CCNA第5部分 路由选择

  • 格式:doc
  • 大小:42.00 KB
  • 文档页数:4

第一部分 连网简介
第一章 网络
网络的安全及其必要性。
1.1网络简介
1.1.1网络特性
费用:包括网络组件的安装和后续维护的费用。
1、可靠的连接
实施可靠连接时,通常使用序号和确认。有些可靠的连接协议在开始建立连
接时,可能还需要一个握手过程。

2、不可靠的连接
第6部分 高级Cisco路由器特性
第22章 访问控制列表
默认情况下,一旦设置好路由选择,路由将允许任何分组从一个接口传送到
另一个接口。出于安全或流量策略的原因,需要实施一些策略来限制流量的传送。
Cisco允许使用访问控制列表(ACL)来控制流量从一个接口传送到另一个接口。

22.1 ACL概述
ACL具备在流量进出接口时对其过滤的能力而得名,也可以限制远程访问
(VTY)设备,过滤路由选择信息,通过排队技术区分流量的优先次序,通过按
需拔号路由选择触发电话呼叫,改变路由的管理距离和指由IPsec VPN保护的流
量等。

22.1.1 定义
ACL通过 编号或名称组织在一起,用来过滤进入或离开接口的流量。ACL
命令明确定义了允许哪些流量以及拒绝哪些流量。需要在全局模式下创建。
一旦创建ACL语句组,需要启动它们。要在接口之间过滤流量,必须在接
口子配置模式中启动ACL。所指的接口可以是物理接口或者是逻辑接口。启动
ACL时,还需要指明在哪个方向过滤流量:
入站(流量从外源进入接口)in
出站(在流量流出接口之前)out
ACL的一个局限性是,不能过滤路由器自己生成的流量。

22.1.2 类型
ACL分为类型:编号ACL和命名ACL,标准ACL和扩展ACL。
编号和命名ACL定义了路由器将如何引用ACL,可以将其当索引值来看。
编号ACL在所有ACL分配一个唯一的号码;命名ACL在所有ACL分配一个唯
一的名称。
每种对ACL的引用都支持两种类型的过滤:标准和扩展。标准IP ACL仅根
据分组内的源IP地址进行过滤。而扩展IP ACL可以根据分组内的源和目的IP
地址、IP协议(TCP、UDP、ICMP等)和协议信息(如TCP和UDP的端口号)
来过滤流量。
可过滤的信息 标准IP ACL 扩展IP ACL
源地址 是 否
目的地址 否 是
IP协议(如TCP或UDP) 否 是
协议信息(如端口号) 否 是

22.1.3 处理过程
ACL处理分组时,IOS将自上向下处理ACL。如果IOS在分组和语句之间
找到匹配,IOS将执行语中包含的两个动作之一:允许或拒绝。
1、一旦找到匹配项,列表中的后续语句就不再处理。
2、语句之间的排列顺序很重要,因为第一次匹配后,剩下的语句不再处理。
3、如果列表中没有匹配项,将丢弃分组。

1、语句排序
一旦某条语句匹配,后续语句就不再处理。所以应该总是把最详尽的ACL
语句放在列表顶部,把最不详尽的放在列表的底部。

2、隐藏拒绝
如果路由器把分组和列表中每一条语句都进行了比较,并且没有找到和分组
内容匹配的条目,路由器将丢弃分组,这称为隐含拒绝。

3、重要配置指导方针
配置指导方针:
1语句顺序的重要性:最严格放在列表顶部,最不严格的放在底部。
2ACL语句将按自上向下处理,找到匹配项,后续不再处理。
3ACL没有匹配项,则丢弃分组。
4每个ACL语句需要一个唯一的号码或唯一的名称。
5路由器不能过滤它们自己生的流量。
6每个接口的每个方向上可以每个协议(如IP和IPX)应用一个ACL。
7如果在接口上应用空的ACL,默认情况下会允许所有流量:为了使ACL
具隐藏性拒绝语句,ACL至少需要一个实际的permit或deny语句。

22.2 基本ACL配置
22.2.1 创建ACL
创建ACL命令:
Router(config)# access-list ACL_# permit|deny conditions
ACL_#把语句组织成一个单一列表或策略。每种第3层协议都分配了其编号
的范围。
ACL类型 ACL编号
IP标准 1-99;1300-1999
IP扩展 100-199;2000-2699
conditions 告诉路由器分组中的什么内容要匹配,使路由器执行相应动作
(Permit或Deny)。这些条件可以包括IP地址的匹配和协议信息的匹配。

22.2.2 地址匹配:通配符掩码