第7章 ACL与防火墙.pptVIP

第7章 ACL与防火墙(教材第9章)(共8学时) 本章主要讲述使用ACL及防火墙控制网络流量的原理与方法。 要求掌握内容： (1) ACL及其配置； (2) 防火墙及其配置。 第7章 ACL及防火墙 7.1 访问控制列表 7.2 配置标准访问控制列表 7.3 配置扩展访问控制列表 7.4 命名的访问列表 7.5 防火墙技术 本章小结 本章习题 本章实训 7.1 访问控制列表 访问控制列表简称ACL(Access Control Lists)，它是网络管理过程中最常使用的网络控制技术。配置路由器的访问控制列表是网络管理员一件经常性的工作。 本节介绍ACL的概念、功能及其工作原理。 7.1.1 ACL概述 访问控制列表(ACL) 使用包过滤技术，在路由器上读取第3层或第4层包头中的信息，如源地址、目的地址、源端口、目的端口以及上层协议等，根据预先定义的规则决定哪些数据包可以接收、哪些数据包需要拒绝，从而达到访问控制的目的。 　 ACL的功能 检查和过滤数据包。ACL通过将访问控制列表应用到路由器接口来管理流量和检查特定的数据包。任何经过该接口的流量都要接受ACL中规则的检测，以此决定被路由的分组是被转发还是被丢掉，从而过滤网络流量。例如，可以允许E-mail流量被路由，但同时阻塞所有Telnet流量。 限制网络流量，提高网络性能。ACL能够按照优先级或用户队列处理数据包。通过排队确保路由器不去处理那些不需要的分组。排队限制了网络流量，减少了网络拥塞。 限制或减少路由更新的内容。ACL能够限定或简化路由器选择更新的内容，这些限定常用于限定关于特定网络的信息通过网络传播。 提供网络访问的基本安全级别。通过在路由器上配置ACL，可以允许一个主机访问网络的一部分，而阻止其他主机访问相同的区域。 配置ACL的原则 顺序处理原则。对ACL表项的检查是按照自上而下的顺序进行的，从第一行起，直到找到第一个符合条件的行为止，其余的行不再继续比较。因此必须考虑在访问控制列表中放入语句的次序，常用的语句最好放在ACL的最顶部。 最小特权原则。对ACL表项的设置应只给受控对象完成任务所必须的最小的权限。如果没有ACL，则等于permit any。一旦添加了ACL，默认在每个ACL中最后一行为隐含的拒绝(deny any)。如果之前没找到一条许可(permit)语句，意味着包将被丢弃。所以每个ACL必须至少有一行permit语句，除非用户想将所有数据包丢弃。 最靠近受控对象原则。尽量考虑将扩展的ACL放在靠近源地址的位置上。这样创建的过滤器就不会反过来影响其他接口上的数据流。另外，尽量使标准的ACL靠近目的地址，由于标准ACL只使用源地址，如果将其靠近源会阻止报文流向其他端口。 7.1.2 ACL的工作流程图 7.1.3 数据报的传输流程 无论是否使用ACL，开始的通信过程是相同的。 当一个数据报进入一个端口，路由器检查这个数据报是否可路由。 如果是可以路由的，路由器检查这个端口是否有ACL控制进入数据报。 如果有，根据ACL中的条件指令，检查这个数据报。 如果数据报是被允许的，就查询路由表，决定数据报的目标端口。 路由器检查目标端口是否存在ACL控制流出的数据报 不存在，这个数据报就直接发送到目标端口。 如果存在，就再根据ACL进行取舍。 数字命名方式 使用不同的数字范围代表不同的ACL(见下图)。一般在路由器或防火墙上使用。 对于一个新的ACL，可以选择不同的数字，只要其在协议数字范围之内。 命令格式： access-list list-number 规则 使用命令：“no access-list list-number” 就可以删除整个ACL的指令，它不允许只删除该ACL的某一条指令。 命名的访问列表 可以使用字符串代替数字，来标识ACL，称为命名ACL或具名ACL。 使用命名ACL可以在不删除整个ACL的情况下修改它。 具名ACL用于以下一些情况： 想用字符串直观标识一个ACL。 在路由器上，对于给定的协议，需要配置超出了99个标准ACL或者100个扩展ACL。 在使用具名ACL的时候，需要考虑到以下的因素： 命名ACL不能在Cisco IOS 11.2之前的版本上使用。 不能为多个ACL使用相同的名字。 不同类型的ACL不能使用相同的名字。例如，不能使用同一个名字来命名一个标准ACL和一个扩展ACL。 命令格式： Router(config)# ip access-list {extended | standard} 名称 7.2 配置标准访问控制列表 　最广泛使用的访问控制列表是IP访问控制列表，IP访问控制列表工作于TCP/IP协议组。按照访问控制列表检查IP数据包参数的不同，可以将其分成标准