配置标准ipacl

思科⽹络配置-ACL1、标准ACL Router(config)# access-list access-list-number {permit | deny | remark} source [mask] Router(config-if)# ip access-group access-list-number {in | out} *表号------- 1 to 99 *缺省的通配符掩码 0.0.0.0 *no access-list access-list-number 移除整个ACL *remark 给访问列表添加功能注释 *mask 反掩码2.扩展ACL 扩展访问控制列表是⼀种⾼级的ACL，配置命令的具体格式如下： access-list ACL号 [permit|deny] [协议] [定义过滤源主机范围] [定义过滤源端⼝] [定义过滤⽬的主机访问] [定义过滤⽬的端⼝] 例如：access-list 101 deny tcp any host 192.168.1.1 eq www这句命令是将所有主机访问192.168.1.1这个地址⽹页服务（WWW）TCP连接的数据包丢弃。

⼩提⽰：同样在扩展访问控制列表中也可以定义过滤某个⽹段，当然和标准访问控制列表⼀样需要我们使⽤反向掩码定义IP地址后的⼦⽹掩码。

　 表号 100 to 199　3.命名访问控制列表 命名访问控制列表格式： ip access-list {standard/extended} <access-list-name>（可有字母，数字组合的字符串) 例如：ip access-list standard softer //建⽴⼀个名为softer的标准访问控制列表。

1. router（config）#ip access-list standard +⾃定义名2. router（config-std-nac1）#11 permit host +ip //默认情况下第⼀条为10,第⼆条为20.如果不指定序列号，则新添加的ACL被添加到列表的末尾3. router（config-std-nac1）#deny any4. router（config）#ip access-list standard benet5. router（config-std-nasl）#no 116. 使⽤show access-lists可查看配置的acl信息ACL的过滤流程： 1、按顺序的⽐较：先⽐较第⼀⾏，如果不匹配，再⽐较第⼆⾏，依次类推直到最后⼀⾏ 2、从第⼀⾏起，直到找到⼀个符合条件的⾏，符合以后就不再继续⽐较下去 3、默认在每个ACL中的最后⼀⾏为隐含的拒绝，最后要加pemint any,使其他的⽹络可通。

ACL配置命令总结A．标准ACL1.access-list access-list-number {deny|permit} {source[source-wildcard] | any} [log] 创建ACL2.ip access-group access-list-number in/out 在接口应用ACL3.no access-list access-list-number 删除acl4.no ip access-group access-list-number in/out 取消在接口应用ACL5.[no] ip access-list standarded 名字[no] Deny ……Permit ….. 创建/删除命名的aclIp access-group 名字in/out6.show access-lists 查看acl7.no number 删除行B．扩展ACL1.扩展的编辑功能:例子:ip access-list extended 10015 permit ……. 插入编号152.Ip access-list resequence access-list-number start increase重新编号，有开始编号以及步长值3．Established使用：只允许带有established的TCP包进入同理有:access-list 100 permit icmp any any echo-replay 即是单向ping有效4．使用acl限制远程登录Access-list 1 permit ip地址Line vty 0 4Access-class 1 inC．反射ACL1.ip access-list extended out-aclPermit ip any any reflect out-ip 创建反射ExitIp access-list extended in-aclEvaluate out-ip 评估反射列表Int s0/0/1Ip access-group out-acl out 外出时叫做反射Ip access-group in-acl in 进入时叫做评估Ip reflexive-list timeout 30 修改全局超时时间D．动态ACL1.临时条目的生存周期空闲时间:产生临时条目是同时启动空间时间以及绝度时间，每当一个报文匹配动态访问列表时更新空闲时间。

标准acl的工作原理一、什么是ACL（访问控制列表）访问控制列表（Access Control Lists，ACL）是一种广泛应用于网络设备（如路由器和交换机）的配置工具，用于控制网络流量和权限。

它们在许多网络环境中起着至关重要的作用，包括网络安全、流量管理、设备访问控制等。

标准ACL（Standard ACL）是一种基本的ACL配置，用于定义一系列规则，这些规则定义了哪些数据包可以或不可以通过设备。

这些规则基于源地址、目标地址、端口号、协议类型等因素进行匹配，并根据匹配结果进行相应的动作（如允许、拒绝、重定向等）设置。

标准ACL的工作原理可以概括为以下几个步骤：1. 匹配规则：标准ACL首先根据规则中的条件（如源地址、目标地址、端口号等）对进入和出站的流量进行匹配。

只有当数据包符合所有规则的条件时，才会进一步评估下一个步骤。

2. 动作设置：一旦数据包被匹配，ACL会根据规则设置相应的动作。

这些动作可以是允许通过（允许进入或出站流量）、拒绝通过（阻止进入或出站流量）或重定向到其他网络。

3. 规则的优先级：在标准ACL中，规则的优先级决定了数据包的处理顺序。

一般而言，较新的规则具有更高的优先级，当多个规则匹配同一个数据包时，优先级高的规则会优先处理。

4. 匹配失败的处理：如果数据包无法匹配任何ACL规则，那么通常会根据设备的默认策略进行处理，如丢弃数据包或将其发送到其他网络。

三、标准ACL的配置示例以下是一个简单的标准ACL配置示例，用于限制特定IP地址的访问：```yamlaccess-list 10 deny 192.168.0.1 anyaccess-list 10 permit any any```在这个例子中，规则10定义了两个动作：禁止IP地址为192.168.0.1的数据包进入或离开网络，同时允许所有其他数据包通过。

这个规则的优先级高于其他未定义的规则。

四、标准ACL的优点和缺点标准ACL的主要优点是可以灵活地控制网络流量，通过定义各种规则来满足特定的安全需求。

匹配条件: 匹配所有32位地址----主机地址 172.30.16.29
通配符:
0.0？.0.0
(匹配所有32位)
匹配任意地址
匹配条件: 匹配任意地址（任意地址都被认为符合条件）
Any IP address 0.0.0.0
通配符:
255.255?.255.255
(忽略所有位的比较)
0.0.0.0 255.255.255.255 意为接受所有地址 可简写为 any
标准ACL
扩展ACL
基于源地址过滤.
基于五元组过滤.
允许/拒绝整个 TCP/IP 协簇. 指定特定的 IP 协议和协议号
范围从1 到 99
范围从 100 到 199.
ACL的判别依据－五元组
帧报头 (如HDLC)
数据包 (IP报头 )
段 (如TCP报头)
数据
源端口 目的端口
协议号 源IP地址 目的IP地址
是
路由表?
选择接口
否
否
ACL?
是
数据包出接口
ACL 匹配控制
是
允许?
丢弃处理
2、ACL工作流程（出端口为例）续
数据包入接口
是
路由表?
选择接口
否
否
ACL?
是
数据包出接口
ACL 匹配控制
是
允许?
否
丢弃处理
3、ACL语句内部处理过程
ACL内部处理具体过程：
匹配 第一条规则?
是
是
拒绝
允许
目的接口
丢弃处理
拒绝
3、ACL语句内部处理过程（续）
ACL内部处理具体过程：
拒绝 拒绝
匹配