第十四章节访问列表.pptVIP

网络工程师讲义 张智勇　 访问列表 合理的矛盾:在网络设计中，如何为用户合理分配流量，又能提供安全有效的网络管理，是一个具有挑战性的难题！ ACCESS　LIST（访问列表） 通过建立ACL，可以控制任何IP地址对网络的访问，并能有效的实现对一些敏感设备的访问。 访问列表目标 性能 对网络设计中特定的用户进行控制 拒绝网络之间进行访问 安全 可以基于主机地址、目的地址和服务器类型来允许或禁止为特定的用户提供资源 访问列表的实现 Cisco路由器基于接口的输入和输出 输入列表应用到接口则控制流入流量 输出列表应用到接口则控制流出 流量 ? 如：拒绝的主机通过S0访问网络。 访问列表类型 IP标准访问列表 能够对源地址进行过滤，是一种简单，直接的数据控制手段。 IP扩展访问列表 除了基于数据包源地址的过滤以外，还能够对协议，目的地址，端口号进行网络流量过滤。当然，配置也更复杂。 IP访问列表的一般用法 限制对网络的FTP访问 禁止一个子网到另一个子网的访问 允许规定主机Telnet访问路由器 如：不允许指定的主机TELNET访问。 IP标准访问列表的一般配置 Router# Router#configure terminal Router(config)# Router(config)#access-list 1 permit 55 上面配置的访问列表是允许来自网络的流量 IP标准访问列表的一般配置 禁止来自网络的流量!!! Router#configure terminal Router(config)# Router(config)#access-list 2 deny 55 Router(config)#access-list 2 permit any Router(config)#int s0 Router(config-if)#ip access-group 2 out Router(config-if)# IP标准访问列表的配置（一） Router# Router#configure terminal Router(config)# Router(config)#access-list 1 deny host Router(config)#access-list 1 permit any 上面配置的访问列表是拒绝特定主机，允许其它主机访问 访问列表应用到接口(二) Router# Router#configure terminal Router(config)# Router(config)#interface Ethernet 0 Router(config-if)# Router(config-if)#ip access-group 1 in(输入) Router(config-if)#ip access-group 1 out(输出) 访问表位置 扩展访问表尽量放在靠近过滤源的位置 目的：不会影响其它接口上的上的数据 标准访问表尽量放在靠近目的端口的位置 IP标准访问列表的一般配置 为什么我们禁止后，要加 access-list 1 permit any ？ ?在标准或扩展IP或IPX的每个访问表的末尾，总有一个隐含的deny all。也就是说报文与语句不匹配，则此隐含命令将禁止该报文 删除访问表 Router# Router#configure terminal Router(config)# Router(config)#no access-list [number] 访问列表的查看： 2501a#show ip access-lists 1 Standard IP access list 1 permit any (2 matches) deny , wildcard bits 55 2501a#sh ip access-lists Standard IP access list 1 permit any Extended IP access list 101 deny icmp 55 55 echo permit ip any any 2501a# 思考：我应该如何做呢？ 禁止主机一访问主机二； 禁止主机一访问网络B； 禁止网络A访问主机二； 禁止网络A访问网络B； 只允许主机一访问网络B； * Cisxo Education Solution * 访问表位置 路由器 路由器 源 in out 路由器 目的 访问表位置 路由器 路由器 源 in out 路由器 目的