access—list（访问控制列表）

《access—list（访问控制列表）》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、ACCESS—LIST（访问控制列表）访问列表的应用1配置访问列表的规则1ConfiguringStandardIPAccessLists2ControlvtyAccessWithAccessClass2ConfiguringExtendedIPAccessLists3ConfiguringAssignnametoIPAccessLists命名IP访问列表4查看ACL具体配置4常见配置5访问列表的应用随着网络访问的增长，管理IP传输当通过路由器时对数据包实现包过滤一方面要提高网络性能：网络中经常会出现大量的广播，有些广播要透过路由器的（X.X.X.255等），需要一张列表将此类广播过滤掉。

2、另一方面出于安全考虑，如内部网络中链到Internet要求内部可以访问到外面，而内部的所有服务都不能被外部所访问（web、DNS、FTP、Telnet等。还有时从费用考虑：拨号时按需拨号，过滤怎么样的流量可以激活拨号，怎么样的流量不触发拨号。配置访问列表的规则一个访问列表可以应用到多个接口上。创建访问列表时，只使用在Cisco定义的协议及列表类型范围内的访问权限表号。但对于每个协议、每个方向、每个接口只能有一个访问列表。对于每个接口而言，允许有多个访问权限表，但每个列表必须用于不同的协议。条件顺序自上而下的处理：-组织好访问权限表，给出网络或子网中较为明确。-后加入的条件置于访问权限表的末

3、端，但应放在“隐式拒绝”之前。-在使用编了号的访问列表时，不能选择加入或删除列表中的语句。命名列表可以一条条删。隐式全部拒绝：-除非以一个“显示全部允许”参数作为反问列表的结尾，否则访问列表在默认情况下会决绝这些与访问权限表中所有条件都不匹配的通信量。-每个访问列表至少都应该有一个允许语句，否则将拒绝所有通讯量。创建访问列表应在接口使用该表之前，没有或没定义访问列表的接口允许所有通信量通过。访问列表只能过滤通过路由器的通信量，但不能过滤路由器产生的通讯量。ConfiguringStandardIPAccessLists只基于源地址的过滤允许或拒绝整个TCP/IP协议栈范围是1-991300

4、-1999Router(config)#access-listaccess-list-number{permit

5、deny}source[mask]•IPstandardaccesslistsuse1to99•Defaultwildcardmask=0.0.0.0Router(config-if)#ipaccess-groupaccess-list-number{in

6、out}•绑定到指定的接口•设置inbound还是outbound时过滤•Default=OutboundControlvtyAccessWithAccessClassConfig)#linevty{#

7、vty-range}

8、使用line命令将路由器置于行配置模式。•#指定一条要配置的vty线路。•Vty-range指定了配置起作用的vty线路的范围Router(config-line)#access-classaccess-list-number{in

9、out}•使用access-class命令，将一个现存的访问列表连接到一条终端线或某个范围内的终端线路上。•Access-list-number指明了将要连接到终端线路上的访问列表的号（1—99）。•In：阻止路由器接收访问权限表中源地址的telnet连接。•Out：阻止路由器vty端口到访问列表中地址的telnet连接。（访问列表中指定的源地址被视为目标地址

10、）例：access-list12permit192.89.55.00.0.0.255!linevty04access-class12inConfiguringExtendedIPAccessLists基于源、目标地址与源、目标端口号的过滤器指定一个特定的IP协议与端口号.范围是100-1992000-2699Router(config)#在列表中设置所有的参数access-listaccess-list-number{permit

11、deny}protocolsourcesource-wildcard[operatorport]destinationdestination-wildcard[

12、operatorport][established][log]Access-list-number：100—199之间Permit/deny：允许还是拒绝Protocol：可以是IP、TCP、UDP、ICMP、IGRP等Soure/destination：源或目标的网段或IPSoure-wildcard/destination-wildcard：源或目标的网段或IP的匹配符掩玛Operatorport：可以是lt（小于）