cisco-router-访问控制列表ACL策略

(^o^)/~完美

　　
　　（以下所有内容为本手纯手打，有纰漏的地方，也请大家多多包含可发小猪消息赐教交流！）
　　（本文所有内容及批注呈内收递归的架构显示，因格式显示不懂之处望谅解！）
　　（本文手打之，命令关键字大多使用简写，如有不明最好是键入命令时惯用tab补全！）
　　访问控制列表ACL-小猪详谈：
　　简单总结：
　　（接口启用应用acl后，所有acl只有应用到接口上才起作用，执行出入规则允许或拒绝，默认为丢弃！）
　　（包过滤技术，过滤三四层包头信息，网络层和会话层）
　　（标准访问控制列表，扩展访问控制列表，命名访问控制列表、动态acl-通过定义时间段-这里不做详解）
　　（标准和扩展都无法随意更改编辑规则，命名的则可）
　　（标准和扩展acl删除是只能删除真个表，而不能只删除其中的一个规则语句）
　　（标准acl规则一般应用到离目标地址较近的路由口上，扩展acl则一般应用在离源地址较劲的路由口上）
　　1、标准访问控制列表配置：
　　（只根据数据包的源ip地址进行执行规则允许或拒绝）
　　router(config)#access-list access-list-number {permit |deny } source [souce-wildcard]
　　access-list-number:acl表号，标准acl表号范围：1-99
　　permit | deny ：允许或拒绝规则命令关键字
　　source：数据包源ip地址，可以是网段也可以是主机地址
　　source-wildcard：反码（通配符掩码）
　　举例配置如下：
　　access-list 1 permit 192.168.1.0 0.0.0.255    (表示允许此网段通过）
　　access-list 1 deny 192.168.1.1 0.0.0.0  (表示拒绝192.168.1.1这个ip主机出入）
　　access-list 1 deny 0.0.0.0 255.255.255.255 (此为默认隐藏的拒绝所有语句置于每个acl最后）
　　access-list 1 permit host 192.168.1.100 (这里host为主机关键字，当配置单个ip时使用）
　　access-list 1 deny any  (这里any为所有关键字，当配置针对所有ip规则时使用）
　　no access-list access-list-number   (此为删除某个acl表）
　　(标准acl中，使用host命令时，可以省略）
　　router(config）#int f*/*
　　router(config-if)#ip access-group access-list-number {in | out}
　　(将acl策略应用到接口上使用并开始执行工作，no则取消工作）
　　（每个方向上只能有一个acl，每个接口最多两个acl，一个入方向，一个出方向，不可重叠）
　　2、扩展访问控制列表配置：
　　（可根据源ip、目标ip、指定协议、端口号以及标志来定义允许拒绝规则）
　　router(config)#access-list access-list-number {permit|deny} protocol {source source-wildcard destination destination-wildcard} [operator operan]
　　access-list-number :表号100-199
　　protocol:定义协议类型，如ip、icmp、tcp、udp
　　destination：目的地址，同理，后面的为目的地址的反掩码
　　operator operan：lt小于、gt大于、eq等于、neq不等于一个端口号,用于定义协议端口
　　举例配置如下：
　　access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
　　（允许192.168.1.0 访问192.168.2.0）
　　access-list 100 deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.1 eq 21
　　（拒绝192.168.1.0的主机访问192.168.2.1的ftp服务）
　　access-list 100 deny icmp 192.168.1.0 0.0.0.255 host 192.168.2.1 echo
　　（拒绝192.168.1.0的主机ping192.168.2.1的icmp请求）
　　no access-list access-list-number  (删除已经创建的acl规则表）
　　router(config）#int f*/*
　　router(config-if)#ip access-group access-list-number {in | out}
　　(将acl策略应用到接口上使用并开始执行工作，no则取消工作）
　　3、命名访问控制列表配置：
　　（过滤规则允许可以在标准和扩展规则中使用名称代替表号）
　　router(config)#ip access-list {standard|extended} access-list-name  (创建acl）
　　standard|extended：表示创建标准还是扩展acl关键字
　　access-list-name :由字母数字组成的字符串，为acl表名
　　举例配置如下：
　　router(config)#ip access-list standard test1   (创建标准命名acl表）
　　router(config-std-nacl)#[sequence-number] {permit|deny} source [source wildcard]
　　(sequence-number:此为命名acl语句在acl表中的位置序号，默认是10,20，依次类推）
　　(sequence-number对acl作用可随意修改编辑删除命名acl表中的任意语句）
　　router(conifg)#ip access-list extended test2   (创建扩展命名acl表）
　　router(config-ext-nacl)#[sequence-number] {permit|deny} protocol {source s-wildcard distination d-wildcard } [operator operan]
　　router(config-std-nacl)#no 10   (在标准命名acl子模式下，可以直接编辑删除其语句）
　　router(config)#no ip access-list standard test1  （删除整条acl表）
　　详细举例配置如下：
　　router(config)#ip acc stan test3
　　router(config-sta-nacl)#permit 192.168.1.0
　　router(config-sta-nacl)#deny any
　　router(config)#ip acc ext test4
　　router(config-ext-nacl)#deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.1 eq 21
　　router(config-ext-nacl)#15 deny ip host 192.168.1.1 host 192.168.2.1
　　router(config-ext-nacl)#16 permit any any
　　router(config）#int f*/*
　　router(config-if)#ip access-group access-list-number {in | out}
　　(将acl策略应用到接口上使用并开始执行工作，no则取消工作）
　　举例配置如下：
　　router(config)#int f0/0
　　router(config-if)#ip access-g test1 in
　　router(config-if)#ip access-g test2 out
　　(以上为cisco路由设备上acl的整体配置，到此结束，需要多练，应多了解不同规则策略！下期小猪将给大家整理cisco-sw-三层交换-VLAN间路由协议，敬请关注！）