ACL理论+LAB

baiyunjn

　　一、ACL分类：
　　标准ACL：表号1~99
　　基于源IP地址控制数据包。
　　扩展ACL：表号100~199
　　基于源IP地址，目的IP地址，端口号，协议类型。
　　二、ACL规则：
　　1、ACL从上往下匹配。
　　2、每一个ACL列表都有一条默认deny any的语句。
　　3、ACL中把具体的表号放在最前面。
　　4、ACL表中至少需要有一条permit语句。
　　5、标准ACL放在离目的近的地方，扩展ACL放在离源近的地方。
　　6、每一个接口的一个方向只应用一个ACL列表。
　　三、实验

　　需求一：只允许R3和R1通信，不允许R4和R1通信。
　　需求二：允许R3可以telnet R1&R3不允许ping通过R1；不允许R4 telnet R2&允许R4ping通过R1。
　　需求一解法：



命令配置：
R2
创建方法一：
access-list 1 deny host 24.1.1.4 #创建拒绝源地址为R4数据包的标准ACL列表。
access-list 1 permit any #创建允许其他（any）的访问，包括R1的标准ACL列表。
!
调用：
interface Serial1/0
ip address 12.1.1.2 255.255.255.0
ip access-group 1 out #调用标准访问控制列表1
!
删除：
R2(config)#no access-list 1 #删除标准ACL列表。
!
创建方法二：
ip access-list standard ccna #创建命名式ACL。
deny host 24.1.1.4
permit any
!
R2(config)#no ip access-list standard ccna #删除标准ACL列表。
!

调用：
interface Serial1/0
ip address 12.1.1.2 255.255.255.0
ip access-group ccna out #调用标准访问控制列表ccna




配置命令检查：
R2#show ip access-lists
Standard IP access list ccna
10 deny 24.1.1.4
20 permit any


　　



验证：
R3(config-if)#do ping 12.1.1.1 #允许R3访问R1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 12.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 20/34/64 ms
------------------------------------------------------------------------------------------------
R4(config-if)#do ping 24.1.1.1 #禁止R4访问R1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 24.1.1.1, timeout is 2 seconds:
UUUUU
------------------------------------------------------------------------------------------------
R2#show ip access-lists
Standard IP access list 1
10 deny   24.1.1.4 (10 matches) #有match的匹配值，证明acl有数据包匹配。
20 permit any (5 matches)
　　需求二解法：



命令配置：
R2
ip access-list extended ccna
deny   icmp host 23.1.1.3 host 12.1.1.1
deny   tcp host 24.1.1.4 host 12.1.1.1 eq telnet
permit ip any any
!
interface Serial1/0
ip access-group ccna out


验证：
R3#ping 12.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 12.1.1.1, timeout is 2 seconds:
UUUUU
Success rate is 0 percent (0/5)
！
R3#telnet 12.1.1.1
Trying 12.1.1.1 ... Open

User Access Verification
Password:
------------------------------------------------------------------------------------
R4#ping 12.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 12.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 16/35/56 ms
！
R4#telnet 12.1.1.1
Trying 12.1.1.1 ...
% Destination unreachable; gateway or host down