《思科课件访问控制列表ACL的配置》PPT课件

《《思科课件访问控制列表ACL的配置》PPT课件》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、课题四　访问控制列表（ACL）的配置本课题主要内容使用标准访问控制列表和扩展访问控制列表控制网络流量的方法标准访问控制列表和扩展访问控制列表以及在路由接口应用ACL的实例。4.1访问控制列表4.4.1访问控制列表概述一、概念访问控制列表简称ACL(AccessControlLists），它使用包过滤技术，在路由器上读取第3层或第4层包头中的信息，如源地址、目的地址、源端口、目的端口以及上层协议等，根据预先定义的规则决定哪些数据包可以接收、哪些数据包需要拒绝，从而达到访问控制的目的。配置路由器的访问控制列表是

2、网络管理员一件经常性的工作。图4-1-1网络中使用ACL访问控制列表Internet4.4.1访问控制列表概述二、组成4.4.1访问控制列表概述三、ACL的作用ACL的作用主要表现在两个方面：一方面保护资源节点，阻止非法用户对资源节点的访问；另一方面限制特定的用户节点所能具备的访问权限。（1）检查和过滤数据包。（2）限制网络流量，提高网络性能。（3）限制或减少路由更新的内容。（4）提供网络访问的基本安全级别。4.1.2ACL的工作原理一、工作原理当一个数据包进入路由器的某一个接口时，路由器首先检查该数据包是否

3、可路由或可桥接。然后路由器检查是否在入站接口上应用了ACL。如果有ACL，就将该数据包与ACL中的条件语句相比较。如果数据包被允许通过，就继续检查路由器选择表条目以决定转发到的目的接口。ACL不过滤由路由器本身发出的数据包，只过滤经过路由器的数据包。下一步，路由器检查目的接口是否应用了ACL。如果没有应用，数据包就被直接送到目的接口输出。图4-1-2ACL匹配性检查是非到达访问控制组接口的数据包匹配第一步匹配第二步匹配最后一步……数据包垃圾桶目的接口是允许？是是非非非非4.1.2ACL的工作原理二、ACL匹配

4、性检查4.2配置标准访问控制列表最广泛使用的访问控制列表是IP访问控制列表，IP访问控制列表工作于TCP/IP协议组。按照访问控制列表检查IP数据包参数的不同，可以将其分成标准ACL和扩展ACL两种类型。此外CiscoIOS11.2版本中还引入了IP命名ACL类型。从本节开始分别介绍各种ACL的配置方法。4.2.1标准ACL的工作过程图4-2-1标准ACL的工作过程4.2.2配置标准ACL一、在路由器上RTB上配置如下：RTB(config)#access-list1permithost172.16.10.1

5、0RTB(config)#access-list1deny172.16.10.00.0.0.255RTB(config)#access-list1permitanyRTB(config)#interfaces0/0RTB(config-if)#ipaccess-group1in二、呼入Telnet会话管理参数描述access-list-number访问控制列表表号，用来指定入口属于哪一个访问控制列表。对于标准ACL来说，是一个从1到99或1300到1999之间的数字Deny如果满足测试条件，则拒绝从该入口来的

6、通信流量Permit如果满足测试条件，则允许从该入口来的通信量Source数据包的源地址，可以是网络地址或是主机IP地址source-wildcard可选项）通配符掩码，又称反掩码，用来跟源地址一起决定哪些位需要匹配Log（可选项）生成相应的日志消息，用来记录经过ACL入口的数据包的情况三、在通配符掩码中有两种比较特殊，分别是any和host。any可以表示任何IP地址，例如：Router(config)#access-list10permit0.0.0.0255.255.255.255等同于：Router(

7、config)#access-list10permitanyhost表示一台主机，例如：Router(config)#access-list10permit172.16.30.220.0.0.0等同于：Router(config)#access-list10permithost172.16.30.22另外，可以通过在access-list命令前加no的形式，来删除一个已经建立的标准ACL，使用语法格式如下：Router(config)#noaccess-listaccess-list-number例如：Rou

8、ter(config)#noaccess-list104.3配置扩展访问控制列表4.3.1扩展ACL的工作过程图4-3-1扩展ACL的工作过程4.3.2配置扩展ACLRouter(config)#access-listaccess-list-number{deny

9、permit}protocolsource[source-wildcarddestinationdestination-wildcard