第14章 扩展IP访问控制列表配置
技术原理
访问列表中定义的典型规则主要有以下：源地址、目标地址、上层协议、时间区域。
扩展IP访问列表（编号100-199，2000-2699）使用以上四种组合来进行转发或阻断分组；可以根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，进行数据包的过滤。
扩展IP访问列表的配置包括以下两步：
定义扩展IP访问列表。
将扩展IP访问列表应用于特定接口上。
实验步骤
新建Packet Tracer拓扑图（如下图）
（1）分公司出口路由器与外部路由器之间通过V.35串口电缆连接，DCE端连接在R2上，配置其时钟频率64000；主机与路由器通过交叉线连接。
（2）配置PC机、服务器及路由器接口IP地址。
（3）在各路由器上配置静态路由协议，让PC间能相互ping通，因为只有在互通的前提下才能涉及到访问控制列表。
（4）在R2上配置编号的IP扩展访问控制列表。
（5）将扩展IP访问列表应用到接口上。
（6）验证主机之间的互通性。
路由器0：
Router>en
Router#conf t
Router(config)#int fastEthernet 0/0
Router(config-if)#ip address 172.16.1.1 255.255.255.0
Router(config-if)#no shut Router(config-if)#exit
Router(config)#int f 1/0
Router(config-if)#ip address 172.16.2.1 255.255.255.0
Router(config-if)#no shut
Router(config)#ip route 0.0.0.0 0.0.0.0 172.16.2.2（设置默认静态路由）
Router(config)#end
路由器1：
Router>en
CCSP-CSPFA自学指南学习笔记
ACL是由路由器和PIX防火墙维护的用来控制流量的一个列表。例如，ACL可以阻止
含有特定IP地址的数据包通过某个特定的接口。ACL使你可以决定哪些特定流量可以或不
可以通过PIX防火墙。
内容过滤可以阻止特定类型的内容(比如Java applets ,Active X控件等)进入你的网络，
它还可以用来控制和阻止网络内部主机对受限的web站点的访问。
5-1-1 访问控制列表
使用access-list 和access-group 这两条命令可以实现ACL.access-list命令用来创建ACL,而
aceess-group命令用来把ACL绑定到路由器或PIX防火墙的特定的接口上。使用access-group
命令在一个接口上只能绑定一个ACL.(书本这句话的意思不明确，不过最新的ASA/PIX防火
墙在一个接口上已经可以绑定多个ACL)
如图：一个入站会话(inbound)是指来自一个低安全级到高安全级的接口的会话。
一个出站会话(outbound)是指来自一个高安全级到低安全级的接口的会话。
注意：与传统的IOS路由器的不同，在PIX防火墙上使用access-group命令只能将ACL
绑定到任意接口的入站流量上。不过，在PIX防火墙上仍然能控制出站流量(例如，从inside
到outside接口)。
注意: 7.0版本的系统已经支持控制入站和出站的数据流，并且已经取消了outbound和
conduit的命令。
Access-list 和access-group 命令可以代替outbound命令或者conduit命令，且
access-list和access-group命令具有较高的优先级。
欢迎光临 /racky2005@126 大家一起来学习网络安全！ 1 CCSP-CSPFA自学指南学习笔记
当用来允许或拒绝流量时，access-list命令与conduit命令遵循同样的原理和规则。以
网络防火墙（Firewall）是保护计算机网络不受非法访问或恶意攻击的重要工具。在设置网络防火墙时，访问控制列表（ACL）是一个关键的组成部分。本文将讨论如何设置网络防火墙的ACL，以提高网络安全性。
一、了解ACL
ACL是网络防火墙中的一种策略，用于控制网络流量的通过和禁止。它基于规则列表，用于过滤进出网络的数据包。ACL可以根据源IP地址、目标IP地址、协议类型、端口号等多个参数进行过滤，从而实现对网络流量的精细控制。
二、设计ACL规则
在设置ACL之前，需要明确网络安全策略和需求。一般而言，ACL规则应基于以下几个因素设计：
1. 源IP地址：根据网络拓扑、用户身份等因素，确定能够访问网络的IP地址范围。
2. 目标IP地址：确定可访问的目标IP地址范围，如仅允许内部网络对外进行访问。
3. 协议类型：根据应用程序和网络服务需求，选择相应的协议类型，如TCP、UDP、ICMP等。
4. 端口号：根据网络服务需求，指定允许访问的端口号范围，如80（HTTP）、443（HTTPS）等。
5. 访问权限：根据安全需求，设置允许或禁止访问。 三、单向过滤与双向过滤
ACL可分为单向过滤和双向过滤两种模式。
1. 单向过滤：在网络流量的某一方向上设置过滤规则，可用于控制外部对内部的访问或内部对外部的访问。
例如，可设置只允许内部网络对外部网络的访问，而禁止外部网络对内部网络的访问。这种方式在保护内部服务器免受来自外部的未经授权访问时非常有用。
2. 双向过滤：在网络流量的两个方向上都设置过滤规则，可用于对所有数据包进行精确控制。
例如，可设置只允许特定的源IP地址和端口号访问特定的目标IP地址和端口号，同时禁止其他来源的访问。这种方式下，网络管理员可以通过ACL规则来精确控制网络流量，提高网络安全性。
四、优化ACL规则
在设置ACL规则时，需要注意优化ACL的性能和效率。
1. 规则顺序：将最频繁使用的规则放在前面，这样可以尽早匹配规则，减少规则数目。
网络防火墙的访问控制列表（ACL）是一项关键的安全措施，用于保护网络免受未经授权的访问和恶意攻击。通过设置ACL，管理员可以根据需要限制特定用户、IP地址或网络流量的访问。本文将探讨如何设置网络防火墙的ACL，以提高网络安全性。
一、理解ACL的基本概念
ACL是一种规则集，用于过滤网络流量。它可以根据源IP地址、目标IP地址、端口号和协议类型等条件来限制允许或拒绝的流量。ACL通常以有序列表的形式应用于防火墙。在处理网络数据包时，防火墙会按照ACL的顺序逐条匹配规则，并根据匹配结果决定是否允许通过或拒绝流量。
二、确定安全策略
在设置ACL之前，管理员应该明确网络的安全需求，并制定相应的安全策略。策略可以包括对特定用户或IP地址的限制，禁止某些协议或端口的访问，以及防止来自某些地区的恶意流量等。通过理解和确定安全策略，可以更好地配置ACL以保护网络的安全。
三、编写ACL规则
根据制定的安全策略，管理员需要编写ACL规则。ACL规则应该具体明确，不应存在歧义。以禁止特定IP地址访问为例，一个简单的ACL规则可以为：
```
Deny from ```
这条规则将禁止IP地址为的主机访问网络。管理员可以根据需要编写更复杂的规则，包括多个条件的组合，例如：
```
Deny from /24 to /8 port 22
```
这条规则将禁止来自/24网段到/8网段的IP地址访问22端口。
四、规划ACL的应用位置
将ACL应用于网络环境中的正确位置至关重要。一般来说，应将ACL应用于网络边界设备，如防火墙或路由器。这样可以在流量进入或离开网络时对其进行过滤。通过规划ACL应用位置，可以确保ACL有效地控制流量进出网络。
五、测试和优化ACL规则集
设置好ACL后，管理员应该对其进行测试和优化。通过模拟实际网络流量或使用安全工具进行测试，可以验证ACL规则的准确性和有效性。在测试中，管理员可以发现任何规则冲突或配置错误，并进行相应的调整。
