ACL理论与实验

这是学校就会去招保安，当保安上岗后，那么保安的任务就是会对进出的人做一个检查，
看是否符合进出学校的标准，如果符合就可随意进出，但是如果你不符合标准，保安就不会让你通过，
ACL的作用就是相当于这个保安了。
router（config）access-list {100-199、2000-2699} {permit|deny}【protocols】
{source ip|any|host}【反掩码】{destination ip|any|host}【反掩码】 eq {0-65535}
router（config）interfaces （interfaces#）
router（config-if）ip access-list {1-99、1300-1999}{in|out}
注：any=0.0.0.0 255.255.255.255 完全匹配
2、扩展访问控制列表：
1、是基于源地址和目标地址做访问控制，---也就是说在检查的时候不及要知道你是哪里来的还要知道你要去哪里
2、过滤的只是TCP/IP的某个协议或某个端口，---好比我知道了你哪里来要去哪里，但是还是要知道你要去干什么。
3、编号的范围:100-199、2000-2699
这样在匹配的时候会先匹配到第一条通过，这时就不会匹配第二条了，这样我们就达不到目的了。
3、配置还要应用到接口上至于是{in|out}要根据实际情况来定，
或是应用到vty中。过滤虚拟控制台
4、ACL不会过滤路由器自己产生的数据。
router（config）interfaces fa0/1
router（config-if）ip access-group 1 in
host 192.168.1.1=192.168.1.1 0.0.0.0
例如： router（config）access-list 1 permit 192.168.1.0 0.0.0.255
接口下：router（config）interfaces fa0/1
访问控制列表的种类：
1、标准访问控制列表：
1、是基于源地址来做访问控制，---我只要知道你是那里来的就可以了。
2、过滤的是完整的TCP/IP协议的所有，---我不管你去干什么我只要知道你是那里来的就可以了。
3、编号的范围:1-99、1300-1999
2、配置的时候要把越详细的放在越前面，这样才不会导致过滤失败
例如：我们不要192.168.1.1 通过 我们先匹配了一条
access-list 1 permit 192.168.1.0 0.0.0.255
access-list 1 deny host 192.168.1.1
数据转发出去的过程:
但路由收到一个数据是先查看目标地址自己能不能到达，
不行直接丢弃，可以话在找到出接口，然后再接口查看是否有ACL
没有直接发送，有就要匹配ACL如果配置通过，就发送数据。如果匹配不通过，就丢弃，
ACL的匹配原则：
1、按顺序匹配---你先陪那条，那条就先匹配
router（config-if）ip access-group 1 in
vty： router（config）line vty 0 4
router（config-line）access-class 1 in d
2、扩展ACL配置：
5、一个接口只能应用一个ACL
6、末尾默认匹配时deny any
当所有的匹配条目没有一条很他匹配，那么他就会默认匹配deny any
ACL的配置：
1、标准ACL的配置：
router（config）access-list {1-199、1300-1999} {permit|deny} {source ip|any|host}【反掩码】
访问控制列表(ACL)的作用：
就是对数据进行过滤，当数据经过路由时路由会先检查是否符合我ACL的匹配条目，如果不匹配就直接丢弃。不再发送，
如果匹配的是permit则同意，如果匹配的deny则也是丢弃。也可以对VTY访问。
例如：学校如果没有保安则就是什么人都可以随意的进出（没有在ACL之前），学校后来发现没有对学生来说很不安全，
router（config）interfaces （interfaces#）
router（config-if）ip access-list {100-199、2000-2699}{in|out}
பைடு நூலகம்
例如：router（config）access-list 100 permit tcp host 192.168.1.1 host 192.168.2.1 eq 23