第7章 访问控制列表.pptVIP

第7章 访问控制列表 访问控制列表概述 标准、扩展及命名的访问控制列表 ACL执行 通配符掩码 配置访问控制列表 控制Telnet会话 ACL指南 验证ACL配置的命令 访问控制列表概述-用途 检查和过滤数据包 对数据流进行限制以提高网络性能 限制或减少路由更新的内容 访问控制列表概述-类型 Standard Checks source address Generally permits or denies entire protocol suite Extended Checks source and destination address Generally permits or denies specific protocols 访问控制列表概述-类型区分 Standard IP lists (1-99) test conditions of all IP packets from source addresses. Extended IP lists (100-199) test conditions of source and destination addresses, specific TCP/IP protocols, and destination ports. Standard IP lists (1300-1999) (expanded range). Extended IP lists (2000-2699) (expanded range). Other access list number ranges test conditions for other networking protocols. 标准访问控制列表 扩展访问控制列表 出口ACL执行 如ACL中没有匹配语句，丢弃包（inbound:入站） ACL内部执行顺序 通配符掩码(Wildcard Mask) 通配符掩码为0表示检查数据包的IP地址相对应的比特位 通配符掩码为1表示不检查数据包的IP地址相对应的比特位 通配符掩码(Wildcard Mask) 通配符掩码(Wildcard Mask) 通配符掩码(Wildcard Mask) 配置访问控制列表 配置访问控制列表-标准 配置访问控制列表-标准-例 配置访问控制列表-标准-例 配置访问控制列表-标准-例 配置访问控制列表-扩展 配置访问控制列表-扩展-例 配置访问控制列表-扩展-例 命名的访问控制列表 命名的访问控制列表 控制Telnet会话 物理接口上设置访问控制列表？繁锁 在Telnet所使用的虚拟端口上设置ACL 控制Telnet会话 控制Telnet会话-例 ACL指南 每个接口、每个方向、每个协议只能有一个ACL ACL中各条件语句的前后顺序很重要。当一个条件匹配后就不再检查后续的条件。条件严格的语句应放在前面。 ACL里的条件语句不能调整序列。插入的条件语句总是在最后 除了命名的ACL外，不能单独删除ACL中某个条件语句。可使用no access-list number删除整个列表 应把标准ACL放在靠近数据目标地址的路由器上，把扩展ACL放在靠近数据源发地的路由器上。 ACL指南 验证访问列表配置的命令 验证访问列表配置的命令 * 按照优先级或用户队列处理数据包 限制对路由器虚拟终端的访问 定义发起DDR呼叫的数据 Check all the address bits (match all). Verify an IP host address, for example: For example, 9 checks all the address bits. Abbreviate this wildcard mask using the IP address preceded by the keyword host (host 9). Ignore all the address bits (match any). An IP host address, for example: Accept any address: any Abbreviate the expression using the keyword any. Address and wildcard mask: 55 Check for IP subnets /24 to /24. Step 1: Set parameters for this access list test statement (which can be one of several statements). Step 2: Enable an interface to