ACL原理和基本配置ppt课件.ppt

《ACL原理和基本配置ppt课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、ACL原理和基本配置日期：要增强网络安全性，网络设备需要具备控制某些访问或某些数据的能力。ACL包过滤是一种被广泛使用的网络安全技术。它使用ACL来实现数据识别，并决定是转发还是丢弃这些数据包。由ACL定义的报文匹配规则，还可以被其它需要对数据进行区分的场合引用。引入1ACL概述ACL包过滤原理ACL分类配置ACL包过滤ACL包过滤的注意事项目录2ACL概述ACL（AccessControlList，访问控制列表）是用来实现数据包识别功能的ACL可以应用于诸多方面包过滤防火墙功能NAT（NetworkA

2、ddressTranslation，网络地址转换）QoS（QualityofService，服务质量）的数据分类路由策略和过滤按需拨号3ACL概述ACL包过滤原理ACL分类配置ACL包过滤ACL包过滤的注意事项目录4基于ACL的包过滤技术对进出的数据包逐个过滤，丢弃或允许通过ACL应用于接口上，每个接口的出入双向分别过滤仅当数据包经过一个接口时，才能被此接口的此方向的ACL过滤入方向过滤入方向过滤出方向过滤出方向过滤接口接口路由转发进程5入站包过滤工作流程匹配第一条规则数据包入站匹配第二条规则匹配最后一

3、条规则丢弃通过YesPermit是否配置入方向ACL包过滤NoPermitDenyPermitDefaultPermitDenyDenyDefaultDeny数据包进入转发流程NoNoNo检查默认规则设定6出站包过滤工作流程匹配第一条规则数据包到达出接口匹配第二条规则匹配最后一条规则丢弃通过YesPermit是否配置出方向ACL包过滤NoPermitDenyPermitDefaultPermitDenyDenyDefaultDeny数据包出站NoNoNo检查默认规则设定7通配符掩码通配符掩码和IP地址结

4、合使用以描述一个地址范围通配符掩码和子网掩码相似，但含义不同0表示对应位须比较1表示对应位不比较通配符掩码含义0.0.0.255只比较前24位0.0.3.255只比较前22位0.255.255.255只比较前8位8通配符掩码的应用示例IP地址通配符掩码表示的地址范围192.168.0.10.0.0.255192.168.0.0/24192.168.0.10.0.3.255192.168.0.0/22192.168.0.10.255.255.255192.0.0.0/8192.168.0.10.0.0.0

5、192.168.0.1192.168.0.1255.255.255.2550.0.0.0/0192.168.0.10.0.2.255192.168.0.0/24和192.168.2.0/249ACL概述ACL包过滤原理ACL分类配置ACL包过滤ACL包过滤的注意事项目录10ACL的标识利用数字序号标识访问控制列表可以给访问控制列表指定名称，便于维护访问控制列表的分类数字序号的范围基本访问控制列表2000～2999扩展访问控制列表3000～3999基于二层的访问控制列表4000～4999用户自定义的访问控

6、制列表5000～5999基本ACL基本访问控制列表只根据报文的源IP地址信息制定规则接口接口从1.1.1.0/24来的数据包不能通过从2.2.2.0/28来的数据包可以通过DA=3.3.3.3SA=1.1.1.1DA=3.3.3.3SA=2.2.2.1分组分组12高级ACL高级访问控制列表根据报文的源IP地址、目的IP地址、IP承载的协议类型、协议特性等三、四层信息制定规则接口接口从1.1.1.0/24来，到3.3.3.1的TCP端口80去的数据包不能通过从1.1.1.0/24来，到2.2.2.1的TC

7、P端口23去的数据包可以通过DA=3.3.3.1,SA=1.1.1.1TCP,DP=80,SP=2032DA=2.2.2.1,SA=1.1.1.1TCP,DP=23,SP=3176分组分组13二层ACL与用户自定义ACL二层ACL根据报文的源MAC地址、目的MAC地址、802.1p优先级、二层协议类型等二层信息制定匹配规则用户自定义ACL可以根据任意位置的任意字串制定匹配规则报文的报文头、IP头等为基准，指定从第几个字节开始与掩码进行“与”操作，将从报文提取出来的字符串和用户定义的字符串进行比较，找到匹

8、配的报文。ACL概述ACL包过滤原理ACL分类配置ACL包过滤ACL包过滤的注意事项目录15ACL包过滤配置任务启动包过滤防火墙功能，设置默认的过滤规则根据需要选择合适的ACL分类创建正确的规则设置匹配条件设置合适的动作（Permit/Deny)在路由器的接口上应用ACL，并指明过滤报文的方向（入站/出站）16启动包过滤防火墙功能防火墙功能需要在路由器上启动后才能生效设置防火墙的默认过滤方式系统默认的默认过滤方式是permit[sysnam