ACL訪問控制列表理論

訪問控制列表(ACL)

讀取第三層、第四層包頭信息，根據預先定義好的規則對包進行過濾。

訪問控制列表在接口應用的方向

列表應用到接口的方向與數據方向有關

出：已通過路由器的處理，正離開路由器接口的數據包；
入：已到達路由器接口的數據包，將被路由器處理。

訪問控制列表的處理過程

訪問控制列表的類型

標準訪問控制列表

• 基於源IP地址過濾數據包；
• 標準訪問控制列表的訪問控制列表號是1 ~ 99。

擴展訪問控制列表

• 基於源IP地址、目的IP地址、指定協議、端口和標誌來過濾數據包；
• 擴展訪問控制列表的訪問控制列表號是100~ 199。

命名訪問控制列表

• 命名訪問控制列表容許在標準和擴展訪問控制列表中使用名稱代替表號。

標準訪問控制列表的配置

基礎命令：

Router(config)#access-list access-list-number {permit | deny} source [ source-wildcard ]  //建立ACL
Router(config)# no access-list access-list-number   //刪除ACL
Router(config-i)# ip access-group access-list-number {in lout}   //將ACL應用於接口
Router(config-if)# no ip access-group access-list-number {in lout}   //在接口上取消ACL的應用

應用實例：

Router(config)# access-list 1 permit 192.168.1.0 0.0.0.255     //建立ACL，容許網段192.168.1.0/24
Router(config)# access-list 1 permit 192.168.2.2 0.0.0.0         //建立ACL，容許IP192.168.2.2

注意訪問控制列表隱含拒絕，當你不設置規則時默認拒絕，至關於用了下面命令：

Router(config)# access-list 1 deny 0.0.0.0 255.255.255.255

當咱們設置固定的主機地址能夠不寫子網掩碼，在IP地址前加上關鍵字host便可，當咱們設置全部IP地址時，能夠用any代替「0.0.0.0 255.255.255.255」。

擴展訪問控制列表的配置

基礎命令

Router(config)# access-list access-list-number { permit| deny } protocol { source source-wildcard destination destination-wildcard } [ operator operan ]   //建立ACL
Router(config)# no access-list access-list-number   //刪除ACL
Router(config-if)# ip access-group access-list-number {in |out}   //將ACL應用於接口
Router(config-if)# no ip access-group access-list-number {in |out}   //在接口上取消ACL的應用

應用實例

Router(config)# access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0  0.0.0.255
Router(config)# access-list 101 deny ip any any
Router(config)# access-list 101 deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.2 eq 21
Router(config)# access-list 101 permit ip any any
Router(config)# access-list 101 deny icmp 192.168.1.0 0.0.0.255 host 192.168.2.2 echo
Router(config)# access-list 101 permit ip any any

命名訪問控制列表的配置

基礎命令

Router(config)# ip access-list { standard | extended } access-list-name   //建立ACL，standard標準命名ACL，extended配置標準命名ACL
Router(config-std-nacl)# [ Sequence-Number] { permit | deny } source [ source-wildcard]   //擴展命名ACL，Sequence-Number決定ACL語句在ACL列表中的位置
Router(config-ext-nacl)# [ Sequence-Number ] { permit| deny } protocol { source source-wildcard destination destination-wildcard } [ operator operan ]   //配置擴展命名ACL
Router(config)# no ip access-list { standard lextended } access-list-name   //刪除整組ACL
Router(config-std-nacl)# no Sequence-Number       //刪除組中單一ACL語句，建議這種方法
Router(config-std-nacl)#no permit host ACL語句     //刪除組中單一ACL語句
Router(config-if)# ip access-group access-list-name {in |out}   //將ACL應用於接口
Router(config-if)# no ip access-group access-list-name {in |out}   //在接口上取消ACL的應用
Router#show access-lists   //查看ACL配置信息

應用實例

Router(config)# ip access-list standard cisco          //標準命名ACL
Router(config-std-nacl)#15 permit host 192.168.2.1
Router(config)# ip access-list extended cisco        //擴展命名ACL
Router(config-ext-nacl)# deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.2 eq 21
Router(config-ext-nacl)# permit ip any any