第17章访问控制列表.ppt.ppt

第17章 访问控制列表 本章内容 ACL概述 标准ACL 扩展ACL 配置ACL的注意事项 复杂ACL 课程议题 17.1 ACL概述 ACL定义 ACL(Access Control List，访问控制列表)是一系列运用到路由器接口的指令列表。这些指令告诉路由器接收哪些数据包、拒绝哪些数据库，接收或者拒绝根据一定的规则进行，如源地址、目标地址、端口号。 路由器将根据ACL中指定的条件，对经过路由器端口的数据包进行检查。 ACL可以基于所有的Routed Protocols对经过路由器的数据包进行过滤。ACL在路由器的端口过滤数据流，决定是否转发或者阻止数据包。 ACL作用 ACL可以用做控制和过滤流经路由器端口的数据包的工具。ACL具有下列作用： 限制网络流量，提高网络性能 提供数据流控制 为网络访问提供基本的安全层 决定转发或者阻止哪些类型的数据流 ACL工作流程 路由器上ACL的工作流程 ACL工作流程 ACL指令组的执行过程 Cisco IOS按照各描述语句在ACL中的顺序，根据各描述语句的判断条件，对数据包进行检查。一旦找到了某一匹配条件，就结束比较过程，不再检查以后的其他条件判断语句。 ACL类型 ACL根据功能不同，有多种类型，CCNA中涉及的有标准ACL、扩展ACL、动态ACL、自反ACL、基于时间的ACL。 本章后面会陆续介绍这几种ACL的使用。CCNA考试的重点是标准ACL和扩展ACL的使用。 课程议题 17.2 标准ACL 通配符掩码 路由器使用通配符掩码与源或目标地址一起来分辨匹配的地址范围。 在子网掩码中，将掩码的一位设成1表示IP地址对应的位属于网络地址部分，而在访问控制列表中，将通配符掩码中的一位设成1表示忽略IP地址中对应的位，该位既可以是1又可以是0。 .55 实现的是匹配从到55的所有IP地址 .55 实现的是匹配从到55的所有IP地址 通配符掩码 1.是一个32比特位的数字字符串 A wildcard mask is a 32-bit quantity) 2.0表示“检查相应的位”,1表示“不检查（忽略）相应的位” A zero means let the value through to be checked, the X’s (1’s) mean block the value from being compared. 配置标准ACL 1、创建ACL： access-list access-list-number {deny︱permit} {source [source- wildcard ] ︱any} [log] 2、应用ACL R3(config) #int s1/0 R3(config-if) #ip access-group 1 in 编辑标准ACL 标准的ACL编辑如下： 删除ACL 命令：R3(config) #no access-list 1 取消ACL在接口的应用 命令：R3(config) #int s1/0 R3(config-if) #no if access-group 1 in 编辑ACL 推荐把现有的ACL拷贝到专门的文本编辑软件中，对ACL进行编辑，然后删除路由器中的ACL，再把编辑好的ACL粘贴到路由器的命令行窗口中。 标准ACL放置的位置 总结：标准ACL要尽量应用在靠近靠近目标端 Place standard access lists close to the destination 配置标准命名ACL 可以使用字符串代替数字，来标识ACL，称为命名ACL。使用命名ACL的优点包括： 可以在不删除整个ACL的情况下修改它。 用字符串可以更直观标识一个ACL的用途。 对于给定的协议，需要配置超出99个标准ACL。 在使