项目11 访问控制列表.pptVIP

网络工程实践 项目11 访问控制列表 ACL的作用 ACL=Access List　 　　　ACL可以限制网络流量、提高网络性能。例如，ACL可以根据数据包的协议，指定数据包的优先级。 　　　　ACL提供对通信流量的控制手段。例如，ACL可以限定或简化路由更新信息的长度，从而限制通过路由器某一网段的通信流量。 　　　　ACL是提供网络安全访问的基本手段。如图1所示，ACL允许主机A访问人力资源网络，而拒绝主机B访问。 　　　　ACL可以在路由器端口处决定哪种类型的通信流量被转发或被阻塞。例如，用户可以允许E-mail通信流量被路由，拒绝所有的Telnet通信流量。 标准访问控制列表命令 acl listnumber rule normal { permit | deny } source-addr [ source-mask ] listnumber 是1-99之间，表示是标准访问列表规则。　　 permit 表明允许满足条件的报文通过。 deny 表明禁止满足条件的报文通过。 [Quidway]acl 10 [Quidway]rule normal permit source 10.65.1.1 0.0.0.0 ACL中的反掩码 ACL访问控制列表的掩码。是反向子网掩码. ACL中，反掩码的0表示要匹配的位，1是不必匹配的位 正式的名字是通配符掩码 Rule normal permit source 10.65.1.0 0.0.0.255此条，将允许来自10.65.1.x的数据包通过 扩展访问列表命令 acl listnumber2 rule { normal | special } { permit | deny } {tcp|udp} source{ |any} destination {|any} [ operator port1 [ port2 ] Listnumber2 100-199 rule { normal | special } { permit | deny } icmp source{ |any} destination {|any} [ operator port1 [ port2 ] operator[可选] 端口操作符，在协议类型为TCP或UDP时支持端口比较，支持的比较操作有：等于（eq）、大于（gt）、小于（lt）、不等于（neq）或介于（range）；如果操作符为range，则后面需要跟两个端口。 port2 在协议类型为TCP或UDP且操作类型为range时出现；可以为关键字所设定的预设值（如telnet）或0~65535之间的一个数值。 如：--拒绝192.168.0.0网段到131.107.0.0网段的telnet流量 [Router1]acl 101 [Router1-acl-101]rule deny tcp source 192.168.0.99 0.0.0.255 des 131.107.0.0 0.0.255.255 eq telnet ACL的配置分为两个步骤 第一步:在全局视图下，创建ACL： [quidway] acl listnumber [acl listnumber]rule rule normal { permit | deny } source-addr [ source-mask ] 第二步：在接口视图下，将ACL应用到某一接口上： 　 [quidway]int e0 [quidway interface e0]firewall packet-fileter listnumber [in | out] 网络拓扑结构 首先配置rip协议 配好各接口IP后，在两台路由器上配置rip协议使网络连通 [Quidway]rip version 2 multicast [Quidway]rip [Quidway-rip]network all [Quidway-rip]ip routing 现在各主机都可以ping通 配置标准ACL [Quidway]firewall enable //允许防火墙 [Quidway]firewall default permit //配置访问规则允许所有包通过 [Quidway]acl 10 //定义一个acl列表编号10 [Quidway-acl-10]rule normal deny source 10.65.1.1 //定义标准列表，规定拒绝来自10.65.1.1的包通过 [Quidway-acl-10]rule normal permit source any //其他的允许通过 [Quidway-acl-10]int e0 // 进入接口e0 [Quid