第七部分 访问控制列表的配置

规则就是前面所说的permit和deny规则。
说明：早期的系统只支持1~99的标号，1300~1999是现在的系统新增的。
2、包过滤的配置：
定义的ACLs必须应用在指定的接口上，才能起到包过滤的作用。
Ruijie(config)#interfaceinterface-id
Ruijie(config-if)#ip access-grouplist-idin | out
标准ACLs的语句规则
标准访问控制列表由一系列的规则组成，每条规则用一个permit或deny关键字定义。
1、permit规则：
permit规则定义的是允许通过，有三种格式。
permit any
这条规则指定了源IP为任意值的数据包通过。
permit hostip-address
这条规则指定了允许源IP为指定地址的数据包通过。如：permit 192.168.1.10
标号的标准ACLs在全局配置模式中配置；
标号的标准ACLs由一系列access-list语句组成；
属于同一个标准ACLs的access-list语句使用相同的标号。
1、access-list语句：
Ruijie(config)#access-listlist-id规则
list-id是标准ACLs的标号，取值范围是1~99和1300~1999，同一个ACLs中的各语句标号必须相同。
Ruijie(config)#access-listlist-id规则
list-id是扩展ACLs的标号，取值范围是100~199和2000~2699，同一个ACLs中的各语句标号必须相同。
规则就是前面所说的permit和deny规则。
说明：早期的系统只支持100~199的标号，2000~2699是现在的系统新增的。
any表示任意地址
hostip-address表示单一地址
address wildcard表示一组地址
它们的含义和标准访问控制列表的相同。
4、目的地址：
必需。指定数据包目的IP的样式。有三种格式：
any表示任意地址
hostip-address表示单一地址
address wildcard表示一组地址
5、表达式：
[permit|deny] [协议] [源地址] [目的地址] [表达式]
1、permit|deny：
必需。permit定义的是允许通过的规则，deny定义的是拒绝通过的规则。
2、协议：
必需。指定数据包使用的网络层或传输层协议，常用的有：ip、icmp、tcp、udp。
3、源地址：
必需。指定数据包源IP的样式。有三种格式：
注意：permit规则只是定义了某种数据包可以通过，对于不满足规则的数据包不会拒绝，它们能否通过取决于后续的规则。
如：permit 192.168.2.00.0.0.255表示允许源IP为192.168.2.*格式的数据包通过，不满足此规则的数据包将继续判定下一条规则。
2、deny规则：
deny规则定义的是拒绝通过，也有三种格式。
②拒绝源IP为192.168.10.5的数据包通过；
③允许源IP为192.168.10.*的数据包通过，本句和②联在一起可解释为除了192.168.10.5，其它的形如192.168.10.*的数据包都能通过；
④拒绝所有数据包通过。这句是由隐含的规则定义的。
整个配置可以解释为，在f0/1接口的输入流中执行包过滤，只有源IP为192.168.2.*和源IP为192.168.10.*（192.168.10.5除外）的数据包可以进入设备，其余的都拒绝进入。
Ruijie(config)#access-list 1 permit 192.168.10.00.0.0.255
Ruijie(config)#interface f0/1
Ruijie(config-if)#ip access-group 1 in
本例定义了一个标准访问控制列表，它由4条规则组成：
①允许源IP为192.168.2.*的数据包通过；
interface命令指定了一个接口。
ip access-group命令指定在接口上应用的访问控制列表，list-id是访问列表的标号，in指定在输入流中进行过滤，out指定在输出流中进行过滤，两者只能指定一个。
说明：在每个接口、每个方向上只能应用一个访问列表。在一个接口的入口和出口方向上可应用不同的访问列表。
deny any
这条规则拒绝了所有数据包通过。
deny hostip-address
这条规则只拒绝源IP为指定地址的数据包通过。如：deny 192.168.1.10
denyaddress wildcard
这条规则拒绝了源IP和指定的地址样式相匹配的数据包通过。如：deny 192.168.2.00.0.0.255。
命名的标准ACLs用标号或名字区分各个访问列表；
命名的标准ACLs的规则在访问列表配置模式中配置。
1、进入访问列表配置模式：
Ruijie(config)#ip access-list standardlist-id | list-name
Ruijie(config-std-nacl)#
本命令用于进入标准访问列表的配置模式。
注意：在用ACLs过滤时，当数据包匹配了一条规则后，就按该规则进行处理，不再匹配下一条规则，所以，在上例中，如果把②和③的顺序调换，则192.168.10.5将是permit，不会再检查下一条规则。
配置命名的标准ACLs
标准访问控制列表有两种配置方法：标号的ACLs和命名的ACLs，以下是命名的标准ACLs配置。
扩展访问控制列表可根据数据包的源IP地址、目的IP地址、使用的协议、用途设置过滤，根据设定的规则，允许或拒绝数据包通过。
扩展访问控制列表用标号或名字进行标识，可使用的标号是100~199、2000~2699。
扩展ACLs的语句规则
扩展访问控制列表由一系列的规则组成，每条规则用一个permit或deny关键字定义，规则的格式为：
可选。指定数据包的用途。常用格式：
eq端口名称
eq端口号
eq是等于运算符，可用的运算符还有：lt(小于)、gt(大于)、neq(不等于)、range(范围)。使用range时需要给出两个端口号，其余的只要给出一个端口号。
端口名称或端口号指定了数据包的用途。
举例：
permit ip any 192.168.1.00.0.0.255
注意：deny规则只是定义了拒绝某种数据包通过，对于不满足规则的数据包需要由后续规则处理。
3、隐含规则：
在每个标准ACLs中，最后一条规则隐含为deny any，这样，如果一个数据包的源IP地址没有和前面的permit规则相匹配，则这个数据包将被拒绝通过。
配置标号的标准ACLs
标准访问控制列表有两种配置方法：标号的ACLs和命名的ACLs，以下是标号的标准ACLs配置。
允许源地址为任意，目的地址为192.168.1.*的IP数据报通过。
permit tcp 172.16.0.0 0.0.255.255 host 192.168.1.5 eq ftp
允许源地址为172.16.*.*，目的地址为192.168.1.5，协议为TCP，用途为ftp的数据报通过。
deny udp host 172.16.8.10 host 192.168.1.5 eq tftp
Ruijiejie(config)#interface f0/1
Ruijie(config-if)#ip access-group ls1 in
本例和前面的例子是一样的，只是采用了命名的方式定义的。
扩展访问控制列表的配置
访问控制列表（ACLs）是一种基于包过滤的防火墙技术，它可以对接口上的数据包进行过滤，允许其通过或丢弃。
拒绝源地址为172.16.8.10，目的地址为192.168.1.5，协议为UDP，用途为tftp的数据报通过。
deny tcp any any eq 80
允许地址任意的，使用协议为TCP，端口号为80的数据报通过。
说明：
在每个扩展ACLs中，最后一条规则隐含为deny ip any any，它表示拒绝任何IP数据报通过。
list-id是标准ACLs的标号，取值范围是1~99和1300~1999。
list-name是标准ACLs的名字，用字母、数字命名。
list-id和list-name只能指定一个，如果指定的访问列表不存在，则创建它并进入访问列表配置模式。
2、配置访问列表的规则：
Ruijie(config-std-nacl)#permit规则
使用入口过滤和出口过滤在效果上和效率上都有所不同，应根据具体的应用合适选择。
配置举例：
Ruijie>enable
Ruijie#configure terminal
Ruijie(config)#access-list 1 permit 192.168.2.00.0.0.255
Ruijie(config)#access-list 1 deny host 192.168.10.5
配置标号的扩展ACLs
扩展访问控制列表有两种配置方法：标号的ACLs和命名的ACLs，以下是标号的扩展ACLs配置。
标号的扩展ACLs在全局配置模式中配置；
标号的扩展ACLs由一系列access-list语句组成；
属于同一个扩展ACLs的access-list语句使用相同的标号。
1、access-list语句：
Ruijie(config)#ip access-list standard ls1
Ruijie(config-std-nacl)#permit 192.168.2.00.0.0.255
Ruijie(config-std-nacl)#deny host 192.168.10.5