第7章 访问控制列表

第7章访问列表访问列表概述访问列表由一系列语句组成，这些语句主要包括匹配条件和采取的动作（允许或禁止）两个部分；访问列表应用在路由器的接口上，通过匹配数据包信息与访问列表参数来决定允许还是拒绝数据包通过某个接口。

数据包是通过还是拒绝，主要通过数据包中的源地址、目的地址、源端口、目的端口、协议等信息来决定。

访问列表的功能：控制网络流量，提高网络性能控制用户网络行为控制网络病毒的传播访问列表类型：可分为标准IP访问列表和扩展IP访问列表。

标准访问列表：其只检查数据包的源地址，从而允许或拒绝基于网络、子网或主机的IP 地址的所有通信流量通过路由器的出口。

扩展IP访问列表：它不仅检查数据包的源地址，还要检查数据包的目的地址、特定协议类型、源端口号、目的端口号等ACL的相关特性：每一个接口可以在进入（inbound）和离开（outbound）两个方向上分别应用一个ACL，且每个方向上只能应用一个ACL。

ACL语句包括两个动作：拒绝（deny）和允许(permit)数据包进入路由器时，进入方向（In方向）的ACL起作用。

数据包离开路由器时，出方向（Out方向）的ACL起作用；每个ACL列表结尾有一个隐含的“拒绝的所有数据包(deny any)”的语句IP地址与通配符掩码的作用规32位的IP地址与32位的通配符掩码逐位进行比较，通配符掩码为0的位要求IP地址的对应位必须匹配，通配符掩码为1的位所对应的IP地址位不必匹配例：IP地址为192.168.1.0，通配符掩码为0.0.0.255对应的二进制为：11000000 10101000 00000001 0000000000000000 00000000 00000000 11111111检查的地址范围为：192.168.1.0～192.168.1.255通配符掩码示例：通配符掩码掩码的两种特殊形式host表示一台主机，是通配符掩码0.0.0.0的简写形式192.168.1.10 0.0.0.0等价于host 192.168.1.10any表示所有主机，是通配符掩码掩码255.255.255.255的简写形式192.168.1.10 255.255.255.255等价于any访问列表配置步骤：第一步是配置访问列表语句；第二步是把配置好的访问列表应用到某个端口上；标准IP访问列表的配置命令配置标准访问列表access-list access-list-number deny|permit source-address source-wildcard [log]access-list-number：只能是1～99之间的一个数字deny|permit：deny表示匹配的数据包将被过滤掉；permit表示允许匹配的数据包通过source-address：表示单台或一个网段内的主机的IP地址source-wildcard：通配符掩码Log：访问列表日志，如果该关键字用于访问列表中，则对匹配访问列表中条件的报文作日志标准IP访问列表的配置命令续应用访问列表到接口ip access-group access-list-numberin|outIn：检查进入路由器的报文Out：检查离开路由器的报文显示所有协议的访问列表配置细节show access-list [access-list-number]显示IP访问列表show ip access-list [access-list-number]标准IP访问列表的配置举例主机192.168.1.1不能访问主机192.168.2.1，但可访问其他主机，对其他主机间的访问不做任何限制标准IP访问列表的配置举例配置，拓扑图如下：router# configure terminalrouter(config)# access-list 1 deny host 192.168.1.1router(config)# access-list 1 permit anyrouter(config)# interface Ethernet 1router(config)# ip access-group 1 out扩展IP访问列表的配置命令配置扩展访问列表access-list access-list-number permit|deny protocol source-address source-wildcard source-port destinaiton address destination-wildcard destination-port log optionsaccess-list-numberL：编号范围为100～199。

Permit：通过；deny：禁止通过Protocol：需要被过滤的协议的类型，如IP、TCP、UDP、ICMP、EIGRP,GRE等。

source-address ：源IP地址source-wildcard：源通配符掩码扩展IP访问列表的配置命令续source-port：可以是单一的某个端口，也可以是一个端口范围扩展IP访问列表的配置命令续destination-address：目的IP地址destination-wildcard：目的地址通配符掩码destination-port：目的端口号，指定方法与源端口号的指定方法相同扩展IP访问列表配置举例要求允许LAN3的所有主机能登录Internet，但只能浏览WWW、FTP、SMTP、POP3协议的通信。

LAN2中的主机192.168.2.1向Internet提供WWW服务，主机192.168.2.2向Internet提供FTP服务，主机192.168.2.3向Internet提供SMTP服务，其余主机不能被Internet 访问。

LAN1中的主机不能访问Internet，但可以访问LAN2和LAN3扩展IP访问列表配置举例配置，拓扑图如下：router# configure terminal!允许网段LAN3的主机访问Internet的WWW，FTP，SMTP和POP3服务router(config)#access-list 101 permit tcp 192.168.3.00.0.0.255 any eq wwwrouter(config)#access-list 101 permit tcp 192.168.3.00.0.0.255 any eq ftprouter(config)#access-list 101 permit tcp 192.168.3.0 0.0.0.255 any eq smtprouter(config)#access-list 101 permit tcp 192.168.3.0 0.0.0.255 any eq pop3!禁止LAN1的主机访问internetrouter(config)#access-list 101 deny ip 192.168.1.0 0.0.0.255 any扩展IP访问列表配置举例配置续!应用访问列表101router(config)# interface serial 1router(config-if)# ip access-group 101 out!允许其他网段的主机访问LAN2的WWW，FTP，SMTP服务，拒绝其他请求router(config)#access-list 102 permit tcp any host 192.168.2.1 eq wwwrouter(config)#access-list 102 permit tcp any host 192.168.2.2 eq ftprouter(config)#access-list 102 permit tcp any host 192.168.2.3 eq smtprouter(config)#access-list 102 deny ip any any! 应用访问列表102router(config-if)#interface ethernet 0router(config-if)#ip access-group 102 out访问列表配置注意事项注意访问列表中语句的次序，尽量把作用范围小的语句放在前面新的表项只能被添加到访问表的末尾，即不允许将新的语句插入到原有的访问列表中标准的IP访问列表只匹配源地址，如果要检查更多的条件，则使用扩展的IP访问列表标准的访问列表尽量靠近目的在应用访问列表时，要特别注意应用的方向命名IP访问列表命名IP访问列表通过一个名称而不是一个编号来引用的。

命名的访问列表可用于标准的和扩展的访问表中。

编号IP访问列表和命名IP访问列表的区别名字能更直观地反映出访问列表完成的功能命名访问列表突破了99个标准访问列表和100个扩展访问列表的数量限制，能够定义更多的访问列表。

命名IP访问列表允许删除个别语句，而编号访问列表只能删除整个访问列表单个路由器上命名访问列表的名称必须是唯一的，而不同路由器上的命名访问列表名称可以相同编号与命名访问列表命令比较命名访问列表配置举例一通过配置命名访问列表来实现以下要求：主机192.168.1.1不能访问主机192.168.2.1，但可访问其他主机，对其他主机间的访问不做任何限制命名访问列表配置举例一配置router# configure terminalrouter(config)#ip access-list standard denyhost1router(config-std-nacl)#deny host 192.168.1.1router(config-std-nacl)# permit anyrouter(config-std-nacl)#exit!应用访问列表denyhost1router(config)# interface Ethernet 0router(config)# ip access-group denyhost1 out命名访问列表配置举例二LAN3的所有主机只能访问Internet中的WWW、FTP、SMTP、POP3服务。

LAN2中的主机192.168.2.1只提供WWW服务，主机192.168.2.2 只提供FTP服务，主机192.168.2.3只提供SMTP服务。

LAN1中的主机不能访问Internet，但可以访问LAN2和LAN3命名访问列表配置举例二配置router# configure terminal!允许网段LAN3的主机访问Internet的WWW，FTP，SMTP和POP3服务router(config)＃ip access-list extended acl_lan1_lan3Router(config-ext-nacl)# permit tcp 192.168.3.0 0.0.0.255 any eq wwwRouter(config-ext-nacl)# permit tcp 192.168.3.0 0.0.0.255 any eq ftpRouter(config-ext-nacl)# permit tcp 192.168.3.0 0.0.0.255 any eq smtpRouter(config-ext-nacl)# permit tcp 192.168.3.0 0.0.0.255 any eq pop3!禁止LAN1的主机访问internetRouter(config-ext-nacl)# deny ip 192.168.1.0 0.0.0.255 anyRouter(config-ext-nacl)# exit!应用访问列表acl_lan1_lan3router(config)# interface serial 1router(config-if)# ip access-group acl_lan1_lan3 out命名访问列表配置举例二配置续!允许其他网段的主机访问LAN2的WWW，FTP，SMTP服务，拒绝其他请求Router(config)# ip access-list extended acl_lan2Router(config-ext-nacl)# permit tcp any host 192.168.2.1 eq wwwRouter(config-ext-nacl)# permit tcp any host 192.168.2.2 eq ftpRouter(config-ext-nacl)# permit tcp any host 192.168.2.3 eq smtpRouter(config-ext-nacl)# deny ip any anyRouter(config-ext-nacl)# exit! 应用访问列表acl_lan2router(config)#interface ethernet 0router(config-if)#ip access-group acl_lan2 out常用的周期时间范围定义形式周期时间举例指定的时间范围为从星期六的早上8:00到星期日的下午5:00，日期为2000年6月1日到2000年的12月31日：router(config)#time-range examplerouter(config-time-range)#absolute start 8:00 1 June 2000 end 17:00 31 December 2000router(config-time-range)#periodic weekend 8:00 to 17:00实验部分：实验20：访问控制列表的配置拓扑图如下：1）在路由器上配置访问控制列表，阻止PC1和PC0间的互访2）在路由器上配置访问控制列表，阻止PC2和PC1间互访项目21：扩展访问控制列表拓扑图如下：配置扩展访问控制列表阻止PC4到服务器的网页访问服务、。