10、ACL访问控制列表

ACL访问控制列表

 标准ACL

标准ACL分,编号型ACL,和命名型ACL

标准ACL只能根据源IP地址进行匹配

ACL不能控制自身路由器产生的流量.

 编号型标准ACL 配置命令:

建立ACL: R1(config)#access-list 1 permit/deny host 1.1.1.1(主机)

R1(config)#access-list 1 permit/deny 1.1.1.0 0.0.0.255 (子网)

应用ACL: R1(config-if)#ip access-group 1 in/out

 命名型标准ACL 配置命令:

建立ACL: R1(config)#ip access-list standard

cisco（名称）

R1(config-std-nacl)#permit/deny host 1.1.1.1(主机)

R1(config-std-nacl)#permit/deny

1.1.1.0 0.0.0.255(子网)

应用ACL: R1(config-if)#ip access-group cisco in/out

 扩展ACL(基础)

 编号型扩展ACL 配置命令:

建立ACL: R1(config)#access-list

100 permit/deny ip host

1.1.1.1 host

2.2.2.2(主机)

R1(config)#access-list

100 permit/deny ip

1.1.1.0 0.0.0.255

2.2.2.0 0.0.0.255(子网)

应用ACL:R1(config-if)#ip access-group

100 in/out

 命名型扩展ACL 配置命令:

建立ACL: R1(config)#ip access-list extended cisco

使用IP ACL实现单向访问控制

文章出处： juechen70 发布时间：2004-07-17

A公司准备实行薪资的不透明化管理，由于目前的薪资收入数据还放在财务部门的Vlan中，所以公司不希望市场和研发部门能访问到财务部Vlan中的数据，另一方面，财务部门做为公司的核心管理部门，又希望能访问到市场和研发部门Vlan内的数据。我们的网管在接到这个需求后就在SWA上做了如下的配置：

ip access-list extend fi-access-limit

deny ip any 10.1.4.0 0.0.0.255

permit ip any any

int vlan 5

ip access-group fi-access-limit in

int vlan 6

ip access-group fi-access-limit in

配置做完后，测试了一下，市场和研发部门确实访问不到财务部了，刚准备休息一下，财务部打电话过来说为访问不到市场与研发部门的数据了。这是怎么回事呢？

让我们回忆一下，在两台主机A与B之间要实现通讯，需要些什么条件呢？答案是既需要A能向B发包，也需要B能向A发包，任何一个方向的包被阻断，通讯都不能成功，在我们的例子中就存在这样的问题，财务部访问市场或研发部门时，包到到市场或研发部门的主机，由这些主机返回的包在到达路由器SWA时，由于普通的ACL均不具备检测会话状态的能力，就被deny ip any 10.1.4.0

0.0.0.255这条ACL给阻断了，所以访问不能成功。

要想实现真正意义上的单向访问控制应该怎么办呢？我们希望在财务部门访问市场和研发部门时，能在市场和研发部门的ACL中临时生成一个反向的ACL条目，这样就能实现单向访问了。这里就需要使用到反向ACL技术。我们可以按照如下配置实例就可以满足刚才的那个单向访问需求：

ACL的应用

一、 概述

属于IOS包过滤防火墙的一部分，但是现在不仅仅是用在这个方面。

现在可以应用在：

1、 data plan 通过一些对数据包的匹配，抓到数据包对数据包进行丢弃或者转发等操作（对象:数据包、数据帧）

2、 control plan 对路由条目的匹配，对路由条目执行策略（路由条目）

二、 理论以及命令

全局模式下：access-list

<1-99> IP标准访问控制列表

<100-199>IP扩展访问控制列表

<200-299>协议类型代码访问控制列表 没有明确标准的应用的流量

<300-399>DECnet 访问控制列表

<700-799>48bit MAC地址访问控制列表

<1100-1199>扩展的48bit MAC地址访问控制列表

<1300-1999>IP标准访问控制列表

<2000-2699>IP扩展访问控制列表

这些包含了常见的IP的二层协议和三层协议

1、 标准

只能匹配协议中的一个地址（源地址）

命令

access-list 1 permit（允许）/deny（拒绝）/remark hostname/x.x.x.x/any（所有主机通配符32个1）/host（一台单一主机通配符32个0） 掩码：/nn&x.x.x.x

log/

例子 access-list 1 permit 1.1.1.1

访问控制列表必须在某种技术环节下调用，否则不存在任何意义。一般调用在接口下，比较常用。

调用的时候有方向：in或者out

注意：每条访问控制列表后面都有一个隐式拒绝

一个编号的访问控制列表可以使用多行，默认一般都是以10 开始编号，间隔是10，最大是2147483647。一般认为无上限。

ACL书写的时候注意，是金字塔式的，从上到下，匹配的范围越来越大。因为ACL一旦匹配，就会立即执行动作，不会放到后一条。

例子：first：deny 192.168.1.0

ACL访问控制

1. 什么是访问控制列表

指根据事先设定好的一系列的规则，对进出路由器或者三层交换机的数据包进行检测，实现对网络的访问控制管理、流量管理等。

访问控制列表的种类

2. 目前主要有三种访问控制列表（ACL）：

标准ACL

扩展ACL

命名ACL

主要动作为允许（Permit）和拒绝（deny）。

主要应用方法：入栈（In）和出栈（Out）应用。

2.1 标准ACL

标准访问控制列表匹配IP包中的源地址或源地址中的一部分，可对匹配的包采取拒绝或允许两个操作。编号范围是从1到99。

Route(config)#access-list 1 deny 192.168.1.0 0.0.0.255

2.2 扩展ACL

扩展IP访问控制列表比标准IP访问控制列表具有更多的匹配项，包括协议类型、源地址、目的地址、源端口、目的端口、建立连接的和IP优先级等。编号范围是从100到199。

Route(config)#access-list 101 deny 192.168.1.0 0.0.0.255

202.114.254.0 0.0.0.255

2.3 命名的访问控制列表

所谓命名的访问控制列表是以列表名代替列表编号来定义IP访问控制列表。(1). 标准的命名访问控制列表

Route(config)#ip access-list standard list-name

Route(config-std-nacl)#

(2). 扩展的命名访问控制列表

route(config)ip access-list extended list-name

route(config-ext-nacl)# 2.4 基于时间的访问控制列表

基于时间的访问控制列表由两部分组成，第一部分是定义时间段，第二部分是用扩展访问控制列表定义规则。这里我们主要讲解下定义时间段，

具体格式如下：

time-range 时间段名称

absolute start [小时：分钟] [日月年] [end] [小时：分钟] [日月年]