第5章网络安全技术ppt课件.ppt

《第5章网络安全技术ppt课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第5章网络安全技术张书源5.5访问控制列表访问控制列表（ACL）是一种包过滤防火墙，它可以对通过设备的数据包进行过滤，从而实现对网络中的资源进行访问的访问控制。ACL是一张规则检查表，通过设备的数据包会逐条检查这些规则，有些数据包可以通过，有些则被拒绝。ACL有两种：标准访问控制列表、扩展访问控制列表。三层交换机和路由器都支持访问控制列表。访问控制列表的使用：访问控制列表(ACL)由多条判断语句组成。每条语句给出一个条件和处理方式（允许或拒绝）。设备对收到的数据包按照判断语句的书写次序进行检查，当遇到相匹配的条件时，就按照指定的

2、处理方式进行处理。ACL中各语句的书写次序非常重要，如果一个数据包和某判断语句的条件相匹配时，该数据包的匹配过程就结束了，剩下的条件语句被忽略。ACL语句：一个访问控制列表(ACL)可由多条语句组成，每条ACL语句的形式为：access-list表号处理方式条件1、表号：用于区分各访问控制列表。一台设备中可定义多个ACL，每个ACL使用一个表号。其中针对IP数据报的ACL可使用的表号为：标准访问控制列表：1~99。扩展访问控制列表：100~199。同一个ACL中各语句的表号相同。2、处理方式：取值有permit（允许）和deny

3、（拒绝）两种。当数据包与该语句的条件相匹配时，用给定的处理方式进行处理。3、条件：每条ACL语句只能定义一个条件。例：access-list1permit10.0.0.00.255.255.255这是ACL1中的一条语句；条件为：10.0.0.00.255.255.255当数据包符合此条件时被允许通过。5.5.1标准访问控制列表标准ACL的表号为1~99。标准ACL的条件为源地址条件，格式为：地址通配符掩码检查时，用数据包中的源IP地址与条件相匹配，如果匹配成功，则用语句中指定的处理方式处理；如果匹配不成功，则检查下一条语句。通

4、配符掩码：通配符掩码决定了地址中的哪些位需要精确匹配，哪些位不需要匹配。通配符掩码是一个32位数，采用点分十进制方式书写。匹配时，“0”表示检查的位，“1”表示不检查的位。如：192.168.1.10.0.255.255表示检查前16位，忽略后16位，所以这个条件表示的地址是192.168.*.*。标准ACL语句：access-list[1~99][permit

5、deny]地址通配符掩码如：access-list1permet192.168.1.00.0.0.255access-list1deny172.16.0.00.0.25

6、5.255第1句表示：允许源IP地址为192.168.1.*的数据包。第2句表示：拒绝源IP地址为172.16.*.*的数据包。any条件：当条件为：0.0.0.0255.255.255.255它表示任意地址，这个条件可以用any代替。如：access-list1permetany表示允许源IP地址为任意值的数据包。host关键字：当条件为：IP地址0.0.0.0它表示某单一的IP地址，这个条件可以写作为：hostIP地址如：access-list1permethost192.168.1.1表示允许源IP地址为192.168.1

7、.1的数据包。隐含语句：在每个访问控制列表的最后都隐含一条语句：access-list表号denyany它表示拒绝所有。所以任何一个与前面各语句都不匹配的数据包都会被拒绝。使用ACL：定义ACL后，它还不会发生作用。需要把ACL应用在一个指定接口上才能起作用。使用ACL：Router(config)#interface接口号Router(config-if)#ipaccess-group表号[in

8、out]in：表示在数据包进入设备时使用ACL进行过滤。out：表示在数据包离开设备时使用ACL进行过滤。如果没有指定此参数，默认为

9、out。标准ACL配置举例1要求：只有172.16.1.0/24和172.16.2.0/24中的客户机可以访问192.168.1.0/24中的主机，其它网络中的主机不能访问。192.168.1.0/24172.16.1.0/24172.16.2.0/2410.1.1.0/24F0/1配置交换机接口：略。配置完成后，各网络间都可以通信。定义ACL：Switch(config)#access-list1permit172.16.1.00.0.0.255Switch(config)#access-list1permit172.16.2

10、.00.0.0.255应用ACL：Switch(config)#interfacef0/1Switch(config-if)#ipaccess-group1out说明：1、查看ACL：Switch#showaccess-lists2、删除ACL：Switch(c