访问控制列列表

rhces

1、ACL访问控制列表概述

访问控制列表时应用在路由器接口的命令列表，这些命令列表告诉路由器哪些ip数据包可以接受、哪些ip数据包需要拒绝。至于ip数据包时被接受还是被拒绝，可以是由源ip地址、目的ip地址、源端口和目的端口、协议等特定的指示条件来确定。

通过建立访问控制列表，路由器可以限制网络流量，提高网路性能，对通信流量起到控制的作用，实现对流入和流出的ip数据包进行过滤，这也是网络访问的基本安全手段，换句话说，路由器的访问控制列表可以实现包过滤防火墙的作用。

在路由器的许多配置任务中都需要用到访问控制列表，如网络地址转换NAT、Qos等。

2、访问控制列表的分类

标准访问控制列表：只能针对ip数据包的源ip地址来决定是否过滤数据包，思科编号1~99。

‚扩展访问控制列表：根据ip数据包的源地址、目的地址、源端口、目的端口和协议类型来决定是否过滤数据包，应用要比标准的灵活，思科编号100~199。

3、当数据包到达过滤数据包的路由器时，路由器会从数据包报头中提取某些信息，根据过滤规则决定该数据包是应该通过还是应该丢弃.

ACL 可以从数据包报头中提取以下信息，根据规则进行测试，然后决定是“允许”还是“拒绝”：

源 IP 地址

目的 IP 地址

ICMP 消息类型

ACL 也可以提取上层信息并根据规则对其进行测试。上层信息包括：

TCP/UDP 源端口

TCP/UDP 目的端口

4、ACL 执行以下任务:

---限制网络流量以提高网络性能.

---提供流量控制，ACL 可以限制路由更新的传输.

---提供基本的网络访问安全性。

---ACL 可以允许一台主机访问部分网络，同时阻止其它主机访问同一区域。

---决定在路由器接口上转发或阻止哪些类型的流量。

---控制客户端可以访问网络中的哪些区域。

---屏蔽主机以允许或拒绝对网络服务的访问。ACL 可以允许或拒绝用户访问特定文件类型，例如 FTP 或 HTTP.

5、

6、ACL要么用于入站流量，要么用于出站流量，这里的出站和入站指的是数据包；流出和流入路由器。入站ACL传入数据包经过处理后才会被路由到出站接口。入站ACL很高效，如果数据包被丢弃则节省了执行路由的开销。当检查了ACL允许通过的时候，路由器才会处理路由工作。出站ACL对路由到这个接口的数据包进行处理。

7、思科的是默认决绝所有通过，所以如果指定的规则都是拒绝型的将没有任何的意义；华为的正好相反，是允许所有的通过。

8、创建控制访问控制类列表的步骤：

创建访问控制列表

‚定义允许或禁止ip数据包的描述语句

ƒ将访问控制列表应用到具体的路由器接口上

标准访问控制列表实例一：只允许一台主机访问外网，通过编号进行配置

如图，路由器上有两个接口，快速以太网接口f0/0连接内网，f0/1连接外网，外网我用一台pc来模拟，假设现在我要求只允许内网ip地址为210.30.10.20的主机访问外网，禁止其他的pc访问外网，该如何来做呢？

各设备的ip参数如下，设置这些参数的过程省略，下面只看在路由器上应该如何来配置，这里我用packet trace5.3来实现:

在没有配置访问列表控制之前，左边内网中的两台机器来ping右边的机器都是可以ping通的！下面对路由器进行访问列表配置：

Router(config)#access-list 10 permit 210.31.10.20 0.0.0.0

Router(config)#inter f0/0

Router(config-if)#ip access-group 10 in

这时候就只有210.31.10.20的机器可以ping通192网段的机器！

对以上配置的几点说明：

标准访问控制列表时处于1~99之间，可以使用这个范围的任意编号，并且标准访问控制列表只是根据ip数据包的源ip地址进行过滤。

‚关键字permit/allow指定是允许还是拒绝ip数据包。

ƒ路由器使用通配符掩码和ip地址一起来分辨匹配的ip地址，在通配符掩码中，如果是二进制的0表示必须匹配，如果是二进制的1表示可以不匹配。

＠在接口模式下，访问控制列表将每个接口定义了两个方向，即in和out方向，前者代表流入接口的方向，后者代表流出的方向。

标准访问控制列表实例二：只允许一个子网访问外网，通过命名进行配置

如下图，f0/0连接着一个子网192.168.20.0，f0/1连接着一个子网192.168.10.0，这两个子网分拿一台pc来充当，外网我也拿一台pc来充当，ip是210.31.10.2，拓扑图及相关的参数如下：

按如图配置参数，其中的掩码均为24位，别忘记给pc机指定网关！

在没有配置访问控制列表之前，所有的机器都是可以相互ping通的。下面给路由器做访问控制，只让10.0网段的机器可以通过：

Router(config)#ip access-list standard test1

Router(config-std-nacl)#permit 192.168.10.0 0.0.0.255

Router(config-std-nacl)#deny any

Router(config-std-nacl)#exit

Router(config)#int e1/0

Router(config-if)#ip access-group test1 out

这样就达到了要求！

扩展访问控制列表实例：端口和协议访问控制

如图路由器连接两个不同的网络，第二个网络的210.31.20.2主机是一个www服务器，为了这个服务器的安全，现在要求210.31.10.0网络不能通过ICMP协议访问服务器，但是可以访问服务器的www服务，各个设备的ip参数如下，掩码均为24位长：

配置好各个ip参数后，任何两个ip都可以ping通，ping运用的正是ICMP协议，下面在路由器上设置访问控制列表：

Router(config)#access-list 110 permit tcp 210.31.10.0 0.0.0.255 host 210.31.20.2 eq 80

//创建编号为110的扩张访问控制列表，允许源ip地址为210.31.10.0的数据包通过tcp连接访问目的ip地址是210.31.20.2的80端口，即www服务

Router(config)#access-list 110 deny icmp 210.31.10.0 0.0.0.255 host 210.31.20.2

//编号为110的扩展访问控制列表，拒绝源ip地址为210.31.10.0ICMP数据包访问目的ip地址210.31.20.2

Router(config)#inter f0/0

Router(config-if)#ip access-group 110 in

//设置在f0/0接口的入站方向上，按照编号为110的访问控制列表对ip数据包进行过滤。

以上配置需要说明的是，扩展访问控制列表编号的范围是100~199之间，可以使用这个范围的任意编号，并且可以根据ip数据包的源地址、目的地址、源端口、目的端口、协议类型等信息进行过滤。

0

与时俱进，你我共赴高潮!

lipeng

打破老婆终身制，实行小姨股份制。引入小姐竞争制，推广情人合同制。

-★出爺;3

走自己的路，让别人打车去吧。

吸毒的虫子

学习了，谢谢分享、、、

xiguaqq20

走，MM，咱们化蝶去……

wuaji

恋爱就是无数个饭局，结婚就是一个饭局。