1.1 ACL配置
在讲述各种ACL的配置之前，先介绍一下ACL规则中IP地址的表示方法。
在IP标准及IP扩展访问列表中，在定义规则时，source用于定义报文的源网络或主机，source-wildcard是应用于source的通配符，destination用于定义报文的目的网络或主机，destination-wildcard是应用于destination的通配符。
地址通配符的格式与IP 地址一样，也是32位点分十进制格式。如果地址通配符某一位为1，则相应的源IP地址（对应source-wildcard）或目的IP地址（对应destination-wildcard）对应位为任意值（即无意义）。如果地址通配符某一位为0，则相应的IP地址对应位为指定的值。可以简单地认为地址通配符等于子网掩码按位取反。
比如，如果要对源IP地址为192.168.12.2的主机进行过滤，则应该设置相应规则的source 为192.168.12.2，source-wildcard为0.0.0.0。如果要对192.168.12.0/24网段的所有主机进行过滤，则可以设置source=192.168.12.x（x表示0～255任意值，一般取0），source-wildcard=0.0.0.255。
source，source-wildcard，destination，destination-wildcard有如下三种表示方法：
方法一：都用32位点分十进制格式；
方法二：关键字any是source及source-wildcard（或destination及destination-wildcard）为0.0.0.0 255.255.255.255的缩写，即指明为任意源（目的）主机；
方法三：host source代表源主机source及source-wildcard为0.0.0.0，host destination代表目的主机destination及destination-wildcard为0.0.0.0。
本节将描述各种访问列表的具体配置：
IP标准访问列表的配置
IP扩展访问列表的配置
MAC标准访问列表的配置
MAC扩展访问列表的配置
以太协议访问列表的配置
自反访问列表的配置
ACL日志参数的配置
1.1.1 IP标准访问列表的配置
IP标准访问列表只根据源IP地址制定规则，对数据包进行相应的分析处理。
1.1.1.1 基本指令描述
命令描述配置模式
access-list * 配置访问列表config
ip access-list standard * 配置标准访问列表config
sequence * 配置规则的序号，范围<1-2147483647>。config-std-nacl
permit * 配置一条允许通过的规则config-std-nacl
deny *配置一条拒绝通过的规则config-std-nacl
remark 配置一条访问列表注释config-std-nacl
注：命令描述前带“*”符号的表示该命令有配置实例详细说明。
access-list
定义一条以数字命名的IP标准访问列表的规则。
access-list access-list-number { permit | deny } {any | source source-wildcard | host source} [log]
[time-range time-range-name]
access-list access-list-number remark comment
语法描述
access-list 配置一条访问列表规则
access-list-number IP标准访问列表的编号，范围<1-1000>。
permit 如果条件匹配，就允许访问。
deny 如果条件匹配，就拒绝访问。
any 任意源地址
source source-wildcard 源IP地址及通配符
host source 一个源主机地址
log 对符合条件的数据包作日志。日志内容包括访问列表的名称，数据包通过或被丢弃，数据包的数目。
time-range time-range-name 指定规则生效的时间域
remark comment 配置一条注释。注释规则，不会参与规则的匹配，仅仅起到规则的注释和分隔作用。
【配置模式】全局配置模式
【缺省情况】没有配置任何访问列表和规则。
no格式是删掉一条以数字命名的访问列表，包含它里面的所有规则。
no access-list access-list-number
ip access-list standard
创建一个IP标准访问列表，可以用数字命名，也可以是用户自定义名称，该命令将进入IP 标准访问列表配置模式。
ip access-list standard { access-list-number | access-list-name }
语法描述
access-list-number 标准访问列表的编号，范围<1-1000>。
access-list-name 访问列表的名称
【配置模式】全局配置模式
【缺省情况】没有配置任何访问列表和规则。
no格式是删掉某个IP标准访问列表，包含它里面的所有规则。
no ip access-list standard { access-list-number | access-list-name }
permit | deny
配置一条permit或deny的IP标准访问列表规则。
[sequence] { permit | deny } { any | source source-wildcard | host source } [log] [time-range time-range-name]
语法描述
sequence 规则序号
permit 如果条件匹配，就允许访问。
deny 如果条件匹配，就拒绝访问。
any 任意源地址
source source-wildcard 源IP地址及通配符
host source 一个源主机地址
log 对符合条件的数据包作日志。日志内容包括访问列表的名称，数据包通过或被丢弃，数
据包的数目。
time-range time-range-name 指定规则生效的时间域
【配置模式】IP标准访问列表配置模式
【缺省情况】没有配置任何访问列表和规则。
no格式是删除指定的规则，可以仅指定规则序号，也可以带上规则的内容。
no sequence
no [sequence] { permit | deny } { any | source source-wildcard | host source } [log] [time-range time-range-name]
remark
配置一条注释，给访问列表规则增加注释。
[sequence] remark comment
语法描述
sequence 规则序号
remark comment 配置一条注释。注释规则，不会参与规则的匹配，仅仅起到规则的注释和分隔作用。
【配置模式】IP标准访问列表配置模式
【缺省情况】没有配置任何访问列表和规则。
no格式是删掉一条注释。
no sequence
no [sequence] remark comment
1.1.1.2 应用实例
建立标准访问列表2，定义了三条规则，它允许子网92.49.0.0上的主机IP地址为92.49.0.3发来的包通过，允许子网92.48.0.0上所有机器发来的包，拒绝接收其它的包。
命令描述
router(config)# access-list 2 permit host 92.49.0.3允许主机IP地址为92.49.0.3发来的包通过router(config)# access-list 2 permit 92.48.0.0 0.0.255.255 允许子网92.48.0.0上所有机器发来的包
router(config)# access-list 2 deny any 拒绝接收其它的包
以下定义可以起到同样效果：
命令描述
router(config)# ip access-list standard 2 创建标准IP访问列表2
router(config-std-nacl)# 10 permit host 92.49.0.3 允许主机IP地址为92.49.0.3发来的包通过router(config-std-nacl)# 20 permit 92.48.0.0 0.0.255.255 允许子网92.48.0.0上所有机器发来的包
router(config-std-nacl)# 30 deny any 拒绝接收其它的包
router(config-std-nacl)# exit
当要删除其中的一条规则时应如下操作：
命令描述
router(config)# ip access-list standard 2
router(config-std-nacl)# no 20 删除序号为20的规则
router(config-std-nacl)# exit
1.1.2 IP扩展访问列表的配置
IP扩展控制列表可以根据IP协议号、源IP地址、目的IP地址、源TCP/UDP端口号、目的TCP/UDP端口号、报文优先级、TCP标志、IP分片标志等属性制定分类规则，对数据包进行相应的处理。IP扩展访问列表比IP标准访问列表所定义的内容更丰富，更准确，也更灵活。
1.1.
2.1 基本指令描述
命令描述配置模式
access-list 配置访问列表config
ip access-list extend 配置IP扩展访问列表config
sequence 配置规则的序号，范围<1-2147483647>。c onfig-ext-nacl
permit 配置一条允许通过的规则config-ext-nacl
deny 配置一条拒绝通过的规则config-ext-nacl
remark 配置一条访问列表注释config-ext-nacl
show ip access-list 显示IP访问列表的配置情况特权模式
clear ip access-list 清除IP访问列表的报文统计特权模式
show access-list 显示访问列表的配置情况特权模式
clear access-list 清除访问列表的报文统计特权模式
access-list
定义一条以数字命名的IP扩展访问列表的规则。
access-list access-list-number { permit | deny } protocol source source-wildcard [operator source-port [source-port]] destination destination-wildcard [icmp-type] [icmp-code] [igmp-type] [operator destination-port [destination-port]] [ack / fin / established / psh / rst / syn / urg] [precedence precedence] [tos tos] [dscp dscp] [fragments] [log] [time-range time-range-name] access-list access-list-number remark comment
语法描述
access-list-number IP扩展访问列表的编号，范围<1001-2000>。
permit 如果条件匹配，就允许访问。
deny 如果条件匹配，就拒绝访问。
protocol 匹配的协议。可以配置以下值之一：
<0-255> 指定协议号的数值
icmp 指定Internet差错与控制报文协议(ICMP)
igmp 指定Internet群组管理协议(IGMP)
ip 指定所有的Internet协议
tcp 指定传输控制协议(TCP)
udp 指定用户数据报协议(UDP)
ospf 指定OSPF路由协议
irmp 指定IRMP路由协议
pim 指定PIM多播路由协议
vrrp 指定虚拟路由冗余协议
source source-wildcard 报文来自的网络或主机，也即报文的源地址。它有三种表示方法，见前面IP地址表示方法的介绍。
destination destination-wildcard 报文的目的网络或主机，也即报文的目的地址。它有三种表
示方法，见前面IP地址表示方法的介绍。
precedence precedence 报文的IP优先级。可以配置以下值之一：
<0-7> IP优先级的数值
critical （5）
flash （3）
flash-override （4）
immediate （2）
internet （6）
network （7）
priority （1）
routine （0）
tos tos 服务类型。可以配置以下值之一：
<0-15> 服务类型的数值
max-reliability 最高可靠性（2）
max-throughput 最大吞吐量（4）
min-delay 最小时延（8）
min-monetary-cost 最小费用（1）
normal 一般服务
dscp dscp 区分服务代码点。可以配置以下值之一：
<0-63> 区分服务代码点的数值
af11 (10)
af12 (12)
af13 (14)
af21 (18)
af22 (20)
af23 (22)
af31 (26)
af32 (28)
af33 (30)
af41 (34)
af42 (36)
af43 (38)
cs1 (8)
cs2 (16)
cs3 (24)
cs4 (32)
cs5 (40)
cs6 (48)
cs7 (56)
default (0)
ef (46)
icmp-type ICMP报文的消息类型。它可以是0到255之间的一个数值或消息类型的名称。icmp-code ICMP报文的代码类型。它可以是0到255之间的一个数值或消息代码的名称。igmp-type IGMP报文的消息类型。它可以是0到15之间的一个数值。
operator 端口比较。可以选择以下之一：
eq 匹配某个端口的报文
gt 匹配大于某个端口的TCP/UDP报文（不包括该端口）
lt 匹配小于某个端口的TCP/UDP报文（不包括该端口）
neq 匹配不等于某个端口的TCP/UDP报文
range 匹配某两个端口范围之间的TCP/UDP报文（包括上限/下限端口）
wildcard 通配符匹配
source-port 指定源端口。可以是一个具体的数值，也可以是一个常用端口别名字符串。destination-port 指定目的端口号。可以是一个具体的数值，也可以是一个常用端口别名字符串。
ack / fin / psh / rst / syn / urg 用于匹配TCP的标志位。它们分别是：确认标志、结束标志、立即发送标志、复位标志、同步标志、紧急标志。
established 是TCP建立连接的标志。如果TCP包有ACK或RST位置位，就会匹配。只有初始建立连接的包不会匹配。
fragments指定该规则是否仅对非首片分片报文有效。当包含此参数时，表示该规则仅对非首片分片报文有效。
log 对符合条件的数据包作日志。日志内容包括访问列表的名称，数据包通过或被丢弃，数据包的数目。
time-range time-range-name 指定规则生效的时间域
remark comment 配置一条注释。注释规则，不会参与规则的匹配，仅仅起到规则的注释和分隔作用。
【配置模式】全局配置模式
【缺省情况】没有配置任何访问列表和规则。
no格式是删掉某个访问列表，包含它里面的所有规则。
no access-list access-list-number
ACL中支持的TCP/UDP知名端口见下表。
协议端口名称意义及实际值
TCP bgp Border Gateway Protocol (179)
chargen Character generator (19)
daytime Daytime (13)
discard Discard (9)
domain Domain Name Service (53)
echo Echo (7)
exec Exec (rsh, 512)
finger Finger (79)
ftp File Transfer Protocol (21)
ftp-data FTP data connections (20)
gopher Gopher (70)
hostname NIC hostname server (101)
identIdent Protocol (113)
irc Internet Relay Chat (194)
klogin Kerberos login (543)
kshell Kerberos shell (544)
login Login (rlogin, 513)
lpd Printer service (515)
nntp Network News Transport Protocol (119)
pim-auto-rp PIM Auto-RP (496)
pop2 Post Office Protocol v2 (109)
pop3 Post Office Protocol v3 (110)
smtp S imple Mail Transport Protocol (25)
sunrpc Sun Remote Procedure Call (111)
syslog Syslog (514)
tacacs TAC Access Control System (49)
talk Talk (517)
telnet Telnet (23)
time Time (37)
uucp U nix-to-Unix Copy Program (540)
whois Nicname (43)
www World Wide Web (HTTP, 80)
UDP bootpc Bootstrap Protocol (BOOTP) client (68)
bootps Bootstrap Protocol (BOOTP) server (67)
discard Discard (9)
dnsix DNSIX security protocol auditing (195)
domain Domain Name Service (DNS, 53)
echo Echo (7)
isakmp Internet Security Association and Key Management Protocol (500)
mobile-ip Mobile IP registration (434)
nameserver IEN116 name service (obsolete, 42)
netbios-dgm NetBios datagram service (138)
netbios-ns NetBios name service (137)
netbios-ss NetBios session service (139)
non500-isakmp Internet Security Association and Key Management Protocol (4500) ntp Network Time Protocol (123)
pim-auto-rp PIM Auto-RP (496)
rip Routing Information Protocol (router, in.routed, 520)
snmp Simple Network Management Protocol (161)
snmptrap SNMP Traps (162)
sunrpc Sun Remote Procedure Call (111)
syslog System Logger (514)
tacacs TAC Access Control System (49)
talk Talk (517)
tftp Trivial File Transfer Protocol (69)
time Time (37)
xdmcp X Display Manager Control Protocol (177)
ACL中支持的ICMP type/code名称见下表。（符号*表示0～255之间的任意数值）ICMP type/code名称意义及实际值
administratively-prohibited Communication administratively prohibited by filtering(3/13) alternate-address Alternate address(6/*)
conversion-error Datagram conversion(31/*)
dod-host-prohibited D esination host administratively prohibited(3/10)
dod-net-prohibited Desination network administratively prohibited(3/9)
echo Echo (ping)(8/*)
echo-reply Echo reply(0/*)
general-parameter-problem Parameter problem(12/0)
host-isolated Source host isolated(3/8)
host-precedence-unreachable Host precedence violation(3/14)
host-redirect Redirect for host(5/1)
host-tos-redirect Host redirect for TOS(5/3)
host-tos-unreachable Host unreachable for TOS(3/12)
host-unknown Desination host unknown(3/7)
host-unreachable Host unreachable(3/1)
information-reply Information replies(16/*)
information-request I nformation requests(15/*)
mask-reply Mask-reply(18/*)
mask-request Mask requests(17/*)
mobile-redirect Mobile host redirect(32/*)
net-redirect Redirect for network(5/0)
net-tos-redirect Net redirect for TOS(5/2)
net-tos-unreachable Network unreachable for TOS(3/11)
net-unreachable Network unreachable(3/0)
network-unknown Desination network unknown(3/6)
no-room-for-option Parameter required but no room(12/2)
option-missing Option required but not present(12/1)
packet-too-big Fragmentation needed but DF set(3/4)
parameter-problem All parameter problems(12/*)
port-unreachable Port unreachable(3/3)
precedence-unreachable Precedence cutoff in effect(3/15)
protocol-unreachable Protocol unreachable(3/2)
reassembly-timeout TTL exceeded during reassembly(11/1)
redirect All redirects(5/*)
router-advertisement Router discovery advertisements(9/*)
router-solicitation Router discovery solicitations(10/*)
source-quench Source quenches(4/*)
source-route-failed Source route failed(3/5)
time-exceeded All time exceededs(11/*)
timestamp-reply Timestamp replies(14/*)
timestamp-request Timestamp requests(13/*)
tracerouteTraceroute(30/*)
ttl-exceeded TTL exceeded during transit(11/0)
unreachable All unreachables(3/*)
ip access-list extended
定义一个IP扩展访问列表，可以用数字命名，也可以是用户自定义名称，该命令将进入IP 扩展访问列表配置模式。
ip access-list extended { access-list-number | access-list-name }
语法描述
access-list-number IP扩展访问列表的编号，范围<1001-2000>。
access-list-name IP扩展访问列表的名称
【配置模式】全局配置模式
【缺省情况】没有配置任何访问列表和规则。
no格式是删掉某个访问列表，包含它里面的所有规则。
no ip access-list extended { access-list-number | access-list-name }
permit | deny
配置一条permit或deny的IP扩展访问列表规则。
[sequence] { permit | deny } protocol source source-wildcard [operator source-port [source-port]] destination destination-wildcard [icmp-type] [icmp-code] [igmp-type] [operator destination-port [destination-port]] [ack / fin / established / psh / rst / syn / urg] [precedence precedence] [tos tos] [dscp dscp] [fragments] [log] [time-range time-range-name]
语法描述
sequence 规则序号
permit 如果条件匹配，就允许访问。
deny 如果条件匹配，就拒绝访问。
protocol 匹配的协议。可以配置以下值之一：
<0-255> 指定协议号的数值
icmp 指定Internet差错与控制报文协议(ICMP)
igmp 指定Internet群组管理协议(IGMP)
ip 指定所有的Internet协议
tcp 指定传输控制协议(TCP)
udp 指定用户数据报协议(UDP)
ospf 指定OSPF路由协议
irmp 指定IRMP路由协议
pim 指定PIM多播路由协议
vrrp 指定虚拟路由冗余协议
source source-wildcard 报文来自的网络或主机，也即报文的源地址。它有三种表示方法，见前面IP地址表示方法的介绍。
destination destination-wildcard 报文的目的网络或主机，也即报文的目的地址。它有三种表示方法，见前面IP地址表示方法的介绍。
precedence precedence 报文的IP优先级。可以配置以下值之一：
<0-7> IP优先级的数值
critical （5）
flash （3）
flash-override （4）
immediate （2）
internet （6）
network （7）
priority （1）
routine （0）
tos tos 服务类型。可以配置以下值之一：
<0-15> 服务类型的数值
max-reliability 最高可靠性（2）
max-throughput 最大吞吐量（4）
min-delay 最小时延（8）
min-monetary-cost 最小费用（1）
normal 一般服务
dscp dscp 区分服务代码点。可以配置以下值之一：
<0-63> 区分服务代码点的数值
af11 (10)
af12 (12)
af13 (14)
af21 (18)
af22 (20)
af23 (22)
af31 (26)
af32 (28)
af33 (30)
af41 (34)
af42 (36)
af43 (38)
cs1 (8)
cs2 (16)
cs3 (24)
cs4 (32)
cs5 (40)
cs6 (48)
cs7 (56)
ef (46)
default (0)
icmp-type ICMP报文的消息类型。它可以是0到255之间的一个数值或消息类型的名称。icmp-code ICMP报文的代码类型。它可以是0到255之间的一个数值或消息代码的名称。igmp-type IGMP报文的消息类型。它可以是0到15之间的一个数值。
operator 端口比较。可以选择以下之一：
eq 匹配某个端口的报文
gt 匹配大于某个端口的TCP/UDP报文（不包括该端口）
lt 匹配小于某个端口的TCP/UDP报文（不包括该端口）
neq 匹配不等于某个端口的TCP/UDP报文
range 匹配某两个端口范围之间的TCP/UDP报文（包括上限/下限端口）
wildcard 通配符匹配
source-port 指定源端口。可以是一个具体的数值，也可以是一个常用端口别名字符串。destination-port 指定目的端口号。可以是一个具体的数值，也可以是一个常用端口别名字符串。
ack / fin / psh / rst / syn / urg 用于匹配TCP的标志位。它们分别是：确认标志、结束标志、立即发送标志、复位标志、同步标志、紧急标志。
established 是TCP建立连接的标志。如果TCP包有ACK或RST位置位，就会匹配。只有初始建立连接的包不会匹配。
fragments指定该规则是否仅对非首片分片报文有效。当包含此参数时表示该规则仅对非首片分片报文有效。
log 对符合条件的数据包作日志。日志内容包括访问列表的名称，数据包通过或被丢弃，数据包的数目。
time-range time-range-name 指定规则生效的时间域
【配置模式】IP扩展访问列表配置模式
【缺省情况】没有配置任何访问列表和规则。
no格式是删除指定的规则，可以仅指定规则序号，也可以带上规则的内容。
no sequence
no [sequence] { permit | deny } protocol source source-wildcard [operator source-port [source-port]] destination destination-wildcard [icmp-type] [icmp-code] [igmp-type] [operator destination-port [destination-port]] [ack / fin / established / psh / rst / syn / urg] [precedence precedence] [tos tos] [dscp dscp] [fragments] [log] [time-range time-range-name]
remark
配置一条注释，给访问列表规则增加注释。
[sequence] remark comment
语法描述
sequence 规则序号
remark comment 配置一条注释。注释规则，不会参与规则的匹配，仅仅起到规则的注释和分隔作用。
【配置模式】IP扩展访问列表配置模式
【缺省情况】没有配置任何访问列表和规则。
no格式是删掉一条注释。
no sequence
no [sequence] remark comment
show ip access-list
显示IP访问列表的配置情况及报文匹配统计。
show ip access-list [{ access-list-number | access-list-name }]
语法描述
access-list-number IP访问列表的编号，范围<1-2000>。
access-list-name IP访问列表的名称
【配置模式】特权模式
clear ip access-list
清除IP访问列表的报文匹配统计。
clear ip access-list [{ access-list-number | access-list-name }] 语法描述
access-list-number IP访问列表的编号，范围<1-2000>。access-list-name IP访问列表的名称
【配置模式】特权模式
show access-list
显示访问列表的配置情况及报文匹配统计。
show access-list [{ access-list-number | access-list-name }] 语法描述
access-list-number 访问列表的编号，范围<1-5000>。access-list-name 访问列表的名称
【配置模式】特权模式
clear access-list
清除访问列表的报文匹配统计。
clear access-list [{ access-list-number | access-list-name }] 语法描述
access-list-number 访问列表的编号，范围<1-5000>。access-list-name 访问列表的名称
【配置模式】特权模式
实验5 标准ACL配置与调试 1．实验目标 在这个实验中，我们将在Cisco 2611XM路由器上配置标准ACL。通过该实验我们可以进一步了解ACL的定义和应用，并且掌握标准ACL的配置和调试。 2．实验拓扑 实验的拓扑结构如图1所示。 图1 ACL实验拓扑结构 3．实验要求 根据图1，设计标准ACL，首先使得PC1所在的网络不能通过路由器R1访问PC2所在的网络，然后使得PC2所在的网络不能通过路由器R2访问PC1所在的网络。本实验各设备的IP地址分配如下： ⑴路由器R1： s0/0:192.168.100.1/24 fa0/0:10.1.1.1/8 ⑵计算机PC1： IP：10.1.1.2/8 网关：10.1.1.1 ⑶路由器R2： s0/0:192.168.100.2/24
fa0/0:172.16.1.1/16 ⑷计算机PC2： IP：172.16.1.2/16 网关：172.16.1.１ 4．实验步骤 在开始本实验之前，建议在删除各路由器的初始配置后再重新启动路由器。这样可以防止由残留的配置所带来的问题。在准备好硬件以及线缆之后，我们按照下面的步骤开始进行实验。 ⑴按照图1进行组建网络，经检查硬件连接没有问题之后，各设备上电。 ⑵按照拓扑结构的要求，给路由器各端口配置IP地址、子网掩码、时钟（DCE端），并且用“no shutdown”命令启动各端口，可以用“show interface”命令查看各端口的状态，保证端口正常工作。 ⑶设置主机A和主机B的 IP地址、子网掩码、网关，完成之后，分别ping自己的网关，应该是通的。 ⑷为保证整个网络畅通，分别在路由器R1和R2上配置rip路由协议：在R1和R2上查看路由表分别如下： ①R1#show ip route Gateway of last resort is not set R 172.16.0.0/16 [120/1] via 192.168.100.2, 00:00:08, Serial0/0 C 192.168.100.0/24 is directly connected, Serial0/0 C 10.0.0.0/8 is directly connected, FastEthernet0/0 ②R2#show ip route Gateway of last resort is not set C 192.168.100.0/24 is directly connected, Serial0/0 R 10.0.0.0/8 [120/1] via 192.168.100.1, 00:00:08, Serial0/0 C 172.16.0.0/16 is directly connected, FastEthernet0/0 ⑸ R1路由器上禁止PC2所在网段访问：
1、访问控制列表的作用。 作用就是过滤实现安全性具网络可有管理性 一、过滤，经过路由器的数据包 二、控制增长的网络IP数据 2、访问控制列表的分类及其特性。 一、标准列表 只基于ip协议来工作，只能针对数据包种的源地址来做审核，由于无法确定具体的目的，所以在使用的过程中，应靠近目的地址，接口应为距目的地址最近的接口，方向为out。 访问控制别表具有方向性，是以路由器做参照物，来定义out或者in out：是在路由器处理完以后，才匹配的条目 in：一进入路由器就匹配，匹配后在路由。 编号范围为：1-99 二、扩展列表 可以很据数据包中的源ip地址和目的ip地址及相应的应用协议来工作，在工作的过程中常用在距源或组源最近的路由器上， 接口为距源最近的接口，方向为in，可以审核三层和四层的信息。 编号范围：100-199 如何判断应使用哪种类型的访问控制列表 标准：针对目的，允许或拒绝特定的源时，使用标准的（当目的唯一，具有多个源访问时。） 扩展：针对源地址，允许或拒绝源去往特定的目的。或者在涉及四层信息的审核时通常都会采用扩展列表。（当源确定下来，具有单个源可有多个目的地址时。） 编号的作用： a,标识表的类型 b,列表的名字 1.访问列表最后一条都隐含拒绝所有，使用拒绝列表时，必须有条允许语句。 2.访问列表按顺序自上而下逐条匹配，当匹配后立即执行，不会继续匹配。
3.具有严格限制的条目应该放在列表前。 4.删除列表不能有选择删除，若no access-list X 的一个条目，则这个列表被删除。 5.当别表没有被应用时,则是个无效的别表,不会影响到数据的审核. 6.在书写列表的过程中,应先编辑列表,再应用到相应的接口或者策略上. 7.当列表过滤掉一个数据包时，会返回给源一个不可达的icmp包，然后丢掉或过滤掉包 8.访问列表在应用中，标准的应靠近目的，而扩展则靠近源或组源。 9.当路由器调用了一个没有条目的列表，则执行列表隐含条目，deny any （拒绝所有） 10.在某个接口，某个方向上只能调用一个列表。 11.访问控制列表不能过滤自身产生的数据。 书写列表的步骤： 1.选择要应用的列表类型 2.选择要书写的路由器并书写列表 3.选择路由器的接口来调用列表实现过滤 4.选择应用列表的方向 标准访问控制列表的配置 1.回顾标准列表的特性 2.标准列表的配置语法（通配符） 配置的过程中，熟记配置规则 1.标准列表：只基于ip协议工作，控制数据包的源地址 应用过程中：距目的地址近的路由器和接口 2.配置列表的步骤 1）选择列表的类型 2）选择路由器（是要在哪个上路由器上配置列表） 3.）选择要应用的接口（在哪个接口上调用） 4）判断列表的方向性（in和out：相对路由器） 3.标准列表的配置语法 1）在全局模式下，书写规则 access-list 列表编号permit/deny 源网络地址源地址的通配符 列表的编号：1-99 和1300 - 1999 通配符：零所对应的位即为精确匹配位。通常所讲的反子掩码 255.255.255.0 == 通配符=0.0.0.255 255.255.255.255 - 正掩码 ——————————— 反子网掩码 2）调用列表
ACL配置命令 12.2.2.1 access-list(extended) 命令：access-list [num] {deny | permit} icmp {{[sipaddr] [smask]} | any-source | {host-s ource [sipaddr]}} {{[dipaddr] [dmask]} | any-destination | {host-destination [dipaddr]}} [[i cmp-type] [[icmp-code]]] [precedence [prec]] [tos [tos]] access-list [num] {deny | permit} igmp {{[sipaddr] [smask]} | any-source | {host-source [sipaddr]}} {{[dipaddr] [dmask]} | any-destination | {host-destination [dipaddr]}} [[igmp-ty pe]] [precedence [prec]] [tos [tos]] access-list [num] {deny | permit} tcp {{[sipaddr] [smask]} | any-source | {host-source [sipaddr]}} [sport [sport]] {{[dipaddr] [dmask]} | any-destination | {host-destination [dipa ddr]}} [dport [dport]] [ack | fin | psh | rst | syn | urg] [precedence [prec]] [tos [tos]] access-list [num] {deny | permit} udp {{[sipaddr] [smask]} | any-source | {host-source [sipaddr]}} [sport [sport]] {{[dipaddr] [dmask]} | any-destination | {host-destination [dipa ddr]}} [dport [dport]] [precedence [prec]] [tos [tos]] access-list [num] {deny | permit} {eigrp | gre | igrp | ipinip | ip | [int]} {{[sipaddr] [smask]} | any-source | {host-source [sipaddr]}} {{[dipaddr] [dmask]} | any-destination | {host-destination [dipaddr]}} [precedence [prec]] [tos [tos]] no access-list [num] 功能：创建一条匹配特定ip协议或所有ip协议的数字扩展ip访问规则；如果此编号数字扩展访问列表不存在，则创建此访问列表。 参数： [num]为访问表标号，100-199；[sipaddr]为源ip地址，格式为点分十进制；[smask ]为源i p的反掩码，格式为点分十进制；[dipaddr]为目的ip地址，格式为点分十进制；[dmask]为目的ip的反掩码，格式为点分十进制，关心的位置0，忽略的位置1；[igmp-type]，igmp的类型；[icmp-type]，icm p的类型；[icmp-code]，icmp的协议编号；[prec]，ip优先级，0-7；[tos]，tos值，0-15；[sport]，源端口号，0-65535；[dport]，目的端口号，0-65535； 命令模式：全局配置模式 缺省情况：没有配置任何的访问列表。 使用指南：当用户第一次指定特定[num]时，创建此编号的acl，之后在此acl中添加表项。 举例：创建编号为110的数字扩展访问列表。拒绝icmp报文通过，允许目的地址为192.168.0.1目的端口为32的udp包通过。
ACL配置规范： ACL分类： 第一类是：基本ACL 1.标准ACL的编号范围：1-99和1300-1999； 2.标准ACL只匹配源ip地址 3.ACL的匹配顺序为从上往下（ACE序号从小到大）匹配ACE条目，若匹配对应的ACE条目后，就执行该ACE条目的行为（允许/拒绝），不会再往下匹配其他ACE条目。 4.ACL最后隐含一体deny any的ACE条目，会拒绝所有流量。若是禁止某网段访问，其他网段均放通，则应该在拒绝流量的ACE配置完成后，再加一条permit any的ACE条目，用来放行其他流量。 第二类是：扩展ACL 1.扩展ACL的编号范围：100-199和2000-2699。 2.标准ACL只匹配源ip地址，扩展ACL可以匹配数据流的五大元素（源ip地址、目的ip地址、源端口、目的端口、协议号） 3.ACL的匹配顺序为从上往下（ACE序号从小到大）匹配ACE条目，若匹配对应的ACE条目后，就执行该ACE条目的行为（允许/拒绝），不会再往下匹配其他ACE条目。 4.ACL最后隐含一体deny any的ACE条目，会拒绝所有流量。若是禁止某网段访问，其他网段均放通，则应该在拒绝流量的ACE配置完成后，再加一条permit any的ACE条目，用来放行其他流量。 ACL规划： 标准ACL总体规划如下: ACL范围编号用户备注 2000-2099 业务设备访问控制通用ACL 2100-2199 数据存储访问控制通用ACL 2200-2299 测试用户访问控制通用ACL 2300-2399 管理用户访问控制通用ACL 2400-2500 预留
注释：通用ACL即是一类用户的接口都调用的ACL. 扩展ACL总体规划如下： ACL范围编号用户备注 2000-2099 业务设备访问控制通用ACL 2100-2199 数据存储访问控制通用ACL 2200-2299 测试用户访问控制通用ACL 2300-2399 管理用户访问控制通用ACL 2400-2500 预留 ACL规范： ACL命名规范： 为了便于ACL的管理和检索，新增ACL命名规范需要统一制定规范，命名规范如下： 公式：XXX_YY_Z 各字段含义如下： ?XXX：所属部门名称单字的首拼音大写，如委办局则为WBJ； ?YY：区分不同的部门，如果为VLAN_10使用，则XX字段为10。 ?Z：在默认情况下是数字0，如果遇到XXX_XX都一致时，X就从1往上加。 ACL描述规范： 为了便于查看ACL的用途，需要增加ACL描述，描述规范如下： 公式：XXX_YYYYY ?XXX：所属部门名称首字的首拼音大写 ?YYYYY：所实现的功能，最多20个字符 举例说明：委办局的不能访问管理平台的ACL，则描述为 WBJ_JinZhiFangWenGuanLiPingTai ACL配置规范： 为配置ACL形成统一规范，便于管理，制定规范如下： ?启用ACL时，必须按照规划的ACL，编写Number、Name和description；
南京信息工程大学实验（实习）报告 实验（实习）名称ACL的配置实验（实习）日期得分指导教师刘生计算机专业计科年级 09 班次 03 姓名童忠恺学号 20092308916 1.实验目的 （1）了解路由器的ACL配置与使用过程，会运用标准、扩展ACL建立基于路由器的防火墙，保护网络边界。 （2）了解路由器的NA T配置与使用过程，会运用NA T保护网络边界。 2.实验内容 2.1 ACL配置 （1）实验资源、工具和准备工作。Catalyst2620路由器2台，Windows 2000客户机2台，Windows 2000 Server IIS服务器2台，集线器或交换机2台。制作好的UTP网络连接（双端均有RJ-45头）平行线若干条、交叉线（一端568A，另一端568B）1条。网络连接和子网地址分配可参考图8.39。 图8.39 ACL拓扑图 （2）实验内容。设置图8.39中各台路由器名称、IP地址、路由协议（可自选），保存配置文件；设置WWW服务器的IP地址；设置客户机的IP地址；分别对两台路由器设置扩展访问控制列表，调试网络，使子网1的客户机只能访问子网2的Web服务80端口，使子网2的客户机只能访问子网1的Web服务80端口。 3.实验步骤 按照图8.39给出的拓扑结构进行绘制，进行网络互连的配置。 ①配置路由器名称、IP地址、路由协议（可自选），保存配置文件。 ②设置WWW服务器的IP地址。设置客户机的IP地址。 ③设置路由器扩展访问控制列表，调试网络。使子网1的客户机只能访问子网2的Web服务80端口， 使子网2的客户机只能访问子网1的Web服务80端口。 ④写出各路由器的配置过程和配置命令。 按照图8.38给出的拓扑结构进行绘制，进行网络互连的配置。参考8.5.7节内容。写出各路由器的配置过程和配置命令。
ACL配置命令总结 A．标准ACL 1.access-list access-list-number {deny|permit} {source[source-wildcard] | any} [log] 创建ACL 2.ip access-group access-list-number in/out 在接口应用ACL 3.no access-list access-list-number 删除acl 4.no ip access-group access-list-number in/out 取消在接口应用ACL 5.[no] ip access-list standarded 名字 [no] Deny …… Permit ….. 创建/删除命名的acl Ip access-group 名字in/out 6.show access-lists 查看acl 7.no number 删除行 B．扩展ACL 1.扩展的编辑功能: 例子:ip access-list extended 100 15 permit ……. 插入编号15 2.Ip access-list resequence access-list-number start increase重新编号，有开始编号以及步长值
3．Established使用：只允许带有established的TCP包进入同理有:access-list 100 permit icmp any any echo-replay 即是单向ping有效 4．使用acl限制远程登录 Access-list 1 permit ip地址 Line vty 0 4 Access-class 1 in C．反射ACL 1.ip access-list extended out-acl Permit ip any any reflect out-ip 创建反射 Exit Ip access-list extended in-acl Evaluate out-ip 评估反射列表 Int s0/0/1 Ip access-group out-acl out 外出时叫做反射 Ip access-group in-acl in 进入时叫做评估
一、实验项目名称 访问控制列表ACL配置实验 二、实验目的 对路由器的访问控制列表ACL 进行配置。 三、实验设备 PC 3 台；Router-PT 3 台；交叉线；DCE 串口线；Server-PT 1 台； 四、实验步骤 标准IP访问控制列表配置： 新建Packet Tracer 拓扑图 （1）路由器之间通过V.35 电缆通过串口连接，DCE 端连接在R1 上，配置其时钟频率64000；主机与路由器通过交叉线连接。 （2）配置路由器接口IP 地址。 （3）在路由器上配置静态路由协议，让三台PC 能够相互Ping 通，因为只有在互通的前提下才涉及到方控制列表。 （4）在R1 上编号的IP 标准访问控制。 （5）将标准IP 访问控制应用到接口上。 （6）验证主机之间的互通性。 扩展IP访问控制列表配置： 新建Packet Tracer 拓扑图 （1）分公司出口路由器与外路由器之间通过V.35 电缆串口连接，DCE 端连接在R2 上，配置其时钟频率64000；主机与路由器通过交叉线连接。 （2）配置PC 机、服务器及路由器接口IP 地址。 （3）在各路由器上配置静态路由协议，让PC 间能相互ping 通，因为只有在互通的前提下才涉及到访问控制列表。 （4）在R2 上配置编号的IP 扩展访问控制列表。 （5）将扩展IP 访问列表应用到接口上。 （6）验证主机之间的互通性。 五、实验结果 标准IP访问控制列表配置： PC0： PC1：
PC2：
PC1ping:
PC0ping: PC1ping: 扩展IP 访问控制列表配置：PC0： Server0：
ACL配置实验 一、实验目的： 深入理解包过滤防火墙的工作原理 二、实验容： 练习使用Packet Tracer模拟软件配置ACL 三、实验要求 A.拓扑结构如下图所示，1,2,3是主机，4是服务器 1、配置主机，服务器与路由器的IP地址，使网络联通； 2、配置标准ACL，使得主机1可以访问主机3和4，主机2不能访问主机3和4。使该配置生效，然后再删除该条ACL； 3、配置扩展ACL，使得主机1可以访问主机4的www服务，主机2不能访问主机4的www服务，4个主机间相互能够ping通。使该配置生效，然后再删除该条ACL； B.拓扑结构如下图所示(要求：跟拓扑上的ip地址配置不同)
１、配置ACL 限制远程登录（telnet）到路由器的主机。 路由器R0只允许192.168.2.2 远程登录(telnet)。 2、配置ACL 禁止192.168.3.0/24 网段的icmp 协议数据包通向与192.168.1.0/24 网段。 3、配置ACL 禁止特点的协议端口通讯。 禁止192.168.2.2 使用www (80)端口访问192.168.1.0 禁止192.168.2.3 使用dns (53)端口访问192.168.1.0 3、验证ACL 规则,检验并查看ACL。 四、实验步骤 1、配置主机，服务器与路由器的IP地址，使网络联通；
PC0 ping PC2
PC1 ping 服务器 服务器ping PC0
2、配置标准ACL，使得主机1可以访问主机3和4，主机2不能访问主机3和4。使该配置生效，然后再删除该条ACL；
Router>en Router#conf t Enter configuration commands, one per line. End with CNTL/Z. Router(config)#access-list 1 deny 192.168.1.2 Router(config)#access-list 1 permit any Router(config)#int f 0/1 Router(config-if)#ip access-group 1 out Router(config-if)#exit Router(config)#exit pc1 ping pc2和服务器
课设5：访问控制列表ACL的配置 【实验目的】： 1．熟悉掌握网络的基本配置连接 2．对网络的访问性进行配置 【实验说明】： 路由器为了过滤数据包，需要配置一系列的规则，以决定什么样的数据包能够通过，这些规则就是通过访问控制列表ACL定义的。访问控制列表是偶permit/deny语句组成的一系列有顺序的规则，这些规则根据数据包的源地址、目的地址、端口号等来描述。 【实验设备】： 【实验过程记录】：
步骤1：搭建拓扑结构，进行配置 （1）搭建网络拓扑图： （2 虚拟机名IP地址Gateway PC0 PC1 PC2 PC3 PC4 上节课的实验已经展示了如何配置网关和IP地址，所以本次实验将不再展示，其配置对应数据见上表。 （3）设置路由信息并测试rip是否连通
三个路由器均做route操作。 对rip结果进行测试，测试结果为连通。
（4）连通后对访问控制列表ACL进行配置 代码如下： Route(config)#route rip Route(config-route)#net Route(config-route)#net Route(config-route)#exit Route(config)#access-list 1 deny Route(config)#access-list 1 permit any Route(config)#int s3/0 Route(config-if)#ip access-group 1 in Route(config-if)#end
步骤2：检验线路是否通畅 将访问控制列表ACL配置完成后点开PC0进行ping操作，ping 。 检验结果：结果显示目的主机不可达，访问控制列表ACL配置成功。
A公司的某位可怜的网管目前就面临了一堆这样的问题。A公司建设了一个企业网，并通过一台路由器接入到互联网。在网络核心使用一台基于IOS的多层交换机，所有的二层交换机也为可管理的基于IOS的交换机，在公司内部使用了VLAN技术，按照功能的不同分为了6个VLAN。分别是网络设备与网管(VLAN1，10.1.1.0/24)、内部服务器(VLAN2)、Internet 连接(VLAN3)、财务部（VLAN4）、市场部(VLAN5)、研发部门（VLAN6），出口路由器上Fa0/0接公司内部网，通过s0/0连接到Internet。每个网段的三层设备（也就是客户机上的缺省网关）地址都从高位向下分配，所有的其它节点地址均从低位向上分配。该网络的拓朴如下图所示： 自从网络建成后麻烦就一直没断过，一会儿有人试图登录网络设备要捣乱；一会儿领导又在抱怨说互联网开通后，员工成天就知道泡网；一会儿财务的人又说研发部门的员工看了不该看的数据。这些抱怨都找这位可怜的网管，搞得他头都大了。那有什么办法能够解决这些问题呢？答案就是使用网络层的访问限制控制技术――访问控制列表（下文简称ACL）。 那么，什么是ACL呢？ACL是种什么样的技术，它能做什么，又存在一些什么样的局限性呢？ ACL的基本原理、功能与局限性 网络中常说的ACL是Cisco IOS所提供的一种访问控制技术，初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机如2950之类也开始提供ACL的支持。只不过支持的特性不是那么完善而已。在其它厂商的路由器或多层交换机上也提供类似的技术，不过名称和配置方式都可能有细微的差别。本文所有的配置实例均基于Cisco IOS的ACL进行编写。 基本原理：ACL使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。 功能：网络中的节点资源节点和用户节点两大类，其中资源节点提供服务或数据，用户节点访问资源节点所提供的服务与数据。ACL的主要功能就是一方面保护资源节点，阻止非法用户对资源节点的访问，另一方面限制特定的用户节点所能具备的访问权限。 配置ACL的基本原则：在实施ACL的过程中，应当遵循如下两个基本原则： 最小特权原则：只给受控对象完成任务所必须的最小的权限 最靠近受控对象原则：所有的网络层访问权限控制 局限性：由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。因此，要达到end to end的权限控制目的，需要和系统级及应
1 / 9ACL的使用 ACL的处理过程： 1、语句排序 一旦某条语句匹配，后续语句不再处理。 2、隐含拒绝 如果所有语句执行完毕没有匹配条目默认丢弃数据包 要点： ACL能执行两个操作：允许或拒绝。语句自上而下执行。一旦发现匹配，后续语句就不再进行处理---因此先后顺序很重要。如果没有找到匹配，ACL末尾不可见的隐含拒绝语句将丢弃分组。一个ACL应该至少有一条permit语句；否则所有流量都会丢弃，因为每个ACL末尾都有隐藏的隐含拒绝语句。 如果在语句结尾增加deny any的话可以看到拒绝记录 Cisco ACL有两种类型一种是标准另一种是扩展，使用方式习惯不同也有两种方式一种是编号方式，另一种是命名方式。 示例： 编号方式 标准的ACL使用 1 ~ 99 以及1300~1999之间的数字作为表号，扩展的ACL使用100 ~ 199以及2000~2699之间的数字作为表号 一、标准（标准ACL可以阻止来自某一网络的所有通信流量，或者允许来自某一特定网络的所有通信流量，或者拒绝某一协议簇（比如IP）的所有通信流量。） 允许172.17.31.222通过，其他主机禁止 Cisco-3750(config)#access-list 1（策略编号）（1-99、1300-1999）permit host 172.17.31.222禁止172.17.31.222通过,其他主机允许 Cisco-3750(config)#access-list 1 deny host 172.17.31.222 Cisco-3750(config)#access-list 1 permit any 允许172.17.31.0/24通过,其他主机禁止 Cisco-3750(config)#access-list 1 permit 172.17.31.0 0.0.0.254（反码255.255.255.255减去子网掩码，如172.17.31.0/24的255.255.255.255—255.255.255.0=0.0.0.255） 禁止172.17.31.0/24通过,其他主机允许 Cisco-3750(config)#access-list 1 deny 172.17.31.0 0.0.0.254 Cisco-3750(config)#access-list 1 permit any 二、扩展（扩展ACL比标准ACL提供了更广泛的控制范围。例如，网络管理员如果希望做到“允许外来的Web通信流量通过，拒绝外来的FTP和Telnet等通信流量”，那么，他可以使用扩展ACL来达到目的，标准ACL不能控制这么精确。） 允许172.17.31.222访问任何主机80端口，其他主机禁止 Cisco-3750(config)#access-list 100 permit tcp host 172.17.31.222（源）any（目标）eq www 允许所有主机访问172.17.31.222主机telnet（23）端口其他禁止 Cisco-3750(config)#access-list 100（100-199、2000-2699）permit tcp any host 172.17.31.222 eq 远程配置业务与方案承接 【价格实惠 帮您解决工作上的问题】 https://www.doczj.com/doc/e73939946.html,/UL4GXf
ACL配置
本手册著作权属迈普通信技术有限公司所有，未经著作权人书面许可，任何单位或个人不得以任何方式摘录、复制或翻译。 侵权必究。 策划：研究院资料服务处 * * * 迈普通信技术有限公司 地址：成都市高新区九兴大道16号迈普大厦 技术支持热线：400-886-8669 传真：（+8628）85148948 E-mail：support@https://www.doczj.com/doc/e73939946.html, 网址：https://www.doczj.com/doc/e73939946.html, 邮编：610041 版本：2011年 8月v1.0版
目录 第1章 ACL配置 (1) 1.1 ACL简介 (1) 1.1.1 ACL的匹配顺序 (1) 1.1.2 支持的ACL (2) 1.2 配置时间段 (3) 1.2.1 配置过程 (3) 1.2.2 配置举例 (4) 1.3 定义基本ACL (5) 1.3.1 配置过程 (5) 1.3.2 配置举例 (6) 1.4 定义扩展ACL (6) 1.4.1 配置过程 (6) 1.4.2 配置举例 (8) 1.5 定义二层ACL (9) 1.5.1 配置二层ACL (9) 1.5.2 配置举例 (10) 1.6 激活ACL (10) 1.6.1 激活ACL (10) 1.6.2 配置举例 (11) 1.7 ACL的显示和调试 (12)
第1章ACL配置 1.1 ACL简介 ACL（Access Control List，访问控制列表）主要用来实现流识别功能。网络设备为了过滤数据包，需要配置一系列的匹配规则，以识别需要过滤的对象。在识别出特定的对象之后，才能根据预先设定的策略允许或禁止相应的数据包通过。 ACL根据一系列的匹配条件对数据包进行分类，这些条件可以是数据包的源地址、目的地址、端口号等。交换机根据ACL中指定的条件来检测数据包，从而决定是转发还是丢弃该数据包。 由ACL定义的数据包匹配规则，还可以被其它需要对流进行区分的场合引用，如QoS 中流分类规则的定义。 根据应用目的，可将ACL 分为下面几种： ●基本ACL：只根据源IP地址制定规则。 ●扩展ACL：根据数据包的源IP地址信息、目的IP地址信息、IP承载的协议类型、协议特性等三、四层信息制定规则。 ●二层ACL：根据源MAC地址、目的MAC地址、VLAN优先级、二层协议类型等二层信息制定规则。 1.1.1 ACL的匹配顺序 由于同一条ACL可以配置多个子项，所以就出现了匹配顺序的问题。ACL支持两种匹配顺序： ●配置顺序：根据配置顺序匹配ACL规则。 ●自动排序：根据“深度优先”规则匹配ACL规则。 深度优先指的是最长的子项先匹配。
IP访问控制列表配置 目录： 第一个任务的：验证测试 (3) 第二个任务的：交换机的验证测试 (6) 第三个任务的：扩展访问验证测试 (10) 最后---总结： (12) ▲表示重要的 一、IP标准访问控制列表的建立及应用 工作任务 你是学校网络管理员，学校的财务处、教师办公室和校办企业财务科分属不同的3个网段，三个部门之间通过路由器进行信息传递，为了安全起见，学校领导要求你对网络的数据流量进行控制，实现校办企业财务科的主机可以访问财务处的主机，但是教师办公室主机不能访问财务处主机。 首先对两路由器进行基本配置，实现三个网段可以相互访问；然后对距离控制目的地址较近的路由器RouterB配置IP标准访问控制列表，允许192.168.1.0网段（校办企业财务科）主机发出的数据包通过，不允许192.168.2.0网段（教师办公室）主机发出的数据包通过，最后将这一策略加到路由器RouterB的Fa
0端口，如图所示。 第1步：基本配置 路由器RouterA： R >enable R #configure terminal R(config)#hostname RouterA RouterA (config)# line vty 0 4 VTY是路由器的远程登陆的虚拟端口,04表示可以同时打开5个会话,line vty 04是进入VTY端口,对VTY端口进行配置,比如说配置密码, RouterA (config-line)#login RouterA (config-line)#password 100 RouterA (config-line)#exit RouterA (config)# enable password 100 RouterA (config)#interface fastethernet 0/0 RouterA (config-if)#ip address 192.168.1.1 255.255.255.0 RouterA (config-if)#no shutdown RouterA (config-if)#Exit RouterA (config)#interface s0/3/0 RouterA (config-if)#ip address 192.168.12.1 255.255.255.0 RouterA (config-if)#no shutdown RouterA (config-if)#Exit RouterA (config)#interface s0/3/0 RouterA (config-if)#ip address 192.168.2.1 255.255.255.0 RouterA (config-if)#no shutdown RouterA (config-if)#Exit RouterA (config)#ip route 192.168.3.0 255.255.255.0 192.166.12.2 路由器RouterB： R >enable R #configure terminal R(config)#hostname RouterB RouterB (config)# line vty 0 4 RouterB (config-line)#login RouterB (config-line)#password 100 RouterB (config-line)#exit RouterB (config)# enable password 100 RouterB (config)#interface fastethernet 0/0 RouterB (config-if)#ip address 192.168.3.1 255.255.255.0 RouterB (config-if)#no shutdown RouterB (config-if)#Exit RouterB (config)#interface s0/3/1 RouterB (config-if)#ip address 192.168.12.2 255.255.255.0
标准ACL实验： 要求：配置标准ACL禁止PC3、PC4、PC5、PC6访问PC1和PC2。 1.绘制拓扑结构图 2.配置路由器R0的端口ip地址、串口时钟和动态路由协议Router>enable Router#configure terminal Router(config)#hostname R0 R0(config)#interface FastEthernet0/0 R0(config-if)#ip address 192.168.10.1 255.255.255.0 R0(config-if)#no shutdown R0(config-if)#exit R0(config)#interface FastEthernet1/0 R0(config-if)#ip address 192.168.20.1 255.255.255.0 R0(config-if)#no shutdown R0(config-if)#exit R0(config)#interface Serial2/0 R0(config-if)#ip address 172.16.1.1 255.255.255.0 R0(config-if)#clock rate 64000 R0(config-if)#no shutdown
R0(config-if)#exit R0(config)#interface Serial3/0 R0(config-if)#ip address 172.16.2.2 255.255.255.0 R0(config-if)#clock rate 64000 R0(config-if)#no shutdown R0(config-if)#exit R0(config)#router rip R0(config-router)#network 192.168.10.0 R0(config-router)#network 192.168.20.0 R0(config-router)#network 172.16.0.0 R0(config-router)#exit R0(config)# 3.配置路由器R1的端口ip地址、串口时钟和动态路由协议Router>enable Router#configure terminal Router(config)#hostname R1 R1(config)#interface FastEthernet0/0 R1(config-if)#ip address 192.168.30.1 255.255.255.0 R1(config-if)#no shutdown R1(config-if)#exit R1(config)#interface FastEthernet1/0 R1(config-if)#ip address 192.168.40.1 255.255.255.0 R1(config-if)#no shutdown R1(config-if)#exit R1(config)#interface Serial2/0 R1(config-if)#ip address 172.16.1.2 255.255.255.0 R1(config-if)#no shutdown R1(config-if)#exit R1(config)#router rip R1(config-router)#network 192.168.30.0 R1(config-router)#network 192.168.40.0 R1(config-router)#network 172.16.0.0 R1(config-router)#exit R1(config)#
ACL的使用 ACL的处理过程： 1.它是判断语句，只有两种结果，要么是拒绝（deny），要么是允许（permit） 2.语句顺序 按照由上而下的顺序处理列表中的语句 3. 语句排序 处理时，不匹配规则就一直向下查找，一旦某条语句匹配，后续语句不再处理。 4.隐含拒绝 如果所有语句执行完毕没有匹配条目默认丢弃数据包，在控制列表的末尾有一条默认拒绝所有的语句，是隐藏的（deny） 要点： 1.ACL能执行两个操作：允许或拒绝。语句自上而下执行。一旦发现匹配，后续语句就不再进行处理---因此先后顺序很重要。如果没有找到匹配，ACL末尾不可见的隐含拒绝语句将丢弃分组。一个ACL应该至少有一条permit语句；否则所有流量都会丢弃，因为每个ACL末尾都有隐藏的隐含拒绝语句。 2.如果在语句结尾增加deny any的话可以看到拒绝记录 3.Cisco ACL有两种类型一种是标准另一种是扩展，使用方式习惯不同也有两种方式一种是编号方式，另一种是命名方式。 示例： 编号方式 标准的ACL使用1 ~ 99以及1300~1999之间的数字作为表号，扩展的ACL使用100 ~ 199以及2000~2699之间的数字作为表号 一、标准（标准ACL可以阻止来自某一网络的所有通信流量，或者允许来自某一特定网络的所有通信流量，或者拒绝某一协议簇（比如IP）的所有通信流量。） 允许172.17.31.222通过，其他主机禁止 Cisco-3750(config)#access-list 1（策略编号）（1-99、1300-1999）permit host 172.17.31.222 禁止172.17.31.222通过,其他主机允许 Cisco-3750(config)#access-list 1 deny host 172.17.31.222 Cisco-3750(config)#access-list 1 permit any 允许172.17.31.0/24通过,其他主机禁止 Cisco-3750(config)#access-list 1 permit 172.17.31.0 0.0.0.254（反码255.255.255.255减去子网掩码，如172.17.31.0/24的255.255.255.255—255.255.255.0=0.0.0.255） 禁止172.17.31.0/24通过,其他主机允许 Cisco-3750(config)#access-list 1 deny 172.17.31.0 0.0.0.254 Cisco-3750(config)#access-list 1 permit any 二、扩展（扩展ACL比标准ACL提供了更广泛的控制范围。例如，网络管理员如果希望做到“允许外来的Web通信流量通过，拒绝外来的FTP和Telnet等通信流量”，那么，他可以使用扩展ACL来达到目的，标准ACL不能控制这么精确。） 允许172.17.31.222访问任何主机80端口，其他主机禁止 Cisco-3750(config)#access-list 100 permit tcp host 172.17.31.222（源）any（目标）eq www