扩展ACL
访问控制列表ACL技术材料
说明：标准FTP协议使用了两个端口，21用于建立 FTP连接，20用于数据传输。
学习研究
26
说明：
例1的配置将会极大限制局域网和外网间的应用，它会 拒绝除Web和Ftp外的所有应用（包括ICMP、DNS、电 子邮件等），也会拒绝那些没有使用标准端口的Web和 Ftp应用。
在实际应用中，我们通常只对那些可能有害的访问作出 拒绝限制，或者限制用户访问某些有害的站点或服务。
8.1 ACL概述
利用ACL可以对经过路由器的数据包按照设定的规则进 行过滤，使数据包有选择的通过路由器，起到防火墙的 作用。
访问控制列表(ACL)由一组规则组成，在规则中定义允许 或拒绝通过路由器的条件。
ACL过滤的依据主要包括源地址、目的地址、上层协议 等。
ACL有两种：标准访问控制列表、扩展访问控制列表。
制）
学习研究
Байду номын сангаас
2
ACL的工作过程
访问控制列表(ACL) 由多条判断语句组成。每条语句给 出一个条件和处理方式（通过或拒绝）。
路由器对收到的数据包按照判断语句的书写次序进行检 查，当遇到相匹配的条件时，就按照指定的处理方式进 行处理。
ACL中各语句的书写次序非常重要，如果一个数据包和 某判断语句的条件相匹配时，该数据包的匹配过程就结 束了，剩下的条件语句被忽略。
标准访问控制列表：1~99。
扩展访问控制列表：100~199。
同一个ACL中各语句的表学习号研相究 同。
4
处理方式：取值有permit（允许）和deny（拒绝）两 种。当数据包与该语句的条件相匹配时，用给定的处 理方式进行处理。
条件：每条ACL语句只能定义一个条件。
例：
access-list 1 permit 10.0.0.0 0.255.255.255
路由器交换机配置教程任务5.4扩展ACL
一．扩展访问控制列表的作用
标准
基于源地址 允许和拒绝完整的 TCP/IP协议
扩展
基于源地址和目标地址 指定TCP/IP的特定协议 和端口号
编号范围 1-991
编号范围 100-199
二．扩展访问控制列表的语法
access-list 访问控制列表号 {deny|permit} [通配符掩码] 目的网络地址 [通配符掩码] 协议类型 源网络地址
任务5.5 扩展ACL
【实训目的】
通过配置扩展ACL，理解基于IP地址、协议和端口的包过滤原理和应用 方法，使学生掌握扩展访问控制列表的配置方法。
【实训任务】
1.根据拓扑图连接网络设备，构建局域网。
2.配置扩展ACL，实现数据包的过滤。
3.配置标准ACL，理解和扩展ACL的区别。 4.测试网络连通性。
[运算符 端口号]
协议类型包括IP、TCP、UDP、ICMP、OSPF等。
运算符有lt、gt、eq、neq,分别表示"小于、大于、等于、不等于"。
三．常用协议及端口号
协议 Telnet FTP SMTP POP3 DNS Http TFTP
端口号 23 20/21 25 110 53 80 69
四.扩展ACL配置示例
利用扩展ACL禁止vlan20和vlan 30互访，其它置扩展ACL。 Switch0(config)#access-list 100 deny ip 192.168.20.0 0.0.0.255 192.168.30.0 0.0.0.255 Switch0(config)#access-list 100 permit ip any any Switch0(config)#interface vlan 20 Switch(config-if)#ip access-group 100 in （2）在交换机Swith1上配置扩展ACL。 Switch1(config)#access-list 100 deny ip 192.168.30.0 0.0.0.255 192.168.20.0 0.0.0.255 Switch1(config)#access-list 100 permit ip any any Switch1(config)#interface vlan 30 Switch1(config-if)#ip access-group 100 in
acl 规则
ACL规则什么是ACL规则？ACL（Access Control List）是访问控制列表的缩写，它是一种用于管理网络设备（如路由器、交换机、防火墙等）上的访问控制策略的技术。
ACL规则定义了允许或禁止通过网络设备的流量。
它基于一系列的条件和动作来控制网络流量的流入和流出。
ACL规则的作用ACL规则的作用是保护网络设备和网络资源的安全。
通过配置ACL规则，可以限制特定用户或特定IP地址的访问权限，防止未经授权的访问和攻击。
ACL规则可以用于控制网络流量的源和目的地，限制特定协议或端口的使用，实施流量过滤和防火墙策略。
ACL规则的分类ACL规则可以分为两种类型：标准ACL和扩展ACL。
标准ACL标准ACL是最简单的ACL类型，它只能基于源IP地址来过滤流量。
标准ACL适用于一些简单的网络策略，例如限制特定IP地址的访问权限。
标准ACL的规则是按照编号顺序执行的，当匹配到第一个规则时，后续的规则将不再生效。
扩展ACL扩展ACL比标准ACL更加灵活，它可以基于源IP地址、目的IP地址、协议类型、端口号等多个条件来过滤流量。
扩展ACL适用于更复杂的网络策略，可以实现更精细的流量控制和安全策略。
扩展ACL的规则也是按照编号顺序执行的，但当匹配到一条规则后，后续的规则仍然会继续执行。
ACL规则的配置与应用为了配置和应用ACL规则，我们需要了解一些基本的概念和步骤。
1. 确定ACL规则的目的在配置ACL规则之前，我们需要明确规定ACL的目的是什么。
是为了限制某些用户的访问权限，还是为了保护网络资源的安全？明确目的可以帮助我们更好地定义ACL规则。
2. 编写ACL规则根据ACL规则的目的，我们可以开始编写ACL规则。
ACL规则通常包括以下几个方面：•源IP地址：指定允许或禁止的源IP地址范围。
•目的IP地址：指定允许或禁止的目的IP地址范围。
•协议类型：指定允许或禁止的协议类型，如TCP、UDP、ICMP等。
•端口号：指定允许或禁止的端口号范围。
ACL实验配置
ACL实验配置ACL 高度总结：(以下总结希望都去做实验验证一下)1．为了避免 ACL 过多，号不够用，标准列表和扩展列表的范围进行了扩充标准：1-99，1300-1999扩展：100-199 ，2000-26992．路由器上的 ACL 不对自己产生的流量产生作用。
3．ACL 没有定义内容，就相当于不存在。
4．ACL 在一个接口的一个方向上只能配置一个访问列表，后面的会覆盖前面的5．不论是标准还是扩展列表，每个条目之间都是一个鼻孔出气，想要去掉某一个条目，实现不了，要么都去掉，要么都存在；但是命名的访问列表可以去掉单独的某一条目。
添加的条目会自动添加在末尾，不能在中间添加我们现在把R1和R5作为PC机，在R2、R3、R4上运行RIP v2，保障路由畅通。
一、标准ACL：要求： 192.168.1.0网络的数据不能访问192.168.4.0网络1、我们先在R2上配置ACL：access-list 1deny 192.168.1.0 0.0.0.255 拒绝192.168.1.0的数据通过access-list 1 permit any 允许其它网络的数据通过在接口上应用：interface fa0/0ip access-group 1 in 在法FA0/0口的进方向上应用ACL1测试：用PC0去ping 192.168.4.2，我们发现ping不通，说明ACL生效了，但是我们用PC0去ping其它的网络，比如ping 172.16.1.1,也ping不通，因为标准ACL只能对源进行控制，现在R2拒绝了来自192.168.1.0的数据，不管是到哪儿去的，所以R1现在哪儿都去不了。
在R2上用扩展的ping ，用192.168.1.2这个s0口的地址去ping 192.168.4.2，我们发现可以ping通，这是因为对于路由器自己产生的数据，ACL不起作用。
2、我们在R4上配置ACL：access-list 1deny 192.168.1.0 0.0.0.255 access-list 1 permit any在接口上应用：interface Serial1ip access-group 1 out 在s0口的出方向上应用ACL1在R2上把ACL去掉。
华为基本acl的编号范围
华为基本ACL的编号范围1. 什么是ACL？ACL（Access Control List）即访问控制列表，是一种用于网络设备中实现安全策略的技术。
ACL可以根据源IP地址、目的IP地址、协议类型、端口号等条件对数据包进行过滤和控制，从而限制网络流量的进出。
华为基本ACL是华为公司在其网络设备上实现的一种基本访问控制列表。
它允许管理员通过配置规则来限制或允许特定类型的数据包通过网络设备。
2. 华为基本ACL编号范围在华为设备上，每个ACL规则都有一个唯一的编号，用于标识该规则。
华为基本ACL规则的编号范围是1-3999。
其中，1-199表示标准ACL规则，200-299表示扩展ACL规则，300-399表示高级ACL规则。
2.1 标准ACL标准ACL是最简单和最常用的一种ACL类型。
它只能根据源IP地址来过滤数据包，并且只能对IP头部进行匹配操作。
标准ACL规则的编号范围是1-199。
管理员可以根据需要自定义标准ACL规则，并按照编号顺序配置到网络设备中。
以下是一个示例标准ACL配置：acl number 10rule 10 permit source 192.168.1.0 0.0.0.255rule 20 deny source any上述配置中，ACL编号为10的标准ACL规则允许源IP地址为192.168.1.0/24的数据包通过，拒绝其他源IP地址的数据包通过。
2.2 扩展ACL扩展ACL相比标准ACL更为灵活，可以根据源IP地址、目的IP地址、协议类型、端口号等条件来过滤数据包，并且可以对TCP和UDP头部进行精确匹配操作。
扩展ACL规则的编号范围是200-299。
管理员可以根据需要自定义扩展ACL规则，并按照编号顺序配置到网络设备中。
以下是一个示例扩展ACL配置：acl number 2000rule 5 permit tcp source 192.168.1.0 0.0.0.255 destination any eq wwwrule 10 deny ip source any destination any上述配置中，ACL编号为2000的扩展ACL规则允许源IP地址为192.168.1.0/24、目的端口号为80（HTTP）的TCP数据包通过，拒绝其他类型的数据包通过。
ACL配置规范
ACL实施配置指导ACL分类：第一类是：基本ACL1.标准ACL的编号范围：1-99和1300-1999；2.2.标准ACL只匹配源ip地址，3.ACL的匹配顺序为从上往下（ACE序号从小到大）匹配ACE条目，若匹配对应的ACE条目后，就执行该ACE条目的行为（允许/拒绝），不会再往下匹配其他ACE条目。
4.ACL最后隐含一体deny any的ACE条目，会拒绝所有流量。
若是禁止某网段访问，其他网段均放通，则应该在拒绝流量的ACE配置完成后，再加一条permit any的ACE条目，用来放行其他流量。
第二类是：扩展ACL1.扩展ACL的编号范围：100-199和2000-2699。
2.标准ACL只匹配源ip地址，扩展ACL可以匹配数据流的五大元素（源ip地址、目的ip地址、源端口、目的端口、协议号）3.ACL的匹配顺序为从上往下（ACE序号从小到大）匹配ACE条目，若匹配对应的ACE条目后，就执行该ACE条目的行为（允许/拒绝），不会再往下匹配其他ACE条目。
4.ACL最后隐含一体deny any的ACE条目，会拒绝所有流量。
若是禁止某网段访问，其他网段均放通，则应该在拒绝流量的ACE配置完成后，再加一条permit any的ACE条目，用来放行其他流量。
ACL规划：标准ACL总体规划如下:注释：通用ACL即是一类用户的接口都调用的ACL.扩展ACL总体规划如下：ACL规范：ACL命名规范：为了便于ACL的管理和检索，新增ACL命名规范需要统一制定规范，命名规范如下：公式：AAA_BB_N各字段含义如下：✓AAA：所属学校名称单字的首拼音大写，如西安工业大学则为XAGYDX；✓BB：区分不同的部门，如果为校内使用，则BB字段为XN。
如果是校外使用，则BB字段为XW。
如果是管理节点使用，则BB字段为GL。
如果是测试用户使用，则BB字段为CS；✓N：在默认情况下是数字1，如果遇到AAA_BB都一致时，N就从1往上加。
简述acl的分类和对应表号范围。
简述acl的分类和对应表号范围。
ACL即Access Control List，即访问控制列表，是一种用于控制网络设备中访问权限的机制。
它定义了允许或禁止数据包通过网络设备的规则。
ACL可以根据源IP地址、目的IP地址、协议类型、源端口、目的端口等条件来过滤和控制数据包的流动。
ACL根据功能和作用可以分为两类：标准ACL和扩展ACL。
一、标准ACL（Standard ACL）标准ACL是根据源IP地址来过滤数据包的ACL，在网络设备中使用数字编号来表示。
标准ACL只能根据源IP地址来过滤，不能根据其他条件进行过滤。
标准ACL适用于简单的过滤需求，通常用于限制特定用户或特定网络的访问。
标准ACL的编号范围为1-99和1300-1999，其中1-99是标准的编号范围，1300-1999是扩展的编号范围。
下面是标准ACL的分类和对应表号范围：1. ACL 1-99：标准ACL 1-99用于IPv4网络，可以根据源IP地址来过滤数据包。
这些ACL 通常用于限制特定用户或特定网络的访问。
例如，限制某个IP地址或IP地址段访问特定的网络资源。
2. ACL 1300-1999：标准ACL 1300-1999用于IPv6网络。
与IPv4网络相比，IPv6网络使用的地址位数更多，所以在IPv6网络中使用的ACL范围也更大。
这些标准ACL也是根据源IP地址来过滤数据包。
二、扩展ACL（Extended ACL）扩展ACL是根据源IP地址、目的IP地址、协议类型、源端口和目的端口等条件来过滤数据包的ACL。
扩展ACL相比标准ACL更加灵活，可以根据多个条件来过滤数据包，适用于复杂的网络环境。
扩展ACL的编号范围为100-199和2000-2699，其中100-199是标准的编号范围，2000-2699是扩展的编号范围。
下面是扩展ACL的分类和对应表号范围：1. ACL 100-199：扩展ACL 100-199用于IPv4网络，可以根据源IP地址、目的IP地址、协议类型、源端口和目的端口等条件来过滤数据包。
访问控制：标准ACL及扩展ACL
实验访问控制：标准ACL及应用一、实验目的1、了解标准ACL的概念和原理2、掌握ACL配置方法。
3、了解ACL的应用二、原理概述在网络管理中，需要允许/禁止访问一些站点，也要控制某些外部节点的连接，或者要限制特定的网络流量，这些可以通过设置路由器/防火墙/三层交换机的访问控制列表（ACL）来实现。
ACL用于控制端口上进出的数据包，适用于所有被路由的协议。
ACL的定义是基于协议的，每种协议需要定义一种ACL。
端口在每收到一个数据包以后，根据端口的ACL表逐条检查。
对于允许发送ACL，如果在表中有一条规则匹配的话就立即发送，而不用检查其他规则。
如果所有的规则都不匹配，则丢弃该数据包。
路由器内部产生的数据包不受ACL影响。
ACL分两种，标准ACL和扩展ACL。
标准ACL只检查数据包的源地址，而扩展的ACL更灵活，可以检查数据包的源、目的地址以及协议、端口等。
在配置中，标准ACL和扩展ACL 是通过ACL编号区分的，1-99表示标准ACL,而100-199为扩展ACL。
标准ACL格式如下：#access-list access-list-number[permit|deny]source[source-mask]扩展ACL的完全命令格式如下：#access-list access-list-number [permit|deny] [protocol|protocol-number] source source-wildcard [source-port] destination destination-wildcard [destination-port] [established] ACL配置分两步，首先在全局模式下利用access-list命令创建ACL,然后在接口配置模式下利用access-group命令应用ACL到接口上。
三、实验目的1、配置标准ACL,使特定子网中的某一机器才能访问其他网络。
标准ACL、扩展ACL和命名ACL的配置详解
标准ACL、扩展ACL和命名ACL的配置详解访问控制列表(ACL)是应⽤在路由器接⼝的指令列表(即规则)。
这些指令列表⽤来告诉路由器，那些数据包可以接受，那些数据包需要拒绝。
访问控制列表(ACL)的⼯作原理ACL使⽤包过滤技术，在路由器上读取OSI七层模型的第3层和第4层包头中的信息。
如源地址，⽬标地址，源端⼝，⽬标端⼝等，根据预先定义好的规则，对包进⾏过滤，从⽽达到访问控制的⽬的。
ACl是⼀组规则的集合，它应⽤在路由器的某个接⼝上。
对路由器接⼝⽽⾔，访问控制列表有两个⽅向。
出：已经过路由器的处理，正离开路由器的数据包。
⼊：已到达路由器接⼝的数据包。
将被路由器处理。
如果对路由器的某接⼝应⽤了ACL，那么路由器对数据包应⽤该组规则进⾏顺序匹配，使⽤匹配即停⽌的，不匹配则使⽤默认规则的⽅式来过滤数据包。
如下图：访问控制列表的类型标准访问控制列表：根据数据包的源IP地址来允许或拒绝数据包，标准访问控制列表的访问控制列表号是1-99。
扩展访问控制列表：根据数据包的源IP地址，⽬的IP地址，指定协议，端⼝和标志，来允许或拒绝数据包。
扩展访问控制列表的访问控制列表号是100-199配置标准控制列表创建标准ACL的语法如下：Router(config)#access-list access-list-number {permit|deny} source [souce-wildcard]下⾯是命令参数的详细说明access-list-number：访问控制列表号，标准ACL取值是1-99。
permit|deny：如果满⾜规则，则允许/拒绝通过。
source：数据包的源地址，可以是主机地址，也可以是⽹络地址。
source-wildcard：通配符掩码，也叫做反码，即⼦⽹掩码去反值。
如：正常⼦⽹掩码255.255.255.0取反则是0.0.0.255。
删除已建⽴的标准ACL语法如下：Router(config)#no access-list access-list-number列如：创建⼀个ACL允许192.168.1.0⽹段的所有主机。
acl的分类以及匹配规则
acl的分类以及匹配规则ACL（Access Control List）是一种用于网络设备和系统的访问控制机制，用于定义和控制网络资源的访问权限。
根据不同的分类和匹配规则，ACL可以实现对网络流量的过滤、控制和管理。
本文将介绍ACL的分类以及常用的匹配规则。
一、ACL的分类1. 标准ACL（Standard ACL）标准ACL基于源IP地址进行匹配，只能控制数据包的源地址。
它是最基础的ACL类型，适用于简单网络环境。
标准ACL的匹配规则是按照源IP地址进行匹配，如果源IP地址与ACL中的规则匹配，则进行相应的操作。
2. 扩展ACL（Extended ACL）扩展ACL不仅可以基于源IP地址进行匹配，还可以基于目的IP地址、协议类型、端口号等更多的条件进行匹配。
扩展ACL相对于标准ACL来说更加灵活，可以实现更精细的访问控制。
3. 命名ACL（Named ACL）命名ACL是为了方便管理和配置ACL而引入的一种ACL类型。
它可以使用名称来标识ACL规则，而不是使用ACL号码。
命名ACL 可以同时包含标准ACL和扩展ACL规则。
二、ACL的匹配规则1. 按源IP地址匹配ACL可以根据源IP地址来匹配网络流量。
例如，可以配置ACL规则，允许特定的源IP地址访问某个网络资源，而禁止其他源IP地址的访问。
2. 按目的IP地址匹配ACL也可以根据目的IP地址来匹配网络流量。
通过配置ACL规则，可以限制特定的目的IP地址访问某个网络资源，从而实现对特定主机或网络的保护。
3. 按协议类型匹配ACL可以根据协议类型来匹配网络流量。
例如，可以配置ACL规则，只允许ICMP协议的流量通过，而阻止其他协议类型的流量。
4. 按端口号匹配ACL也可以根据端口号来匹配网络流量。
通过配置ACL规则，可以限制特定端口号的访问，从而实现对特定服务的控制。
5. 按时间范围匹配ACL还可以根据时间范围来匹配网络流量。
通过配置ACL规则，可以在特定的时间段内允许或禁止特定的网络流量通过。
ACL 知识总结
Deny icmp host 1.1.1.1 host 2.2.2.2 echo
Permit ip any any
<2000-2699> IP extended access list (expanded range)
<300-399> DECnet access list
<600-699> Appletalk access list
<700-799> 48-bit MAC address access list
4）第三层协议：
Acces-list 101 deny icmp host 1.1.1.1 host2.2.2.2echo拒绝相应ICMP的echo包
Access-list 101 permit ip any any
int eቤተ መጻሕፍቲ ባይዱ/0
ip access-group 101 in
总结：
标准ACL：access-list 1 deny 1.1.1.1 0.0.0.255
ACL
作用与分类：
1）作用：管理IP流量，管理数据包
2）标准ACL：根据数据包的源IP地址来允许或拒绝数据包
使用ACL列表号为1-99/1300-1999
匹配的是整个协议
3）扩展ACL：根据数据包的源IP或目标IP来允许或拒绝数据包
使用ACL列表号为100-199/2000-2699
可以匹配特定的协议：（三到四层）如SIP,DIP,TCP,端口号
<800-899> IPX standard access list
<900-999> IPX extended access list
ACL协议配置-扩展ACL.
扩展访问控制列表的配置
第二步，使用ip access-group命令将扩展访问控制列表应用到某接口
信令类型
Router（config-if）#ip access-group access-list-number { in | out }
扩展ACL的配置实例
172.16.3.0
非172.16.0.0网段
第一步，使用access-list命令创建扩展访问控制列表
信令类型
Router(config)#access-list access-list-number { permit | deny } protocol [source source-wildcard destination destination-wildcard ] [operator port] [established] [log]
第二步，应用到接口E0的出方向
Router(config)#interface fastethernet 0/0 Router（config-if）#ip access-group 101 out
通信技术专业教学资源库 南京信息职业技术学院
谢谢
主讲：丁秀锋
通信技术专业教学资源库 南京信息职业技术学院
《数据网组建》课程
ACL基本配置
主讲：丁秀锋
目录
01 ACL配置步骤 02 扩展ACL配置 03 扩展ACL应用
ACL的配置步骤
ACL的配置包括以下两个步骤，请依次进行配置：
信令类型
1
定义访问控制列表
2
将访问控列表应用到物理端口
扩展访问控制列表的配置
Router(信co令n类fig型)#access-list 101 deny tcp 172.16.4.0 0.0.0.255 172.16.3.0 0.0.0.255 eq 21 Router(config)#access-list 101 deny tcp 172.16.4.0 0.0.0.255 172.16.3.0 0.0.0.255 eq 20 Router(config)#access-list 101 permit ip any any
标准ACL和扩展ACL.
2
编号ACL和命名ACL
3
输入条件语句
注意: • 应该将最频繁使用的 ACL 条目放在列表顶部. • 您必须在 ACL 中至少包含一条 permit 语句，
否则所有流量都会被阻止.
11
配置扩展 ACLs
配置扩展 ACL 的操作步骤与配置标准 ACL 的步骤相同 — 首先创建扩展 ACL，然后在接口上应用它.
12
配置扩展 ACLs
13
创建命名扩展 ACLs
1.进入全局配置模式，使用 ip access-list extendedname 命令创建命名 ACL. 2.在命名 ACL 配置模式中，指定您望允许或 拒绝的条件. 3.应用ACL. 4.返回特权执行模式，并使用 show accesslists [number | name] 命令检验 ACL.
若以ACL规定的表号范围的数字命名，则自动转为表号命名方式
8
监控和检验 ACLs
show access-lists
9
编辑命名 ACLs
命名 IP ACL 允许您删除指定 ACL 中的具体条目. 可以使用序列号将语句插入命名 ACL 中的任何位置。
10
扩展 ACLs
为了更加精确地控制流量过滤，可以使用编号在 100 到 199 之间以及 2000 到 2699 之 间的扩展 ACL（最多可使用 800 个扩展 ACL）。可以对扩展 ACL 命名.
ACL 3P原则
• 每种协议一个 ACL - 要控制接口上的流量，必须为接口上启用的每种协议定义相应的 ACL。 • 每个方向一个 ACL - 一个 ACL 只能控制接口上一个方向的流量。要控制入站流量和出站流量
标准acl 扩展acl
标准acl 扩展acl标准ACL（Access Control List）和扩展ACL是网络安全中常用的两种访问控制列表，用于控制网络设备上的数据流向和访问权限。
本文将对标准ACL和扩展ACL进行详细介绍，并比较它们之间的区别和适用场景。
ACL是一种基于规则的访问控制机制，通过在路由器、交换机等网络设备上配置ACL规则，可以限制数据包的流向和访问权限。
ACL可以根据源IP地址、目标IP地址、协议类型、端口号等条件对数据包进行过滤和控制，从而提高网络的安全性和管理效率。
首先，我们来介绍标准ACL。
标准ACL是最简单的一种ACL类型，它只能根据源IP地址来匹配数据包，并根据匹配结果决定是否允许数据包通过。
标准ACL的配置范围是1-99和1300-1999，其中1-99用于过滤IPV4数据包，1300-1999用于过滤IPV6数据包。
标准ACL通常用于实现简单的访问控制策略，比如限制某些特定的IP地址访问网络设备或特定的网络服务。
与标准ACL相对应的是扩展ACL。
扩展ACL可以根据源IP地址、目标IP地址、协议类型、端口号等多种条件对数据包进行匹配，并根据匹配结果决定是否允许数据包通过。
扩展ACL的配置范围是100-199和2000-2699，其中100-199用于过滤IPV4数据包，2000-2699用于过滤IPV6数据包。
扩展ACL相对于标准ACL来说，能够实现更加灵活和精细化的访问控制策略，因此在实际应用中更加常见。
在实际应用中，我们应该根据具体的网络环境和安全需求来选择合适的ACL类型。
如果只需要简单地限制某些特定的IP地址访问网络设备或特定的网络服务，可以选择标准ACL；如果需要实现更加灵活和精细化的访问控制策略，可以选择扩展ACL。
另外，我们还需要注意ACL的配置顺序，因为ACL是按照配置顺序逐条匹配的，所以配置顺序的不当可能会导致意外的网络访问问题。
总之，标准ACL和扩展ACL是网络安全中常用的两种访问控制列表，它们可以帮助我们实现对网络数据流向和访问权限的精细化控制。
标准ACL和扩展ACL
实验1：标准ACL一实验目的通过本实验可以掌握：（1）ACL设计原则和工作过程（2）定义标准ACL（3）应用ACL（4）标准ACL调试二拓扑结构三实验步骤（1）步骤1：配置路由器R1Router>enRouter#conf tEnter configuration commands, one per line. End with CNTL/Z.Router(config)#host R1R1(config)#int fa 0/0R1(config-if)#ip add 10.1.1.1 255.255.255.0R1(config-if)#no shutR1(config-if)#%LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to upR1(config-if)#int fa 0/1R1(config-if)#ip add 172.16.1.0 255.255.255.0Bad mask /24 for address 172.16.1.0R1(config-if)#ip add 172.16.1.1 255.255.255.0R1(config-if)#no shutR1(config-if)#%LINK-5-CHANGED: Interface FastEthernet0/1, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1, changed state toupR1(config-if)#int s0/0/0R1(config-if)#ip add 192.168.12.1 255.255.255.0R1(config-if)#clock rate 64000R1(config-if)#no shut%LINK-5-CHANGED: Interface Serial0/0/0, changed state to downR1(config-if)#exitR1(config)#router eigrp 1R1(config-router)#network 10.1.1.0 0.0.0.255R1(config-router)#network 172.16.1.0 0.0.0.255R1(config-router)#network 192.168.12.0R1(config-router)#no auto（2）步骤2：配置路由器R2Router>enRouter#conftEnter configuration commands, one per line. End with CNTL/Z.Router(config)#line con 0Router(config-line)#logg sRouter(config-line)#no ip domain-lRouter(config)#host R2R2(config)#int s0/0/0R2(config-if)#ip add 192.168.12.2 255.255.255.0R2(config-if)#no shutR2(config-if)#%LINK-5-CHANGED: Interface Serial0/0/0, changed state to upR2(config-if)#int s0/0/1R2(config-if)#ip add 192.168.23.2 25%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/0, changed state to up5 R2(config-if)#ip add 192.168.23.2 255.255.255.0R2(config-if)#clock rate 64000R2(config-if)#no shut%LINK-5-CHANGED: Interface Serial0/0/1, changed state to downR2(config)#int lo0R2(config-if)#%LINK-5-CHANGED: Interface Loopback0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed state to up R2(config-if)#ip add 2.2.2.2 255.255.255.0R2(config-if)#exitR2(config)#router eigrp 1R2(config-router)#network 2.2.2.0 0.0.0.255R2(config-router)#network 192.168.12.0 0.0.0.255R2(config-router)#%DUAL-5-NBRCHANGE: IP-EIGRP 1: Neighbor 192.168.12.1 (Serial0/0/0) is up: new adjacencyR2(config-router)#network 192.168.23.0 0.0.0.255R2(config-router)#no auto-summaryR2(config-router)#%DUAL-5-NBRCHANGE: IP-EIGRP 1: Neighbor 192.168.12.1 (Serial0/0/0) is up: new adjacencyR2(config-router)#exitR2(config)#access-list 1 deny 172.16.1.0 0.0.0.255 //定义标准ACLR2(config)#access-list 1 permit anyR2(config)#interface s0/0/0R2(config-if)#ip access-group 1 in //在接口上开启ACLR2(config-if)#access-list 2 permit 172.16.3.1 //定义标准ACLR2(config)#line vty 0 4R2(config-line)#access-class 2 in //在vty上开启ACLR2(config-line)#password ciscoR2(config-line)#login（3）步骤3：配置路由器R3Router>enRouter#conf tEnter configuration commands, one per line. End with CNTL/Z.Router(config)#line con 0Router(config-line)#logg sRouter(config-line)#no ip domain-lRouter(config)#host R3R3(config)#int fa 0/0R3(config-if)#ip add 172.16.3.3 255.255.255.0R3(config-if)#no shutR3(config-if)#%LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to upR3(config-if)#int s0/0/1R3(config-if)#ip add 192.168.23.3 255.255.255.0R3(config-if)#no shut%LINK-5-CHANGED: Interface Serial0/0/1, changed state to upR3(config-if)#%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to upR3(config-if)#exitR3(config)#router eigrp 1R3(config-router)#network 172.16.3.0 0.0.0.255R3(config-router)#network 192.168.23.0 0.0.0.255%DUAL-5-NBRCHANGE: IP-EIGRP 1: Neighbor 192.168.23.2 (Serial0/0/1) is up: newadjacencyR3(config-router)#no auto-summary%DUAL-5-NBRCHANGE: IP-EIGRP 1: Neighbor 192.168.23.2 (Serial0/0/1) is up: new adjacency四实验调试在PC1网络所在主机上ping 2.2.2.2，应该通，在PC2网络所在的主机上ping 2.2.2.2 应该不通，在主机PC3上Telnet 2.2.2.2，应该成功。
acl标准和扩展编号
acl标准和扩展编号
在计算机网络和系统管理中，"ACL" 通常指的是"Access Control List"（访问控制列表），用于规定对资源的访问权限。
不同的设备和操作系统可能有不同的ACL 标准和扩展编号，以下是一些常见的ACL 标准和扩展编号的示例：
Cisco 路由器上的ACL 标准编号：
•标准ACL：1-99
•扩展ACL：100-199
Cisco ASA 防火墙上的ACL 标准编号：
•标准ACL：1-99
•扩展ACL：100-199, 2000-2699
Cisco 路由器和交换机上的ACL 扩展编号：
•标准ACL：1-99
•扩展ACL：100-199, 2000-2699
路由器上的ACL 标准和扩展编号（一般）：
•标准ACL：1-99
•扩展ACL：100-199, 200-299, ..., 1300-1999
Linux 系统上的iptables（Netfilter）规则编号：
•输入链（Input）：1-32767
•输出链（Output）：1-32767
•转发链（Forward）：1-32767
Windows 防火墙规则编号：
•Windows 防火墙规则：具有唯一的GUID 标识符
请注意，这只是一些常见的ACL 标准和扩展编号的示例，实际上，具体的编号可能会因不同设备、操作系统、网络设备或应用而有所不同。
在配置ACL 时，你应该参考相应设备或系统的文档以了解正确的编号范围和使用规则。
19、(2)ACL(配置基于命名的标准和扩展ACL)
配置基于命名的标准和扩展ACL《access-list control list 访问控制列表访问控制列表》》实验拓扑:实验需求:1、 配置之前学过的任何一种动态路由协议（这里用EIGRP 为例为例）），使得拓扑中的每个子网可以互相连通使得拓扑中的每个子网可以互相连通。
2、 在R1上配置基于命名的标准ACL (名字为)，只允许22.1.1.0/24的主机可以telnet 管理R1。
3、 在R1上配置基于命名的标准ACL (名字为)，拒绝源地址为11.1.1.2(SW1的IP)的任何数据进入R1的E0/0接口接口。
4、 在R2上配置基于命基于命名名的扩展ACL (名字为wisdom),使得子网22.1.1.0/24可以ping 通子网13.1.1.0/24, 其它22.1.1.0/24到13.1.1.0/24的协议全部协议全部被被拒绝拒绝。
22.1.1.0/24访问其它网不受影响，要求ACL (名字为wisdom)应用在R2的E0/0接口 in 的方向。
5、 用SW2（IP 为11.1.1.3/24）作为Telnet.Server 和Web.Server ，其中Telnet.Server 只允许PC3：33.1.1.4访问访问，，Web.Server 允许所有主机访问许所有主机访问。
除了telnet 和web 的服务的服务，，其它协议全部关闭，要求在R1上配置基于命名基于命名的的扩展ACL (命名为CISCO)，应用在E0/0的Out 方向方向。
6、 在R1上配置基于命名基于命名扩展扩展ACL (名字为ccna.acl),在保证全网路由协议EIGRP 和ICMP 协议正常运行的情况下协议正常运行的情况下，，拒绝子网12.1.1.0/24和23.1.1.0/24访问13.1.1.0/24的所有协议的所有协议。
实验步骤:实现需求1：1) 配置之前学过的任何一种动态路由协议配置之前学过的任何一种动态路由协议（（这里用EIGRP 为例为例）），使得拓扑中的每个子网可以互相连通使得拓扑中的每个子网可以互相连通。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
ቤተ መጻሕፍቲ ባይዱ
西安通信学院六队
1 基础介绍 2 配置命令 4 课后思考
3 应用案例
Router（config）# access-list 101 permit tcp host 172.16.1.2 host 192.168.1.11 established
Router（config）# access-list 101 deny tcp host 172.16.1.2 host 192.168.1.11 Router（config）# access-list 101 permit ip any any Router（config）#int Fastethernet 0/1 Router（config-if）#ip access-group 101 out
西安通信学院六队
1 基础介绍 2 配置命令 3 应用案例 4 课后思考
扩展ACL课后练习： 如图网络拓扑所 示，某单位内 部网，例如 192.168.1.0/24， 其中仅允许 192.168.1.0/25 这半个C类地 址访问 202.103.13.0/2 4;
西安通信学院六队
2. 应用到接口
Router（config-if）#IP Access-group access-list-number {in|out} 其中：access-list-number：指出连接到这个接口的访问控制列表 表号。in|out：该ACL是应用到入站接口还是出站接口。如果In和 Out都没有指定，那么缺省地被认为为Out
1 基础介绍 2 配置命令 3 应用案例 4 课后思考
扩展ACL配置过程
1. 定义扩展访问控制列表
Router（config）#access-list access-list-number {permit|deny} {protocol} source-address source-wildcard [operator sourceport-number] destination-address destination-wildcard [operator destination-port-number] [established] [options]
西安通信学院六队
1 基础介绍 2 配置命令 4 课后思考
3 应用案例
2、如图所示，假设主机172.16.4.110是一台FTP服务器，配置 ACL能够实现功能为：禁止来自172.16.3.0子网的FTP数据从 接口f0/1接口转出，其他任何数据都可以从f0/1接口转出。
172.16.4.0/24
10.8.0.0/16 172.16.3.0/24 S0/0 F0/0 F0/1
二组 田广辉
2015-4-20
主要内容
1 基础介绍
2 配置命令
3 应用案例
4 课后思考
西安通信学院六队
1 基础介绍 2 配置命令 3 应用案例 4 课后思考
访问控制列表（Access Control List，ACL） 是路由器
和交换机接口的指令列表，用来控制端口进出的数据包。ACL 适用于所有的被路由协议，如IP、IPX、AppleTalk等。ACL可以 过滤网络中的流量，是控制访问的一种网络技术手段。 配置ACL后，可以限制网络流量，允许特定设备访问，指定 转发特定端口数据包等。如可以配置ACL，禁止局域网内的设 备访问外部公共网络，或者只能使用FTP服务。ACL既可以在路 由器上配置，也可以在具有ACL功能的业务软件上进行配置。
172.16.4.110
西安通信学院六队
1 基础介绍 2 配置命令 4 课后思考
3 应用案例
Router（config）# access-list 101 deny tcp 172.16.3.0 0.0.0.255 host 172.16.4.110 eq 21 Router（config）# access-list 101 deny tcp 172.16.3.0 0.0.0.255 host 172.16.4.110 eq 20 Router（config）# access-list 101 permit any any Router（config）#int Fastethernet 0/0 Router（config-if）#ip access-group 101 out
Operator source-portnumber/ destinationport-number established
西安通信学院六队
1 基础介绍 3 应用案例 4 课后思考
2 配置命令
Router(config)#
access-list access-list-number { permit | deny } protocol source source-wildcard [operator port] destination destination-wildcard [ operator port ] [ established ] [log]
西安通信学院六队
2 配置命令 3 应用案例 4 课后思考
1 基础介绍
标准访问列表和扩展访问列表比较
标准
基于源地址 允许和拒绝完整的 TCP/IP协议 编号范围 1-99和1300-1999
扩展
基于源地址和目标地址 指定TCP/IP的特定协议 和端口号 编号范围 100-199和20002699
西安通信学院六队
• 设置访问列表的参数
Router(config-if)# ip access-group access-list-number { in | out }
• 在端口上应用访问列表
西安通信学院六队
1 基础介绍 2 配置命令 3 应用案例 4 课后思考
1、如图所示，假设172.16.0.0网段中有一台Web或FTP 服务器，192.168.1.0网段中只有工作站没有服务器。 为了提高安全性不允许向192.168.1.0网段主动发起 TCP连接请求，而只允许192.168.1.0网段向外主动发 起TCP连接请求，例如请求访问172.16.1.2这台服务器。
西安通信学院六队
1 基础介绍 3 应用案例 4 课后思考
2 配置命令
Source-address and destination-address Source-wildcard and destination- wildcard
分别用来标识源地址和目的地址 通配符掩码，source-wildcard是源掩码，跟源地址相对应； destination-wildcard是目的掩码，跟目的地址相对应。“0” 表示该比特位必须严格匹配；而“1”则表示该比特位不需 要进行检查 It, gt, eq, neq（小于，大于，等于，不等于）和一个端 口号 仅当协议选项为TCP时可用，用来控制三次握手。ACK＝ 1的TCP数据匹配该项
西安通信学院六队
2 配置命令 3 应用案例 4 课后思考
1 基础介绍
目前有三种主要的ACL:标准ACL、扩展ACL及命名ACL。 标准ACL可以阻止来自某一网络的所有通信流量，或者允 许来自某一特定网络的所有通信流量，或者拒绝某一协议簇 （比如IP）的所有通信流量。 扩展ACL比标准ACL提供了更广泛的控制范围。例如，网 络管理员如果希望做到“允许外来的Web通信流量通过，拒 绝外来的FTP和Telnet等通信流量”，那么，他可以使用扩展 ACL来达到目的，标准ACL不能控制这么精确
西安通信学院六队
1 基础介绍 3 应用案例 4 课后思考
2 配置命令
扩展ACL命令参数说明
参数 参数说明
Access-list-number
Permit | deny Protocol
访问控制列表表号。使用一个100到199或2300到2699之间 的数字来标识一个访问控制列表
用来表示在满足测试条件的情况下，该入口是允许还是拒 绝后面指定特定地址的通信流量 可以指定为0255之间的任一协议号，对于常见协议（如 IP、TCP、UDP）可以直观地指定协议名，如指定为IP， 则该规则对所有IP包均起作用