第10章使用访问列表管理网络流量.pptVIP

实例2：禁止转出Telnet数据在E0端口，禁止转出来自子网的Telnet数据流，其它的数据流将被转发。第一个ACL命令用“deny”禁止来自子网的Telnet(port=23)数据流。第二个ACL命令表示允许任何的数据流。最后将此ACL101关联到端口E0。access-list101denytcp55anyeq23access-list101permitipanyany(implicitdenyall)interfaceethernet0ipaccess-group101out第30页，共53页，星期日，2025年，2月5日通配掩码通配掩码（wildcardmask）是分成4字节的32bit数。通配掩码与IP地址位位配对，相应位为0/1，用于表示如何对待IP地址中的相应位。通配掩码某位是0，表示检查相应bit位的值；通配掩码某位是1，表示不检查(忽略)相应位的值。ACL使用通配掩码来控制一个或者多个需要进行允许或者禁止检查的IP地址。尽管都是32位，通配掩码与子网掩码不同。在子网掩码中，0/1决定了相应主机IP地址是网络位、子网位还是主机位。在通配掩码中，0/1决定ACL是否检查或者忽略IP地址中的相应位。第31页，共53页，星期日，2025年，2月5日通配掩码的工作原理第32页，共53页，星期日，2025年，2月5日通配掩码举例假设一个B类地址，有8位的子网地址。想使用通配掩码，允许所有来自于网络～网络的数据报访问。第33页，共53页，星期日，2025年，2月5日通配掩码举例假设一个B类地址，有8位的子网地址。想使用通配掩码，允许所有来自于网络～网络的数据报访问。首先，检查前面两个字节(171.30)，通配掩码中的前两个字节位全为0。由于没有兴趣检查主机地址，通配掩码的最后一个字节位全为1。通配掩码的第三个字节应该是15。与之相应的通配掩码是55，将匹配子网到的IP地址。第34页，共53页，星期日，2025年，2月5日通配掩码举例IP地址的第三个字节为16。通配掩码中的前四位为0，告诉路由器要匹配IP地址的前四位(0001)。由于最后的四位被忽略，则所有的在范围16到31的都将被允许，相应的通配掩码位是1。Network.host

00010000Wildcardmask: 00001111 |match|don’tcare| 00010000 = 16 00010001 = 17 00010010 = 18 : : 00011111 = 31第35页，共53页，星期日，2025年，2月5日any命令使用二进制通配掩码很不方便，某些通配掩码可以使用缩写形式替代。这些缩写形式，减少了在配置地址检查条件时候的键入量。假如想允许任何目标地址都被允许，为了检查任何地址，需要输入。要使ACL忽略任意值，通配掩码为：55。可以使用缩写形式，来指定相同的测试条件。Router(config)#access-list1permit55等价于Router(config)#access-list1permitany第36页，共53页，星期日，2025年，2月5日host命令当想匹配IP地址中所有的位时，CiscoIOS允许使用另一个ACL通配掩码的缩写。假如希望一个特定的IP地址，在ACL的检查中获得允许。为了指明这个主机地址，将输入整个地址（如9）。然后，为了指明ACL将检查地址中的所有的位，相应的通配掩码的各位将设置成0（即）。可以使用缩写形式来完成这个任务。Router(config)#access-list1permit9等价于Router(config)#access-list1permi