cisco路由器配置ACL详解

思科ACL访问控制列表常规配置操作详解

本⽂实例讲述了思科ACL访问控制列表常规配置操作。分享给⼤家供⼤家参考，具体如下：

⼀、ACL概述

ACL (Access Control List,访问控制列表）是⼀系列运⽤到路由器接⼝的指令列表。这些指令告诉路由器接收哪些数据包、拒

绝哪些数据包，接收或者拒绝根据⼀定的规则进⾏，如源地址、⽬标地址、端⼝号等。ACL使得⽤户能够管理数据流，检测特

定的数据包。

路由器将根据ACL中指定的条件，对经过路由器端⼝的数据包进⾏检査。ACL可以基于所有的Routed Protocols (被路由

协议，如IP、IPX等）对经过路由器的数据包进⾏过滤。ACL在路由器的端⼝过滤数据流，决定是否转发或者阻⽌数据包。ACL应该根据路由器的端⼝所允许的每个协议来制定，如果需要控制流经某个端⼝的所有数据流，就需要为该端⼝允许的每⼀

个协议分别创建ACL。例如，如果端⼝被配置为允许IP、AppleTalk和IPX协议的数据流，那么就需要创建⾄少3个ACL, 本⽂

中仅讨论IP的访问控制列表。针对IP协议，在路由器的每⼀个端⼝,可以创建两个ACL:—个⽤于过滤进⼊（inbound)端⼝的数

据流，另⼀个⽤于过滤流出（outboimd)端⼝的数据流。

顺序执⾏：—个ACL列表中可以包含多个ACL指令，ACL指令的放置顺序很重要。当路由器在决定是否转发或者阻⽌数据

包的时候，Cisco的IOS软件，按照ACL中指令的顺序依次检査数据包是否满⾜某⼀个指令条件。当检测到某个指令条件满⾜

的时候，就执⾏该指令规定的动作，并且不会再检测后⾯的指令条件。

ACL作⽤：

* 限制⽹络流量，提⾼⽹络性能。

* 提供数据流控制。

* 为⽹络访问提供基本的安全层。

⼆、ACL 类型

1. 标准ACL: access-list-number编号1~99之间的整数，只针对源地址进⾏过滤。

2. 扩展ACL: access-list-number编号100~199之间的整数，可以同时使⽤源地址和⽬标地址作为过滤条件，还可以针对不

路由器配置实验：配置实现ACL

一、 实验目的

1． 熟练掌握2种访问控制列表的配置实现技术，特别掌握扩展ACL的配置方法。

2． 掌握使用show access-list，show access-lists和show ip interface [接口名]等命令对路由器ACL列表是否创建及其内容的各种查看和跟踪方法。

3． 能按要求利用Cisco Packet Tracer V5.00 模拟配置工具绘制出本实验的网络拓扑图，并能实现拓扑的物理连接

4． 熟悉2种ACL的配置方法及基本操作步骤，掌握在存根网络中利用ACL将路由器配置为包过滤防火墙的方法

二、实验环境

PC机一台，并安装PACKET TRACER 5.0或以上版本

三、实验步骤

1. 每人一机，安装并配置Cisco Packet Tracer V5.00模拟配置工具

2. 在Cisco Packet Tracer V5.00模拟配置路由器中通过添加和连接设备构建出本实验的实际相应的拓扑

实验拓扑：

3、逐个单击网络拓扑图中的每台设备，进入设备的命令交互操作，进行工作模式的切换和选择

4、利用命令检查设备的相关配置及信息

5、联系使用路由器/交换机IOS提供的CLI帮助系统和常用编辑功能键 6、在 Cisco Packet Tracer V5.0模拟配置工具中，依据绘制的出的本实验的网络拓扑图，进行相应的设备基本呢配置及配置检查测试

四、实验过程

Step1：利用Cisco Packet Tracer V5.0模拟配置工具绘制本实验的拓补图

Step2: 配置PC0的IP、子网掩码、默认网关、DNS 4项基本参数；(PC0: 1.1.1.100

255.255.255.0

GW: 1.1.1.3 DNS: 2.2.2.200)

Step3:配置PC1的IP、子网掩码、默认网关、DNS 4项基本参数；(PC1: 1.1.1.200

ACL规则

什么是ACL规则？

ACL（Access Control List）是访问控制列表的缩写，它是一种用于管理网络设备（如路由器、交换机、防火墙等）上的访问控制策略的技术。ACL规则定义了允许或禁止通过网络设备的流量。它基于一系列的条件和动作来控制网络流量的流入和流出。

ACL规则的作用

ACL规则的作用是保护网络设备和网络资源的安全。通过配置ACL规则，可以限制特定用户或特定IP地址的访问权限，防止未经授权的访问和攻击。ACL规则可以用于控制网络流量的源和目的地，限制特定协议或端口的使用，实施流量过滤和防火墙策略。

ACL规则的分类

ACL规则可以分为两种类型：标准ACL和扩展ACL。

标准ACL

标准ACL是最简单的ACL类型，它只能基于源IP地址来过滤流量。标准ACL适用于一些简单的网络策略，例如限制特定IP地址的访问权限。标准ACL的规则是按照编号顺序执行的，当匹配到第一个规则时，后续的规则将不再生效。

扩展ACL

扩展ACL比标准ACL更加灵活，它可以基于源IP地址、目的IP地址、协议类型、端口号等多个条件来过滤流量。扩展ACL适用于更复杂的网络策略，可以实现更精细的流量控制和安全策略。扩展ACL的规则也是按照编号顺序执行的，但当匹配到一条规则后，后续的规则仍然会继续执行。 ACL规则的配置与应用

为了配置和应用ACL规则，我们需要了解一些基本的概念和步骤。

1. 确定ACL规则的目的

在配置ACL规则之前，我们需要明确规定ACL的目的是什么。是为了限制某些用户的访问权限，还是为了保护网络资源的安全？明确目的可以帮助我们更好地定义ACL规则。

2. 编写ACL规则

根据ACL规则的目的，我们可以开始编写ACL规则。ACL规则通常包括以下几个方面：

• 源IP地址：指定允许或禁止的源IP地址范围。

• 目的IP地址：指定允许或禁止的目的IP地址范围。

• 协议类型：指定允许或禁止的协议类型，如TCP、UDP、ICMP等。

思科路由器怎么配置限速和记录登录失败的尝试次数的方法

今天，小编就给大家介绍下思科路由器怎么配置限速和记录登录失败的尝试次数的方法。

思科路由器怎么配置限速?

在路由器设置ACL(访问控制列表)将该服务所用的端口封掉，从而阻止该服务的正常运行。对BT软件，我们可以尝试封它的端口。一般情况下，BT软件使用的是6880-6890端口，在公司的核心思科路由器上使用以下命令将6880-6890端口全部封锁。

路由器设置限速：

access-list130remarkbt

access-list130permittcpanyanyrange68816890

access-list130permittcpanyrange68816890any

rate-limitinputaccess-group13071200080008000conform-actiontransmitexceed-actiondrop

rate-limitoutputaccess-group13071200080008000conform-actiontransmitexceed-actiondrop

路由器设置禁止下载：

access-list130denytcpanyanyrange68816890

access-list130denytcpanyrange68816890any

ipaccess-group130in/out

不过现在的bt软件，再封锁后会自动改端口，一些软件还是用到8000、8080、2070等端口，限制这些端口这样网络不正常!第二种方法是使用：NVAR(Network-BasedApplicationRecognition，网络应用识别)。

NBAR(Network-BasedApplicationRecognition)的意思是网络应用识别。NBAR是一种动态能在四到七层寻找协议的技术，它不但能做到普通ACL能做到那样控制静态的、简单的网络应用协议TCP/UDP的端口号。例如我们熟知的WEB应用使用的TCP80，也能做到控制一般ACLs不能做到动态的端口的那些协议，例如VoIP使用的H.323，SIP等。