第12章 访问控制列表（标准、扩展、命名ACL ACL控制telnet）.pptVIP

? 1999, Cisco Systems, Inc. 10-* Part.2 用访问列表控制telnet（远程登录） 如何控制vty访问 0 1 2 3 4 Virtual ports (vty 0 through 4) Physical port (e0) (Telnet) 使用标准访问列表语句 用 access-class 命令应用访问列表 在所有vty通道上设置相同的限制条件 Router# e0 虚拟通道的配置 指明vty通道的范围 在访问列表里指明方向 access-class access-list-number {in|out} line vty#{vty# | vty-range} Router(config)# Router(config-line)# 虚拟通道访问举例 只允许网络 内的主机连接路由器的 vty 通道 R（config）#access-list 3 permit 55 R（config）#line vty 0 4 R（config-line）#login R（config-line）#password cisco R（config-line）#access-class 3 in Controlling Inbound Access ? 1999, Cisco Systems, Inc. 10-* Part.3配置扩展的访问控制列表 扩展 IP 访问列表的配置 Router(config-if)# ip access-group access-list-number { in | out } 在端口上应用访问列表 设置访问列表的参数 Router(config)# access-list access-list-number { permit | deny } protocol source source-wildcard [operator port] destination destination-wildcard [ operator port ] [ established ] [log] 扩展访问列表应用举例 1 拒绝子网 的数据使用路由器e0口ftp到子网 允许其它数据 3 E0 S0 E1 Non- access-list 101 deny tcp 55 55 eq 21 access-list 101 deny tcp 55 55 eq 20 access-list 101 permit ip any any (implicit deny all) (access-list 101 deny ip 55 55) 扩展访问列表应用举例 1 拒绝子网 的数据使用路由器e0口ftp到子网 允许其它数据 access-list 101 deny tcp 55 55 eq 21 access-list 101 deny tcp 55 55 eq 20 access-list 101 permit ip any any (implicit deny all) (access-list 101 deny ip 55 55) interface ethernet 1 ip access-group 101 out 3 E0 S0 E1 Non- 扩展访问列表应用举例 2 拒绝子网 内的主机使用路由器的 E0 端口建立Telnet会话 允许其它数据 3 E0 S0 E1 Non- access-list 101 deny tcp 55 any eq 23 access-list 101 permit ip any any (implicit deny all) 扩展访问列表应用举例 2 拒绝子网 内的主机使用路由器的 E0 端口建立Telnet会话 允许其它数据 access-list 101 deny tcp 55 any eq 23 access-list 101 permit ip any any (implicit deny all) interface ethernet 0 ip access-group 101 out 3 E0 S0 E1 Non- ? 1999, Cisco Systems, Inc. 10-* Part.4 配置命名的访问控制列表 Router(config)# ip access-list { standard | extended } name Router(config {std- | ext-}nacl)# { permit | deny } { ip access list test conditions } { permit | deny }