ACL原理及配置实例

上次回顾： 上次回顾：广域网接口配置 配置PPP协议 配置 协议 PPP协议的验证方式 协议的验证方式
本次内容（补充） 本次内容（补充）
理解ACL的基本原理 的基本原理 理解 会配置标准ACL 会配置标准 会配置扩展ACL 会配置扩展 会配置ACL对网络进行控制 会配置 对网络进行控制 理解NAT 理解 会配置NAPT 会配置
删除ACL 删除
Router(config)# no access-list access-list-number
10
标准访问控制列表配置3-2 标准访问控制列表配置
应用实例
Router(config)# access-list 1 permit 192.168.1.0 0.0.0.255 Router(config)# access-list 1 permit 192.168.2.2 0.0.0.0
步骤3 把访问控制列表在接口下应用。 步骤 把访问控制列表在接口下应用。 Router2(config)# interface fastEthernet 1/0 Router2(config-if)#ip access-group 1 out ! 在接口下访问控制列表出栈流量调用
验证测试： 验证测试：
删除ACL 删除
Router(config)# no access-list access-list-number
将ACL应用于接口 应用于接口
Router(config-if)# ip access-group access-list-number {in |out}
在接口上取消ACL的应用 的应用 在接口上取消
源地址 目的地址
源端口 目的端口
访问控制列表利用这4个元素 访问控制列表利用这 个元素 定义的规则
7
访问控制列表的工作原理
访问控制列表在接口应用的方向 访问控制列表的处理过程
到达访问控制组接口的数据包 Y 拒绝 拒绝 拒绝 Y N 丢弃 拒绝 Y 匹配 下一条 N 匹配 下一条 Y Y 匹配 第一条 N Y 允许 允许 允许 目的接口
Router2#show ip interface fastEthernet 1/0
步骤4. 验证测试。 步骤 验证测试。 ping（172.16.2.0网段的主机不能 网段的主机不能ping通 （ 网段的主机不能 通 172.16.4.0网段的主机；172.16.1.0网段的主机能 网段的主机； 网段的主机 网段的主机能 ping通172.16.4.0网段的主机）。 网段的主机）。 通 网段的主机 注意事项】 【注意事项】 1、注意在访问控制列表的网络掩码是反掩码。 、注意在访问控制列表的网络掩码是反掩码。 2、标准控制列表要应用在尽量靠近目的地址的 、 接口。 接口。
13
标准访问控制列表配置实例
编号的标准IP访问列表 访问列表。 实验 编号的标准 访问列表。
【实验目的】 实验目的】 掌握路由器上编号的标准IP访问列表规则及配置 访问列表规则及配置。 掌握路由器上编号的标准 访问列表规则及配置。 背景描述】 【背景描述】 你是一个公司的网络管理员，公司的经理部、 你是一个公司的网络管理员，公司的经理部、财务 部门和销售部门分属不同的3个网段 个网段， 部门和销售部门分属不同的 个网段，三部门之间 用路由器进行信息传递，为了安全起见， 用路由器进行信息传递，为了安全起见，公司领导 要求销售部门不能对财务部门进行访问， 要求销售部门不能对财务部门进行访问，但经理部 可以对财务部门进行访问。 可以对财务部门进行访问。 PC1代表经理部的主机，PC2代表销售部门的主机 代表经理部的主机， 代表经理部的主机 代表销售部门的主机 代表财务部门的主机。 、PC3代表财务部门的主机。 代表财务部门的主机
标准访问控制列表配置3-3 标准访问控制列表配置
将ACL应用于接口 应用于接口 Router(config-if)# ip access-group access-listnumber {in |out} 在接口上取消ACL的应用 的应用 在接口上取消 Router(config-if)# no ip access-group accesslist-number {in |out}
Router(config-if)# no ip access-group access-list-number {in |out}
27
扩展访问控制列表配置2-2 扩展访问控制列表配置
应用实例1 应用实例
Router(config)# access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 Router(config)# access-list 101 deny ip any any
需求2 需求2
访问控制列表(ACL) 访问控制列表(ACL)
ACL概述 ACL概述 基本ACL配置 基本ACL配置 ACL 扩展ACL配置 扩展ACL配置
访问控制列表概述
访问控制列表（ 访问控制列表（ACL） ）
读取第三层、 读取第三层、第四层包头信息 根据预先定义好的规则对包进行过滤
IP报头 报头 TCP报头 报头 数据
步骤2 步骤
配置标准IP访问控制列表。 配置标准 访问控制列表。 访问控制列表
Router2(config)#access-list 1 permit 172.16.1.0 0.0.0.255 ! 允许来自 允许来自172.16.1.0网段的流量通过 网段的流量通过 Router2(config)#access-list 1 deny 172.16.2.0 0.0.0.255 ! 拒绝来自 拒绝来自172.16.2.0网段的流量通过 网段的流量通过 验证测试： 验证测试： Router2#show access-lists 1 Standard IP access list 1 includes 2 items: deny 172.16.2.0, wildcard bits 0.0.0.255 permit 172.16.1.0, wildcard bits 0.0.0.255
允许192.168.1.0/24和主机 和主机192.168.2.2的流量通过 允许 和主机 的流量通过
隐含的拒绝语句
Router(config)# access-list 1 deny 0.0.0.0 255.255.255.255
关键字
host any
11
Host any Host 192.168.2.2=192.168.2.2 0.0.0.0 any=0.0.0.0 255.255.255.255
IP ACL基于接口进行规则的应用，分为：入栈应 基于接口进行规则的应用， 基于接口进行规则的应用 分为： 用和出栈应用。 用和出栈应用。 入栈应用是指由外部经该接口进行路由器的数据 包进行过滤。 包进行过滤。 出栈应用是指路由器从该接口向外转发数据时进 行数据包的过滤。 行数据包的过滤。 IP ACL的配置有两种方式：按照编号的访问列表 的配置有两种方式： 的配置有两种方式 按照命名的访问列表。 ，按照命名的访问列表。 标准IP访问列表编号范围是 访问列表编号范围是1~99、1300~1999， 标准 访问列表编号范围是 、 ， 扩展IP访问列表编号范围是 访问列表编号范围是100~199、 扩展 访问列表编号范围是 、 2000~2699。 。
应用实例2 应用实例
Router(config)# access-list 101 deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.2 eq 21 Router(config)# access-list 101 permit ip any any
应用实例3 应用实例
【实现功能】 实现功能】 实现网段间互相访问的安全控制。 实现网段间互相访问的安全控制。 实验设备】 【实验设备】 RSR10路由器（两台）、 路由器（ ）、V.35线缆（1条）、交 线缆（ 条）、交 路由器 两台）、 线缆 叉线（ 条 叉线（3条）
【实验拓扑】 实验拓扑】
【实验步骤】 实验步骤】
R1(config)# access-list 1 deny 192.168.2.2 0.0.0.0 R1config)# access-list 1 permit 0.0.0.0 255.255.255.255 与 R1(config)# access-list 1 deny host 192.168.2.2 R1(config)# access-list 1 permit any 相同
隐含的 拒绝
8
访问控制列表类型
标准访问控制列表 扩展访问控制列表 命名访问控制列表 定时访问控制列表
9
标准访问控制列表配置3-1 标准访问控制列表配置
创建ACL 创建
Router(config)#access-list access-list-number { permit | deny } source [ source-wildcard ] 允许数据包通过 应用了访问控制 列表的接口 拒绝数据包通过
Router(config)# access-list 101 deny icmp 192.168.1.0 0.0.0.255 host 192.168.2.2 echo Router(config)# access-list 101 permit ip any any
步骤1： 步骤 ：
Router1、 Router2 基本配置 IP地址等 、 地址等
步骤2： 步骤 ：
路由表
步骤3： 步骤 ：
访问控制列表 访问控制列表应用在接口
步骤4： 步骤 ：
测试
配置静态路由 Router1(config)#ip route 172.16.4.0 255.255.255.0 serial 1/2 Router2(config)#ip route 172.16.1.0 255.255.255.0 serial 1/2 Router2(config)#ip route 172.16.2.0 255.255.255.0 serial 1/2 测试命令： 测试命令：show ip route。 。