作为允许(permit) 和拒绝(Deny). 主要的应用方法是入栈(In)和出栈(Out)应用. 实例： 1. 所有主机到172.16.30.2的TCP流量都将拒绝 access-list 100 deny tcp any host 172.16.30.2 实例： 2. 阻此Telnet 到172.16.30.2的主机 access-list 110 deny tcp any host 172.16.30.2 eq 23 * * IP Access-list：访问列表或访问控制列表，简称IP ACL。 访问控制列表ACL最直接的功能就是包过滤,通过ACL可以在路由器、三层交换机上进行网络安全属性配置,可以实现对进入到路由器、三层交换机的输入数据流进行过滤. 认证输入数据流的定义可以基于网络地址、TCP/UDP的应用等。 可以选择对于符合过滤标准的流是丢弃还是转发。 公网 互联网用户 对外信息 服务器 员工上网 拒绝 信息 服务器 不能在上班时间进行QQ,MSN等聊天． 访问权限控制 ISP 当网络访问流量较大时,需要对网络流量进行管理 路由器应用访问列表对流经它的数据包进行限制1.入栈应用2.出栈应用 E0 S0 是否允许? 源地址目的地址 协议 访问列表的应用 IP ACL的基本准则 一切未被允许的就是禁止的。 路由器或三层交换机缺省允许所有的信息流通过; 而防火墙缺省封锁所有的信息流，然后对希望提供的服务逐项开放。 按规则链来进行匹配 使用源地址、目的地址、源端口、目的端口、协议、时间段进行匹配 从头到尾，至顶向下的匹配方式 匹配成功马上停止 立刻使用该规则的“允许、拒绝……” 源地址 TCP/UDP 数据 IP eg.HDLC 1-99 号列表 IP标准访问列表 目的地址 源地址 协议 端口号 100-199号列表 TCP/UDP 数据 IP eg.HDLC IP扩展访问列表 0表示检查相应的地址比特 1表示不检查相应的地址比特 0 0 1 1 1 1 1 1 128 64 32 16 8 4 2 1 0 0 0 0 0 0 0 0 0 0 0 0 1 1 1 1 1 1 1 1 1 1 0 0 1 1 1 1 1 1 1 1 反掩码 1.编号的标准访问列表 RA(config)#access-list 1-99 {permit|deny} 源地址 [反掩码] 例如： （config）# access-list 1 permit 172.16.0.0 0.0.255.255 （config）# access-list 1 deny 0.0.0.0 255.255.255.255 2.应用ACL到接口 RA(config-if)#ip access-group 1-99|{name} { in | out } IP标准访问列表的配置 2.应用ACL到接口 Router(config-if)#ip access-group 100-199 { in | out } 编号的扩展ACL RA(config)#access-list 100-199 { permit /deny } 协议 源地址 反掩码 目的地址 反掩码 [ operator operand] 其中：规则序号范围是100-199； protocal是指定的协议，如IP、TCP、UDP等。 operator 和 operand用于指定端口范围，默认为全部端口号0-65535，只有TCP和UDP协议需要指定端口的范围。 IP扩展访问列表的配置 显示全部的访问列表 Router#show access-lists显示指定的访问列表Router#show access-lists 1-199显示接口的访问列表应用Router#show ip interface 接口名称 接口编号 访问列表的验证