41、访问控制列表ACL.ppt

访问控制列表配置 根据需要控制不安全的访问，使其不可以访问敏感数据，同时不影响正常的数据访问 财务部 业务部 访问控制列表的作用 访问控制列表的实现 标准访问控制 只针对数据包的源IP地址进行过滤 对上层信息不能予以区分 扩展访问控制 可以针对数据的源及目的IP地址进行过滤 也可识别传输层的协议类型及协议端口号，并据此进行过滤 定义一个列表说明业务部的IP地址将被禁止，其他都可以通过 将此列表加载在财务部的接口上，方向为出 财务部 业务部 标准访问控制的实现 定义一个列表说明有限的几个已知安全的IP地址将被允许，其他都将被禁止 将此列表加载在业务部的接口上，方向为出 财务部 业务部 标准访问控制的实现 定义一个扩展访问控制列表说明允许任何IP的WEB服务器的HTTP服务请求和E-MAIL服务请求，但拒绝任何PING ECHO和FTP连接请求 将此列表放置在路由器的广域网接口，当有数据报进入路由器时进行检查 财务部 业务部 WEB FTP E-MAIL PING 扩展访问控制的实现 DCR系列路由器的配置 标准访问控制列表 定义一个列表 Ip access-list standard name Permit/deny source_ip Or (Access-list 1-99 permit/deny source_ip) 在端口上加载列表 Ip access-group name/(1-99) in/out DCR系列路由器的配置 扩展访问控制列表 定义一个列表 Ip access-list extended name Permit/deny protocol_name source_ip wildcardmask destination_ip wildcardmask eq/gt/lc protocol_number Or (Access-list 100-199 permit/deny protocol_name source_ip wildcardmask destination_ip wildcardmask eq/gt/lc protocol_number) 在端口上加载 Ip access-group name/(100-199) in/out 访问控制列表配置 ip access-list extended aaa deny tcp any 55 eq 21 permit ip any any fastethernet 0/0 ip address ip access-group aaa out interface serial 1/0 encapsulation hdlc physical-layer speed 64000 ip address 52 此图中应用访问列表实现禁止外部网络访问本地IP 地址为的网络服务器FTP连接 * * * * * * * * * * * * * * * * * *