下载文档原格式
学习目标•学完本节后，你将能够：•了解ACL的作用•掌握ACL的基本原理、分类、匹配顺序•掌握“深度优先”匹配原则•掌握ACL的常用匹配项ACL定义•访问控制列表ACL（Access Control List）是由一条或多条规则组成的集合。
所谓规则，是指描述报文匹配条件的判断语句，这些条件可以是报文的源地址、目的地址、端口号等。
•ACL本质上是一种报文过滤器，规则是过滤器的滤芯。
设备基于这些规则进行报文匹配，可以过滤出特定的报文，并根据应用ACL的业务模块的处理策略来允许或阻止该报文通过。
ACL的作用•网络安全和网络服务质量QoS（Quality of Service）问题日益突出▫企业重要服务器资源被随意访问，企业机密信息容易泄露，造成安全隐患。
▫Internet病毒肆意侵略企业内网，内网环境的安全性堪忧。
▫网络带宽被各类业务随意挤占，服务质量要求最高的语音、视频业务的带宽得不到保障，造成用户体验差。
•通过ACL可以实现对网络中报文流的精确识别和控制，达到控制网络访问行为、防止网络攻击和提高网络带宽利用率的目的，从而切实保障网络环境的安全性和网络服务质量的可靠性。
ACL的基本原理•ACL编号：用于标识ACL，表明该ACL是数字型ACL。
•规则：即描述报文匹配条件的判断语句。
▫规则编号：用于标识ACL规则。
可以自行配置规则编号，也可以由系统自动分配。
▫动作：包括permit/deny两种动作，表示允许/拒绝。
▫匹配项：ACL定义了极其丰富的匹配项。
•设备将报文与ACL规则进行匹配时，遵循“一旦命中即停止匹配”的机制•步长，是指系统自动为ACL规则分配编号时，每个相邻规则编号之间的差值，方便后续在旧规则之间插入新的规则ACL的分类•基于ACL标识方法的划分▫数字型ACL：传统的ACL标识方法。
创建ACL时，指定一个唯一的数字标识该ACL。
▫命名型ACL：通过名称代替编号来标识ACL。
•基于对IPv4和IPv6支持情况的划分▫ACL4：通常直接叫做“ACL”，特指仅支持过滤IPv4报文的ACL。
第7章 ACL配置ACL（Access Control List）用于过滤数据包。
下表列出了本章所包含的内容。
了解ACL的基本概念和相关参数访问控制列表简介配置基本访问控制列表、高级访问控制列表或基于接口的访问控制列表配置任务：配置访问控制列表配置举例：配置举例清除访问控制列表维护访问控制列表7.1 访问控制列表简介本节介绍了访问控制列表的概念、分类和相关参数等。
具体包括：●访问控制列表概述●访问控制列表的分类●访问控制列表的匹配顺序●访问控制列表的创建●访问控制列表的描述信息●访问控制列表的步长设定●基本访问控制列表●高级访问控制列表●基于接口的访问控制列表●ACL对分片报文的支持●ACL生效时间段7.1.1 访问控制列表概述路由器为了过滤数据包，需要配置一系列的规则，以决定什么样的数据包能够通过，这些规则就是通过访问控制列表ACL（Access Control List）定义的。
访问控制列表是由permit| deny语句组成的一系列有顺序的规则，这些规则根据数据包的源地址、目的地址、端口号等来描述。
ACL通过这些规则对数据包进行分类，这些规则应用到路由器接口上，路由器根据这些规则判断哪些数据包可以接收，哪些数据包需要拒绝。
7.1.2 访问控制列表的分类按照ACL用途，ACL可以分为3种类型，具体如表7-1所示。
表7-1ACL分类7.1.3 访问控制列表的匹配顺序一个访问控制列表可以由多条“deny | permit”语句组成，每一条语句描述的规则是不相同，这些规则可能存在重复或矛盾的地方，在将一个数据包和访问控制列表的规则进行匹配的时候，到底采用哪些规则呢？就需要确定规则的匹配顺序。
有两种匹配顺序：●配置顺序（config）●自动排序（auto）1. 配置顺序配置顺序（config），是指按照用户配置ACL的规则的先后进行匹配。
缺省情况下匹配顺序为按用户的配置排序。
2. 自动排序自动排序（auto）使用“深度优先”的原则进行匹配。
第15周42 ACL（一）
复习上节课内容:单臂路由
vlan10 vlan20 vlan200 三个网段，由于vlan不同、ip段不同不能直接互访，设置网关地址后经过三层交换机做路由可以互访
现在要求pc0 pc1 可以访问服务器，但是pc0 不能访问pc1
访问控制列表（Access Control List，ACL）是路由器和交换机接口的指令列表，用来控制端口进出的数据包。
access n.入口，出口; 接近，进入; 增长; 爆发;
vt.接近，进入; 使用，接近，获取;
数据库access 交换机端口模式access ACL access control list
Control 控制
List 列表
第一步，创建列表
标准访问列表命令格式
Switch(config)# access-list access-list-number { permit | deny } {source [source-wildcard] | any}
命令解释如下。
access-list：访问列表。
access-list-number：标准访问列表号码，值为1~99. 扩展号码100~199 permit：允许。
deny：拒绝。
source：源IP地址。
source-wildcard：源IP地址的通配符。
any ：所有
1 创建访问规则、创建列表
Switch(config)#access-list 1 deny host 192.168.10.1 10.2
Switch(config)#access-list 1 permit any (因为下边那条，所以要加这条) Switch(config)#access-list 1 deny any (这条是默认存在的，虽然看不见) 拒绝源IP192.168.10.1 的主机，除此之外，允许其他所有主机
2 把规则放置在某个接口
放在哪个接口，需要分析数据包流动，
pc0 ping pc1 或者pc1 ping pc0 ，都要经过相同的两个步骤
1 pc0 -> -> pc1 源ip是pc0
2 pc1 -> 源ip是pc1
in 进交换机out 出交换机
Switch(config)#int vlan 20
Switch(config-if)#ip access-group 1 out
在vlan20 接口放置规则，方向是出交换机
禁止pc0 ping pc1
1 deny host pc0 int vlan 20 out
2 deny host pc1 int vlan 10 out
permit any 如果没有这行，结果是什么？
规则从上到下进行筛选，最下边那行就是全部禁止（看不到命令，但是默认的deny all）
想一下各个出入口都有些什么数据？
vlan 10 in pc0
out pc1 和服务器
vlan 20 in pc1
out pc0 和服务器
vlan 200 in 服务器
out pc0 和pc1
第15周43 ACL（二）单臂路由ACL
服务器-> ->交换机
源ip是服务器
其他-> ->交换机
源ip是其他网段
Pc0 ping pc1
Pc0 →f0/0.1—f0/0.2 → pc1
Pc0 →f0/0.1—f0/0.3 →服务器
Acc 1 per 192.168.200.0 0.0.0.255
Acc 1 deny any
Int f0/0.4
ip acc 1 out
route(config)#access-list 1 permit 192.168.200.0 0.0.0.255
(只允许服务器网段)
route(config)#access-list 1 deny any (这条是默认存在的，虽然看不见) route(config)#int f0/0.4
route(config-if)#ip access-group 1 out
pc0 -> -> pc1 源ip是pc0 route(config)#access-list 2 这里用第2条规则
ip access-group 2 out 相应的，在接口应用的也是第2条规则
第15周44 ACL（二）单臂路由ACL 演示。
