第6章使用访问控制列表管理数据流.pptVIP

第6章 本章目标 通过本章的学习，您应该掌握以下内容： 了解访问列表的基本知识； 知道访问列表的功能和工作原理； 掌握如何配置标准IP访问列表、扩展IP访问列表，如何控制VTY接入。 访问列表的应用 访问列表的其它应用 什么是访问列表--标准 什么是访问列表--扩展 什么是访问列表 （出站）访问列表的工作原理 访问列表是由一系列语句组成的列表。 ACL语句包括两个动作： 拒绝（deny）：即拒绝数据包通过，过滤掉数据包； 允许（permit）：即允许数据包通过，不过滤数据包。 访问列表配置指南 访问列表的编号指明了使用何种协议的访问列表 每个端口、每个方向、每条协议只能对应于一条访问列表 访问列表的内容决定了数据的控制顺序 具有严格限制条件的语句应放在访问列表所有语句的最上面 访问列表配置指南 在访问列表的最后有一条隐含声明：deny any，每一条正确的访问列表都至少应该有一条允许语句 先创建访问列表，然后应用到端口上 访问列表不能过滤由路由器自己产生的数据 访问列表设置命令 如何识别访问列表号 IP地址与通配符掩码的作用规则 32位的IP地址与32位的通配符掩码（ Wildcard mask ）逐位进行比较，通配符掩码为“0” 的位要求IP地址的对应位必须匹配，通配符掩码为“1”的位所对应的IP地址位不必匹配。 IP地址与通配符掩码的作用规则 IP地址与通配符掩码的作用规则 IP地址与通配符掩码的作用规则 IP地址与通配符掩码的作用规则 通配符掩码的两种特殊形式： 表示某个特定IP地址，可用host表示，如： access-list 10 permit 9 可以简写为： access-list 10 permit host 9 IP地址与通配符掩码的作用规则 通配符掩码的两种特殊形式： 所有主机: 55可以用 any 简写，如： access-list 10 permit 55 可以简写为： access-list 10 permit any 两种访问列表 IP网络的访问列表称为IP 访问列表。 IP访问列表可分为标准IP访问列表和扩展IP访问列表。 标准IP访问列表：只对数据包中的源地址进行检查。 扩展IP访问列表：对数据包中的源地址、目的地址、协议（如TCP，UDP，ICMP，Telnet，FTP等）或者端口号进行检查。 标准IP访问列表的配置 标准IP访问列表的配置 标准访问列表举例 1 标准访问列表举例 2 标准访问列表举例 3 扩展访问列表应用举例 1 扩展访问列表应用举例 1 扩展访问列表应用举例 2 扩展访问列表应用举例 2 查看访问列表 查看访问列表的语句 访问列表放置的位置 正确地放置访问列表可以减少不必要的数据流。 标准访问列表不能指定目标地址，应将其放在离目的地尽可能近的地方。例：拒绝网段1访问网段3 访问列表放置的位置 扩展访问列表应放在离禁止通过的数据流源尽可能近的地方。例：拒绝网段1访问网段3 用访问列表控制vty访问 Vty：虚拟终端会话 五个虚拟通道 (0 到 4) 路由器的vty端口可以过滤数据 在路由器上执行vty访问的控制 如何控制vty访问 虚拟通道的配置 虚拟通道访问举例 本章总结 通过本章的学习，您应该掌握以下内容： 了解访问列表的基本知识； 知道访问列表的功能和工作原理； 知道标准IP访问列表和扩展IP访问列表的区别； 掌握如何配置标准IP访问列表、扩展IP访问列表，如何控制VTY接入。 Slide 1 of 1 Purpose: Emphasize: Slide 3 of 3 Purpose: Emphasize: Layer 3—Adds the Novell IPX access lists covered in the IPX chapter and the number ranges for these types of access lists. As of Release 11.2.4(F), IPX also supports named access lists. Point out that number ranges generally allow 100 different access lists per type of protocol. When a given hundred-number range designates a standard access list, the rule is that the next hundred-number range is for extended access lists for that protocol. Exceptions