第八讲 访问控制列表

第8章 访问控制列表配置和使用
(2) 扩展访问控制列表。扩展访问控制列表既检查数据包的 源地址，也检查数据包的目的地址，还可以检查数据包的特定协 议类型、端口号等。扩展访问控制列表更具有灵活性和可扩充性， 例如：可以对同一地址允许使用某些协议的通信流量通过，而拒 绝使用其他协议的通信流量通过。
第8章 访问控制列表配置和使用 总之，通过灵活地设置访问控制列表，ACL可以作为一种网络
ACL的定义是基于每一种协议的(如IP、IPX等)，即如果想控 制某一种协议的通信数据流，就必须要对路由器接口的这种协议 定义单独的ACL。若将ACL应用于路由器的某个接口的输入(或输出) 流量，那么通过该接口的输入(或输出)通信流量都要按照ACL指定 的条件接受检测。
第8章 访问控制列表配置和使用
第8章 访问控制列表配置和使用
(2) 在全局配置命令模式下定义扩展访问控制列表的语法格 式如下：
Router(config)#access-list <access-list-number>
{deny|permit}
<protocol> <source> [source-wildcard]
<destination> [destination- wildcard] [operator
{deny | permit}{test-condition} 上面的全局描述语句定义了一个访问控制列表并通过标识号
来识别。
第8章 访问控制列表配置和使用
(2) 使用access-group命令把该控制访问列表应用到某一 接口上：
Router(config-if)#{protocol}access-group <accesslist-number>

访问控制列表（Access-list）作用：1）对经过路由器的数据包进行放行/丢弃的操作2）对路由器的管理平台（平面）进行保护3）数据包的分类4）过滤路由信息5）按需拨号/远程连接/VPN的敏感数据流定义ACL的分类：1）标准（1-99）：只判断数据包来自什么地址（源IP地址）2）扩展（100—199）：判断数据包来自什么地址，去什么地址，去干什么（判断源、目标IP 和服务）应用层：http，ftp，smtp，pop3，dns，telnet，ssh，https，tftp，RIP表示层：数据如何“翻译”成二进制（JPEG，ASCII)会话层：管理两个系统之间的逻辑通信会话传输层：定义了每种数据的传递方式（可靠/不可靠）TCP：在传递数据之前建立双向通信的确认，同时在传递数据的过程中接收方确认接收到数据http，ftp,smtp,pop3,telnet,ssh,httpsUDP：发送方只要知道对方的地址，就发送数据dns,tftp,RIP网络层：决定了数据的逻辑寻址（IP）数据链路层：定义了数据在本地通信网络中的寻址和格式物理层：定义了数据在物理链路的信号类型、强度等物理特征，及线缆、设备的标准TCP的端口号：定义了这个数据的服务类型http ： 80https ：443smtp: 25pop3: 110telnet: 23ssh: 22ftp: 21UDP端口号：dns: 53RIP: 520icmp的服务：echo----ping访问echo-reply--ping回应IIS(ftp,web):80,21,443exchange:110,25A IE sohu(IIS)------s_IP:A,d_IP:sohu,s_port:X,d_port:80--><-----s_IP:sohu,d_IP:A,s_port:80,d_port:X---1号ACL允许 192.168.1.0/24允许 192.168.2.0/24允许 192.168.0.0/16丢弃 192.168.3.0/24（隐含拒绝所有）允许 192.168.1.0/24允许 192.168.2.0/24丢弃 192.168.1.0/24丢弃 192.168.2.0/24允许所有（隐含拒绝所有）访问控制列表的接口绑定：ACL只有绑定到接口的IN/OUT方向，才对该接口上进/出路由器的数据做过滤配置访问控制列表：1）创建ACL(config)#access-list # ...2) 将ACL捆绑到接口的方向(config)#interface fastethernet 0/0(config-if)#ip access-group # in/out配置标准ACL：access-list #(1-99) permit/deny a.b.c.d w.x.y.za.b.c.d:源IP地址匹配对象w.x.y.z：通配符配置扩展ACL：access-list #(100-199) permit/deny 协议源IP 通配符 [源端口] 目标IP 通配符 [目标端口]协议：TCP,UDP,icmp,ospf,eigrp,ip源IP 通配符：源IP地址范围源端口：源端口的范围，gt(>),lt(<),eq(=),range（a---b）。

• 放置位置 – 只过滤数据包源地址的ACL应该放置在离目的地尽量近的地方 – 过滤数据包的源地址和目的地址以及其他信息的ACL，则应该尽量 放在离源地址近的地方
ACL工作原理及规则
• 注意事项 – 一个ACL列表中至少要有一条允许或拒绝的语句 – 只能在设备的每个接口、每个协议、每个方向上应用一个ACL – ACL只能应用在接口上 – 先处理入站ACL，再进行数据路由 – 先进行数据路由，再处理出站接口上的出站ACL – ACL会影响通过接口的流量和速度，但不会过滤路由器本身产生的 流量
访问控制列表概述
• 访问控制列表（Access Control List）
– 是一个有序的语句集，它通过对比报文中字段值与访 问控制列表参数，来允许或拒绝报文通过某个接口。
• 访问控制列表作用： – 安全控制
报文 ACL语句组成：
– 条件：用来匹配数据包中字段值
– 操作：条件匹配时，可以采取允许和拒绝两个操作
ACL工作原理及规则
• 入站ACL
– 入站数据先判断ACL后执行路由
ACL工作原理及规则
• 出站ACL
– 出站数据先进行路由再应用ACL
ACL工作原理及规则
• 基本规则
– ACL规则按名称或编号进行分组
– 列表中每条ACL语句有一组条件和一个操作，如果需要多 个条件或多个操作，则必须使用多个ACL语句来完成
– 如果当前语句的条件没有匹配，则处理列表中下一条语句
– 如果条件匹配，则执行语句后面的操作，且不再与其他 ACL语句进行匹配
– 如果列表中的所有语句都不匹配，那么丢弃该数据包
• 注意：
– 由于ACL语句默认是拒绝不匹配的数据包，所以在列表中 至少要有一个允许的操作。否则所有数据包都会被拒绝掉

配置标准ACL
定义ACL： r2(config)#access-list 1 deny 172.16.2.0 0.0.0.255 r2(config)#access-list 1 deny host 172.16.1.10 r2(config)#access-list 1 permit any r2(config)#access-list 2 permit host 172.16.1.10 应用ACL： r2(config)#int f0/0 r2(config-if)#ip access-group 1 out r2(config-if)#exit r2(config)#line vty 0 4 r2(config-line)#password cisco r2(config-line)#access-class 2 in
6、入站和出站ACL：当在接口上应用ACL时，用户要指明ACL是应用于流 入数据还是流出数据。相比之下入站ACL比出站ACL更高效。
5、标准ACL及配置实例 标准ACL ACL及配置实例
拓扑如上图：将IP地址配置好，R1和R2运行OSPF，测试全网通。 要求： 1、拒绝172.16.2.0/24这个网段的主机访问SERVER1。 2、拒绝PC1访问SERVER1。 3、只允许PC1对R2进行管理。
5、每种协议的每个接口的每个方向只能配置一个ACL
如图：如果在s0/0/0中配置了 access-list 110 permit tcp any host 172.16.1.100 eq www int s0/0/0 r1(config-if)#ip access-group 110 in 这时，该接口的in方向就不能配置其他ACL的TCP协议了。
3、标准ACL尽量靠近目的，因为标准ACL只检查源地址，如果将其靠近源 会阻止数据包流向其他端口；扩展ACL尽量靠近源，保证被拒绝的数据包 尽早拒绝，避免浪费网络带宽。