CCNA讲义之访问控制列表篇

一，访问控制列表控制概述
访问控制列表（Access Control List，ACL) 是路由器接口的指令列表，用来控制端口进出的数据包。

访问控制列表由一系列具有同一个访问列表号或名称的access-list语句组成。

这些access-list语句用来告诉路由器，哪些数据包可以接收，哪些数据包需要拒绝。

ACL适用于所有的路由协议，如IP、IPX、AppleTalk等。

可以在路由器或多层交换机上配置ACL，来控制对特定网络资源的访问。

1，访问控制列表的作用
访问控制列表最常见的用途是作为数据包的过滤器。

其他的一些用处：
①可指定某种类型的数据包的优先级，以对某些数据包优先处理（Quality of Service，服务质量）；
②访问控制列表不定期可以用来识别触发按需拨号路由选择（DDR）的相关通信量；
③访问控制列表也是路由映射的基本组成部分，提供对通信流量的控制。

2，访问控制列表的工作原理
1) 访问控制列表的基本原理
ACL使用包过滤技术，读取第３层及第４层包头中的信息，如源地址、目的地址、源端口、目标端口等，根据预先定义好的规则，对包进行过滤，从而达到访问控制的目的。

2) 访问控制列表的处理过程
如果接口上没有ACL，就对这个数据包继续进行常规处理。

如果接口应用了访问控制列表，与该接口相关的一系列访问控制列表语句组合，将会检测它：
①若第一条不匹配，则将集资往下进行判断，直到有任一条语句匹
配，则不再继续判断，路由器将决定该数据包允许通过或拒绝通过。

②若最后没有任一条语句匹配，则路由器根据默认处理方式丢弃该
数据包。

基于ACL的测试条件，数据包要么被允许，要么被拒绝，如果数据包满足了ACL的permit的测试条件，数据包就可以被路由器继续处理。

如果数据包满足了ACL的deny的测试条件，就简单丢弃该数据包。

一旦数据包被丢弃，某些协议将返回一个数据包到发送端，以表明目的地址是不可到达的。

３，访问控制列表的“入”与“出”
1) 对“入”标准访问控制列表处理过程：
①当接到一个数据包时，路由器检查数据包的源地址是否与访问控
制列表中的条目相符；
②如果访问控制列表允许该地址，那么路由器将停止检查访问控制
列表，继续处理数据包；
③如果访问控制列表拒绝了这个地址，那么，路由器将丢弃该数据
包，并且返回一个Internet控制消息协议（ICMP）的管理拒绝消息。

2) 对于“出”标准访问控制列表处理过程：
①在接收并将数据包转发到相应的受控制的接口后，路由器检查数
据包的源地址是否与访问控制列表中的条目相符；
②如果访问控制列表允许该地址，那么路由器将传输该地址；
③如果访问控制列表拒绝了这个地址，那么，路由器将丢弃该数据
包，并且返回一个Internet控制消息协议（ICMP）的管理性拒绝消息。

3) “入”与“出”的区别
①路由器对进入的数据包先检查“入”访问控制列表，对允许传输
的数据包才检查路由表；
②而对于外出的数据包先查询路由表，确定目标接口后才查看访问
控制列表。

＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊应该尽量把访问控制列表应用到入站接口，因为它比应用到出站接口效率更高；将要丢弃的数据包在路由器进行了路由器进行路由表之前就拒绝了。

＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊
4，访问控制列表的deny和permit
①permit和deny
在路由器对访问控制列表的处理过程中，基于ACL的测试条件，数据包要么被允许，要么被拒绝，用于创建访问控制列表的命令中的关键字permit | deny可以实现。

⇨permit选项意味着允许数据包通过应用了访问控制列表的接口（对入站接口来说，意味着被允许的数据包可以继续处理，对于出站接口来说，意味着被允许的数据包将直接发送出去）；
⇨deny选项意味着路由器拒绝数据包通过：如果满足了参数是deny 的测试条件，就简单地丢弃该数据包。

②访问控制列表的反码(wildcard mask)
反码是一个32位的由二进制值“1”和“0”组成的，也称通配符掩码，反码与IP地址成对出现。

“０”表示＂检查相应的位＂
“１”表示＂不检查（忽略）相应的位＂
③使用配置符“any”,“host”
192.168.1.2 0.0.0.0 = host 192.168.1.2
0.0.0.0 255.255.255.255 = any
5,访问控制列表的种类
①标准访问控制列表
检查被路由数据包的源地址。

其结果基于源地址，来决定是允许还是拒绝转发数据包。

②扩展访问控制列表
对数据包的源地址与目标地址均进行检查。

它也能检查特定的协议、端口号以及其他参数。

6，应用访问控制列表
①一般接口应用
(config-if)#ip access-group access-list-number | name {in | out}
②虚拟终端应用
(config)#line vty 0 4
(config-line)#access-class access-list-number/name {in| out} 注：
①按照从特殊到普通的次序来排条目
②将较经常发生的条件放在较不经常发生的条件之前，以提高路由
器的处理效率
③访问控制列表中最后一个条目是众所周知的隐含拒绝一切，所有
没有明确被允许的数据流都将被隐含拒绝
④每个接口的每个方向只能应用一个访问控制列表
⑤应用到接口之前必须创建访问控制列表
⑥默认情况下，访问控制列表的应用方向为“出”
⑦标准访问控制列表尽量靠近目标，而扩展访问控制列表尽量靠近
源
⑧访问控制列表只能对通过路由器的数据包进行过滤，对自身产生
的数据包无法进行过滤
二, IP访问控制列表
1，标准IP访问控制列表
标准访问控制列表是基于应用源IP地址的允许和拒绝条件的一个有序集合，标准IP访问控制列表根据数据包的源IP地址来允许或拒绝数据，标准IP访问控制列表的访问控制列表是1－99和1300－1999。

router(config)#access-list access-list-number{permit| deny} source [s ource-wildcard] [log]
＊＊＊log－－－（可选项）生成相应的日志信息
＊＊＊默认通配符掩码为0.0.0.0
2，扩展IP访问控制列表
扩展访问控制列表通过启用基于源和目的地址、传输层协议和应用端口号的过滤来提供更高程度的控制。

扩展访问控制列表行中的每个条件必须匹配，才认为该行被匹配，才会施加允许或拒绝条件。

只要有一个参数或条件匹配失败，则认为该行不被匹配，并立即检查访
问列表中的下一行。

扩展IP访问控制列表使用数字表号在100－199和2000－2699之间。

(config)#access-list access-list-number{permit| deny} protocol source source-wildcard destination
destination-wildcard operator port
⇨access-list-number - 访问控制列表号，使用１００～１９９之间的数字来标识一个扩展访问控制列表
⇨permit | deny - 用来表示在满足测试条件的情况下，该入口是允许还是拒绝后面指定地址的通信流量
⇨protocol - 用来指定协议类型，如IP TCP UDP ICMP以及IGRP ⇨source and destination - 源和目的，分别用来标识源地址和目的地址
⇨source-mask and destination-mask - 反码，source-wildcard 是源反码，与源地址相对应； destionation-wildcard是目的反码，与目的地址对应．
⇨operator port－――lt(小于）、gt(大于)、eq（等于）、neq （不等于）和一个端口号。

⇨established――－如果数据包使用一个已建连接（例如该数据包的ACK位置了），便可以允许TCP流量通过。

三，命名访问控制列表
对于命名的访问表，它是通过一个名称而不是一个号码来引用的。

名称的使用是区分大小写的，并且必须以字母开头。

在名称的中间可以包含任何字母数字混合使用的字符，也可以在其中包含[，]、{，}、_、-、+、/、\、.、&、$、#、@、!以及?等。

命名的访问表可用于标准的和扩展的访问表中。

命名ACL可以用来从某一特定的ACL中删除或添加个别控制条目，这样可以方便地修改ACL，而不用必须完全删除一个ACL，然后再重新建立一个ACL来进行修改。

但是，无法有选择地添加到列表的某个位置。

如果添加一个条目到列表中，那么该条目添加到列表末尾。

语法：
(config)# ip access-list {standard | extended} name
(config-access-list）#｛permit| deny｝｛test conditions｝可以使用带no形式的对应permit或deny命令，来删除一个permit 或deny命令
no {permit | deny} {test conditions}。