访问控制列表与端口安全.pptxVIP

2025/8/14第1页第八章访问控制列表与端口安全

本章课题2025/8/14第2页访问控制列表简介01编号访问控制列表配置02命名访问控制列表03基于时间访问的控制列表04端口安全05

网络安全隐患2025/8/14第3页213非人为的或自然力造成的故障、事故等。人为但属于操作人员无意的失误造成的数据丢失或损坏。来自园区网外部和内部人员的恶意攻击和破坏。

现有网络安全体制2025/8/14第4页现有网络安全防御体制IDS68%杀毒软件99%防火墙98%ACL71%

VPN虚拟专用网防火墙包过滤防病毒入侵检测

什么是访问列表2025/8/14第6页ISP√IPAccess-list：IP访问列表或访问控制列表，简称IPACLIPACL就是对经过网络设备的数据包根据一定的规则进行数据包的过滤。

访问列表的作用2025/8/14第7页访问控制列表可以限制网络流量、提高网络性能、控制网络通信流量等，同时ACL也是网络访问控制的基本安全手段。在路由器或交换机的接口上配置访问控制列表后，可以对进出接口及通过接口中继的数据包进行安全检测。配置访问控制列表的目的主要基于以下两点。限制路由更新。限制网络访问。010302

访问控制列表类型2025/8/14第8页编号的标准IP访问控制列表命名的标准IP访问控制列表标准IP访问控制列表编号的扩展IP访问控制列表命名的扩展IP访问控制列表扩展IP访问控制列表

ACL的一些相关特性2025/8/14第9页在路由选择决定以后，数据准备从某一个接口输出报文时，应用在接口离开方向的ACL（外向ACL）起作用。每一个接口可以在进入（Inbound）和离开（Outbound）两个方向上分别应用一个ACL，且每个方向上只能应用一个ACL。在路由器或交换机接口接收到报文时，应用在接口进入方向的ACL（内向ACL）起作用。ACL语句包括两个动作，一个是拒绝（Deny），一个是允许（Permit）。每个ACL的结尾有一个隐含的denyall（拒绝的所有数据包）语句。因此，如果包不匹配ACL中的任何语句，将被拒绝。

ACL的内向匹配过程2025/8/14第10页路由器取出内向ACL的数据包进入路由器数据包进入路由器路由器取出内向ACL的第一条语句允许还是拒绝？匹配项与数据包中的各项进行比较是否匹配匹配项与数据包是否匹配？允许还是拒绝？取出内向ACL

下一条语句最后一条？允许进行路由选择拒绝决定转发接口丢弃结束

ACL的外向匹配过程2025/8/14第11页路由器取出外向ACL的第一条语句选择离开接口是否匹配？匹配项与数据包中的各项进行比较取出外向ACL

下一条语句最后一条？允许还是拒绝？允许数据包从离开接口送出结束丢弃拒绝

通配符掩码2025/8/14第12页通配符掩码掩码的二进制形式描0000000000000000整个lP地址必须匹配550000000000000000有前24位需要匹配550000000011111111有前16位需要匹配550000000011111111有前8位需要匹配551111111111111111部不需要匹配550000000000001111有前20位需要匹配550000000000000011有前22位需要匹配

IP地址与通配符掩码的作用规则IP地址与通配符掩码的作用规则是：32位的IP地址与32位的通配符掩码逐位进行比较，通配符掩码为0的位要求IP地址的对应位必须匹配，通配符掩码为1的位所对应的IP地址位不必匹配，例如，IP地址 （相应的二进制1010100000000000）通配符掩码 55 （相应的二进制0000000011111111）该通配符掩码的前24位为0，对应的IP地址位必须匹配，即必须保持原数不变，该通配符掩码的后8位为1，对应的IP地址位不必匹配，即IP地址的后8位可以为任意值。也就是说IP地址和通配符掩码匹配的结果是这个网段内的所有主机。

两个特殊的关键字2025/8/14第14页access-list10permit0或Host：表示一种精确匹配，是通配符掩码的简写形式。例如，只检查IP地址为的数据包，可使用以下两种ACL语句。01或access-list10permitanyAny：表示全部不进行匹配，是通配符掩码的简写形式。例如，允许