精品课件-计算机组网实验教程-第8章

第8章 访问控制列表配置和使用
(2) 扩展访问控制列表。扩展访问控制列表既检查数据包的 源地址，也检查数据包的目的地址，还可以检查数据包的特定协 议类型、端口号等。扩展访问控制列表更具有灵活性和可扩充性， 例如：可以对同一地址允许使用某些协议的通信流量通过，而拒 绝使用其他协议的通信流量通过。
第8章 访问控制列表配置和使用 总之，通过灵活地设置访问控制列表，ACL可以作为一种网络
ACL的定义是基于每一种协议的(如IP、IPX等)，即如果想控 制某一种协议的通信数据流，就必须要对路由器接口的这种协议 定义单独的ACL。若将ACL应用于路由器的某个接口的输入(或输出) 流量，那么通过该接口的输入(或输出)通信流量都要按照ACL指定 的条件接受检测。
第8章 访问控制列表配置和使用
第8章 访问控制列表配置和使用
(2) 在全局配置命令模式下定义扩展访问控制列表的语法格 式如下：
Router(config)#access-list <access-list-number>
{deny|permit}
<protocol> <source> [source-wildcard]
<destination> [destination- wildcard] [operator
{deny | permit}{test-condition} 上面的全局描述语句定义了一个访问控制列表并通过标识号
来识别。
第8章 访问控制列表配置和使用
(2) 使用access-group命令把该控制访问列表应用到某一 接口上：
Router(config-if)#{protocol}access-group <accesslist-number>
第8章 访问控制列表配置和使用
在一个路由器中定义针对某个协议的标准访问控制列表时， 可以在指定范围内任意选择一个标识号。针对一个标识号可以定 义一系列访问控制策略，即可以用一系列access-list针对同一 标识号定义一组策略，如果将该标识号对应的一组策略应用于路 由器，则路由器从最先定义的条件开始依次检查，检查过程如图 8.1所示。
Router(config)#access-list <access-list-number> {deny |permit} <source> [source-wildcard] [log]
其中，<access-list-number>是访问控制列表的标识号，不 同协议标准访问控制列表的标识号范围不同。Cisco路由器中规 定IP的标准访问控制列表标识号范围为1～99，AppleTalk标准访 问控制列表标识号范围为600～699，IPX的标准访问控制列表标 识号范围为800～899。
operand][established] [log]
其中，扩展访问控制列表标识号的范围，IP为100～199， IPX为900～999。<protocol>表示协议类型，例如IP、TCP、UDP 和ICMP等。<source> [source-wildcard]<destination> [destination-wildcard]表示源地址、目的地址及相应的通配符。 operator operand表示对端口号的限制，operator即操作符，可 以是lt、gt、eq和neq，分别表示小于、大于、等于和不等于； operand即操作数，可以是任一端口号，如80、23等。 established表示如果数据包使用的是已建连接，便可允许TCP信 息量通过。
ACL可以被分配到一个或多个接口，根据配置条件实现入站 通信流量或出站通信流量的过滤。对于每个接口上的每个协议 在每个方向上只能有一个访问控制列表。
第8章 访问控制列表配置和使用 下面介绍标准ACL、扩展ACL以及命名ACL的具体配置命令：
(1) 在全局配置命令模式下定义标准访问控制列表的语法格 式如下：
当一个数据包到达一个接口时，如果该接口应用了某一个访 问控制列表，则需要与访问控制列表中的条件判断语句进行匹配。 访问控制列表中的条件判断语句按照逻辑次序顺序执行。如果一 个数据包的报头跟某个条件判断语句相匹配，该数据包就忽略剩 下的条件判断语句，即比较过程结束。如果符合判断条件，数据 包要么被允许通过，要么被拒绝通过。如图8.1所示是ACL对数据 包的测试过程。
控制的有力工具，可以用来：
(1) 限制网络流量、提高网络性能。如ACL可以根据数据包的 协议，指定某种类型的数据包具有更高的优先级，同等情况下可 优先被路由器处理。
(2) 提供对通信流量的控制手段。如ACL可以限定或简化路由 选择更新信息的长度，这种限定往往用来限制通过路由器的某一 网段的通信流量。
第8章 访问控制列表配置和使用
到达接口 的数据包
拒绝 拒绝
匹配？
Y
Y
N
Y 匹配？ Y
Байду номын сангаас
允许
N
允许
目的 接口
数据包 垃圾桶
拒绝
Y
匹配？
Y
允许
N(隐 含 的 拒 绝 )
拒绝
图8.1 数据包的ACL匹配性检查
第8章 访问控制列表配置和使用 8.2 ACL 配 置
8.2.1 ACL配置命令 访问控制列表的配置一般分为两个步骤： (1) 在全局配置状态下，定义访问控制列表ACL： Router(config)#access-list <access-list-number>
(3) 提供网络访问的基本安全手段。如ACL允许某一主机访问 某网络，而阻止另一主机访问同样的网络。
第8章 访问控制列表配置和使用
8.1.2 ACL的工作原理
一个ACL是一组判断语句的集合，它可以应用于路由器的某个 接口，从而可以对入站接口的数据包、通过路由器进行中继的数 据包或从出站接口送出路由器的数据包进行控制。
ACL包括标准访问控制列表(Standard ACL)、扩展访问控制 列表(Extended ACL)。
(1) 标准访问控制列表。当要过滤来自某一网络的所有通信 流量，或者允许来自某一特定网络的所有通信流量，或者想要拒 绝某一协议簇的所有通信流量时，可以使用标准访问控制列表来 实现这一目标。标准访问控制列表检查路由的数据包的源地址， 从而允许或拒绝基于网络、子网或主机地址的所有通信流量通过 路由器。
第8章 访问控制列表配置和使用 第8章 访问控制列表配置和使用
8.1 访问控制列表(ACL)概述 8.2 ACL配置 8.3 使用命名访问控制列表
第8章 访问控制列表配置和使用 8.1 访问控制列表(ACL)概述
8.1.1 ACL的基本概念
访问控制列表(Access Control List，ACL)是应用到路由器 接口的指令列表，这些指令列表用来告诉路由器哪些数据包可以 接收，哪些数据包需要拒绝。至于数据包是被接收还是被拒绝， 可以由特定指示条件，如源地址、目的地址和端口号等来决定。