訪問(wèn)控制列表

1、Version 2.0訪問(wèn)控制列表訪問(wèn)控制列表訪問(wèn)控制列表訪問(wèn)控制列表訪問(wèn)控制列表訪問(wèn)控制列表ACLACLACLPage 2/45本章目標(biāo)本章目標(biāo)v理解訪問(wèn)控制列表的工作原理（訪問(wèn)控制理解訪問(wèn)控制列表的工作原理（訪問(wèn)控制列表的作用，列表的作用，路由器對(duì)訪問(wèn)控制列表的處路由器對(duì)訪問(wèn)控制列表的處理過(guò)程理過(guò)程）v理解訪問(wèn)控制列表的反碼理解訪問(wèn)控制列表的反碼v掌握訪問(wèn)控制列表的種類掌握訪問(wèn)控制列表的種類v掌握標(biāo)準(zhǔn)和擴(kuò)展訪問(wèn)控制列表的配置方法掌握標(biāo)準(zhǔn)和擴(kuò)展訪問(wèn)控制列表的配置方法v能夠利用訪問(wèn)控制列表對(duì)網(wǎng)絡(luò)進(jìn)行控制能夠利用訪問(wèn)控制列表對(duì)網(wǎng)絡(luò)進(jìn)行控制Page 3/45本章結(jié)構(gòu)本章結(jié)構(gòu)訪問(wèn)控制列表訪問(wèn)控制列表

2、訪問(wèn)控制列表的種類訪問(wèn)控制列表的種類訪問(wèn)控制列表的工作原理訪問(wèn)控制列表的工作原理訪問(wèn)控制列表的反碼訪問(wèn)控制列表的反碼訪問(wèn)控制列表概訪問(wèn)控制列表概述述擴(kuò)展訪問(wèn)控制列擴(kuò)展訪問(wèn)控制列表表標(biāo)準(zhǔn)訪問(wèn)控制列標(biāo)準(zhǔn)訪問(wèn)控制列表表什么是擴(kuò)展訪問(wèn)控制列表什么是擴(kuò)展訪問(wèn)控制列表擴(kuò)展訪問(wèn)控制列表的應(yīng)用與配置擴(kuò)展訪問(wèn)控制列表的應(yīng)用與配置命名訪問(wèn)控制列表命名訪問(wèn)控制列表標(biāo)準(zhǔn)訪問(wèn)控制列表的標(biāo)準(zhǔn)訪問(wèn)控制列表的應(yīng)用與配置應(yīng)用與配置什么是標(biāo)準(zhǔn)訪問(wèn)控制什么是標(biāo)準(zhǔn)訪問(wèn)控制列表列表Page 4/45什么是訪問(wèn)控制列表什么是訪問(wèn)控制列表v訪問(wèn)控制列表（訪問(wèn)控制列表（ACL） 應(yīng)用于路由器接口的指令列表應(yīng)用于路由器接口的指令列表 ，用于指

3、定哪些數(shù)據(jù)，用于指定哪些數(shù)據(jù)包可以接收轉(zhuǎn)發(fā)，哪些數(shù)據(jù)包需要拒絕包可以接收轉(zhuǎn)發(fā)，哪些數(shù)據(jù)包需要拒絕vACL的工作原理的工作原理 讀取第三層及第四層包頭中的信息讀取第三層及第四層包頭中的信息 根據(jù)預(yù)先定義好的規(guī)則對(duì)包進(jìn)行過(guò)濾根據(jù)預(yù)先定義好的規(guī)則對(duì)包進(jìn)行過(guò)濾 Page 5/45訪問(wèn)控制列表的作用訪問(wèn)控制列表的作用2-1v提供網(wǎng)絡(luò)訪問(wèn)的基本安全手段提供網(wǎng)絡(luò)訪問(wèn)的基本安全手段v可用于可用于QoS，控制數(shù)據(jù)流量，控制數(shù)據(jù)流量v控制通信量控制通信量Page 6/45主機(jī)主機(jī)A主機(jī)主機(jī)B人力資源網(wǎng)絡(luò)人力資源網(wǎng)絡(luò)研發(fā)網(wǎng)絡(luò)研發(fā)網(wǎng)絡(luò)使用使用ACL阻止某指定網(wǎng)絡(luò)訪問(wèn)另一指定網(wǎng)絡(luò)阻止某指定網(wǎng)絡(luò)訪問(wèn)另一指定網(wǎng)絡(luò) 訪問(wèn)控制

4、列表的作用訪問(wèn)控制列表的作用2-2Page 7/45v實(shí)現(xiàn)訪問(wèn)控制列表的核心技術(shù)是包過(guò)濾實(shí)現(xiàn)訪問(wèn)控制列表的核心技術(shù)是包過(guò)濾Internet公司總部公司總部?jī)?nèi)部網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)未授權(quán)用戶未授權(quán)用戶辦事處辦事處訪問(wèn)控制列表訪問(wèn)控制列表訪問(wèn)控制列表工作原理訪問(wèn)控制列表工作原理2-1Page 8/45v通過(guò)分析通過(guò)分析IP數(shù)據(jù)包包頭信息，進(jìn)行判斷（這里數(shù)據(jù)包包頭信息，進(jìn)行判斷（這里IP所承載的上層協(xié)議為所承載的上層協(xié)議為T(mén)CP）訪問(wèn)控制列表工作原理訪問(wèn)控制列表工作原理2-2Page 9/45路由器對(duì)訪問(wèn)控制列表的處理過(guò)程路由器對(duì)訪問(wèn)控制列表的處理過(guò)程Page 10/45訪問(wèn)控制列表入與出訪問(wèn)控制列表入與出

5、3-1v使用命令使用命令ip access-group將將ACL應(yīng)用到某一個(gè)應(yīng)用到某一個(gè)接口上接口上 在接口的一個(gè)方向上，只能應(yīng)用一個(gè)在接口的一個(gè)方向上，只能應(yīng)用一個(gè)access-listRouter(config-if)#ip access-group access-list-number in|outPage 11/45訪問(wèn)控制列表入與出訪問(wèn)控制列表入與出3-2Page 12/45 訪問(wèn)控制列表入與出訪問(wèn)控制列表入與出3-3Page 13/45Deny和和permit命令命令Router(config)#access-list access-list-number permit|deny

6、test conditions允許數(shù)據(jù)包通過(guò)應(yīng)允許數(shù)據(jù)包通過(guò)應(yīng)用了訪問(wèn)控制列表用了訪問(wèn)控制列表的接口的接口拒絕數(shù)據(jù)包通過(guò)拒絕數(shù)據(jù)包通過(guò)Page 14/45v第一步，創(chuàng)建訪問(wèn)控制列表第一步，創(chuàng)建訪問(wèn)控制列表v第二步，應(yīng)用到接口第二步，應(yīng)用到接口e0的出方向上的出方向上 訪問(wèn)控制列表實(shí)例訪問(wèn)控制列表實(shí)例Page 15/45使用通配符使用通配符any和和host 2-1v通配符通配符any可代替可代替 55 Page 16/45使用通配符使用通配符any和和host 2-2vhost表示檢查表示檢查IP地址的所有位地址的所有位 Page 17/45訪問(wèn)控制列表

7、的種類訪問(wèn)控制列表的種類v基本類型的訪問(wèn)控制列表基本類型的訪問(wèn)控制列表 標(biāo)準(zhǔn)訪問(wèn)控制列表標(biāo)準(zhǔn)訪問(wèn)控制列表 擴(kuò)展訪問(wèn)控制列表擴(kuò)展訪問(wèn)控制列表 v 其他種類的訪問(wèn)控制列表其他種類的訪問(wèn)控制列表 基于基于MAC地址的訪問(wèn)控制列表地址的訪問(wèn)控制列表 基于時(shí)間的訪問(wèn)控制列表基于時(shí)間的訪問(wèn)控制列表Page 18/45擴(kuò)展擴(kuò)展acl標(biāo)準(zhǔn)標(biāo)準(zhǔn)acl路由器路由器B路由器路由器C路由器路由器D路由器路由器AS0S0S1S1E0E0E1E0E0E1應(yīng)用訪問(wèn)控制列表應(yīng)用訪問(wèn)控制列表源源目的目的Page 19/45標(biāo)準(zhǔn)訪問(wèn)控制列表標(biāo)準(zhǔn)訪問(wèn)控制列表3-1v標(biāo)準(zhǔn)訪問(wèn)控制列表標(biāo)準(zhǔn)訪問(wèn)控制列表 根據(jù)數(shù)據(jù)包的源根據(jù)數(shù)據(jù)包的源IP

8、地址來(lái)允許或拒絕數(shù)據(jù)包地址來(lái)允許或拒絕數(shù)據(jù)包 訪問(wèn)控制列表號(hào)從訪問(wèn)控制列表號(hào)從1到到99Page 20/45標(biāo)準(zhǔn)訪問(wèn)控制列表標(biāo)準(zhǔn)訪問(wèn)控制列表3-2v標(biāo)準(zhǔn)訪問(wèn)控制列表只使用源地址進(jìn)行過(guò)濾，表明標(biāo)準(zhǔn)訪問(wèn)控制列表只使用源地址進(jìn)行過(guò)濾，表明是允許還是拒絕是允許還是拒絕Page 21/45 標(biāo)準(zhǔn)訪問(wèn)控制列表標(biāo)準(zhǔn)訪問(wèn)控制列表3-3Page 22/45標(biāo)準(zhǔn)訪問(wèn)控制列表的配置標(biāo)準(zhǔn)訪問(wèn)控制列表的配置v第一步，使用第一步，使用access-list命令創(chuàng)建訪問(wèn)控制列表命令創(chuàng)建訪問(wèn)控制列表v第二步，使用第二步，使用ip access-group命令把訪問(wèn)控制列表命令把訪問(wèn)控制列表應(yīng)用到某接口應(yīng)用到某接口Router

9、(config)#access-list access-list-number permit | deny source source- wildcard logRouter(config-if)#ip access-group access-list-number in | out Page 23/45標(biāo)準(zhǔn)標(biāo)準(zhǔn)ACL應(yīng)用應(yīng)用1：允許特定源的流量：允許特定源的流量2-1Non-E0E1S03Page 24/45標(biāo)準(zhǔn)標(biāo)準(zhǔn)ACL應(yīng)用：允許特定源的流量應(yīng)用：允許特定源的流量2-2v第一步，創(chuàng)建允許來(lái)自第一步，創(chuàng)建允許來(lái)自

10、的流量的的流量的ACLv第二步，應(yīng)用到接口第二步，應(yīng)用到接口E0和和E1的出方向上的出方向上 Router(config)#access-list 1 permit 55Router(config)#interface fastethernet 0/0Router(config-if)#ip access-group 1 outRouter(config)#interface fastethernet 0/1Router(config-if)#ip access-group 1 outPage 25/45標(biāo)準(zhǔn)標(biāo)準(zhǔn)ACL應(yīng)用：拒絕特定主

11、機(jī)的通信流量應(yīng)用：拒絕特定主機(jī)的通信流量v第一步，創(chuàng)建拒絕來(lái)自第一步，創(chuàng)建拒絕來(lái)自3的流量的的流量的ACLv第二步，應(yīng)用到接口第二步，應(yīng)用到接口E0的出方向的出方向Router(config)#access-list 1 deny host 3 Router(config)#access-list 1 permit 55Router(config)#interface fastethernet 0/0Router(config-if)#ip access-group 1 out Page 26/45標(biāo)準(zhǔn)標(biāo)準(zhǔn)ACL

12、應(yīng)用：拒絕特定子網(wǎng)的流量應(yīng)用：拒絕特定子網(wǎng)的流量v第一步，創(chuàng)建拒絕來(lái)自子網(wǎng)第一步，創(chuàng)建拒絕來(lái)自子網(wǎng)的流量的的流量的ACLv第二步，應(yīng)用到接口第二步，應(yīng)用到接口E0的出方向的出方向Router(config)#access-list 1 deny 55Router(config)#accesslist 1 permit anyRouter(config)#interface fastethernet 0/0Router（config-if）#ip access-group 1 outPage 27/45擴(kuò)展訪問(wèn)控制列表擴(kuò)展訪問(wèn)控制列表4-1

13、v擴(kuò)展訪問(wèn)控制列表擴(kuò)展訪問(wèn)控制列表 基于源和目的地址、傳輸層協(xié)議和應(yīng)用端口號(hào)進(jìn)行過(guò)基于源和目的地址、傳輸層協(xié)議和應(yīng)用端口號(hào)進(jìn)行過(guò)濾濾 每個(gè)條件都必須匹配，才會(huì)施加允許或拒絕條件每個(gè)條件都必須匹配，才會(huì)施加允許或拒絕條件 使用擴(kuò)展使用擴(kuò)展ACL可以實(shí)現(xiàn)更加精確的流量控制可以實(shí)現(xiàn)更加精確的流量控制 訪問(wèn)控制列表號(hào)從訪問(wèn)控制列表號(hào)從100到到199 Page 28/45擴(kuò)展訪問(wèn)控制列表擴(kuò)展訪問(wèn)控制列表4-2v擴(kuò)展訪問(wèn)控制列表使用更多的信息描述數(shù)據(jù)擴(kuò)展訪問(wèn)控制列表使用更多的信息描述數(shù)據(jù)包，表明是允許還是拒絕包，表明是允許還是拒絕從從/24來(lái)的來(lái)的,到到3的，的，

14、使用使用TCP協(xié)議，協(xié)議，利用利用HTTP訪問(wèn)的訪問(wèn)的數(shù)據(jù)包可以通過(guò)！數(shù)據(jù)包可以通過(guò)！路由器路由器Page 29/45擴(kuò)展訪問(wèn)控制列表擴(kuò)展訪問(wèn)控制列表4-3Page 30/4520FTP-DATA（文件傳輸協(xié)議）（文件傳輸協(xié)議）FTP（數(shù)據(jù)）（數(shù)據(jù)）TCP21FTP（文件傳輸協(xié)議）（文件傳輸協(xié)議）FTPTCP23TELNET終端連接終端連接TCP25SMTP簡(jiǎn)單郵件傳輸協(xié)議簡(jiǎn)單郵件傳輸協(xié)議TCP42NAMESERVER主機(jī)名字服務(wù)器主機(jī)名字服務(wù)器UDP53DOMAIN域名服務(wù)器（域名服務(wù)器（DNS)TCP/UDP69TFTP普通文件傳輸協(xié)議（普通文件傳輸協(xié)議（TFTP)UDP80WWW萬(wàn)維網(wǎng)萬(wàn)

15、維網(wǎng)TCP擴(kuò)展訪問(wèn)控制列表擴(kuò)展訪問(wèn)控制列表4-4Page 31/45擴(kuò)展訪問(wèn)控制列表的配置擴(kuò)展訪問(wèn)控制列表的配置3-1v第一步，使用第一步，使用access-list命令創(chuàng)建擴(kuò)展訪問(wèn)控制命令創(chuàng)建擴(kuò)展訪問(wèn)控制列表列表Router(config)#access-list access-list-number permit | deny protocol source source-wildcard destination destination-wildcard operator port established logPage 32/45eq portnumber等于端口號(hào)等于端口號(hào) portn

16、umbergt portnumber大于端口號(hào)大于端口號(hào)portnumberlt portnumber小于端口號(hào)小于端口號(hào)portnumberneq portnumber不等于端口號(hào)不等于端口號(hào)portnumber擴(kuò)展訪問(wèn)控制列表的配置擴(kuò)展訪問(wèn)控制列表的配置3-2Page 33/45擴(kuò)展訪問(wèn)控制列表的配置擴(kuò)展訪問(wèn)控制列表的配置3-3v第二步，使用第二步，使用ip access-group命令將擴(kuò)展訪問(wèn)命令將擴(kuò)展訪問(wèn)控制列表應(yīng)用到某接口控制列表應(yīng)用到某接口Router（config-if）#ip access-group access-list-number in | out Page 34/4

17、5擴(kuò)展擴(kuò)展ACL應(yīng)用應(yīng)用1：拒絕：拒絕ftp流量通過(guò)流量通過(guò)E0v第一步，創(chuàng)建拒絕來(lái)自第一步，創(chuàng)建拒絕來(lái)自、去往、去往、ftp流量的流量的ACLv第二步，應(yīng)用到接口第二步，應(yīng)用到接口E0的出方向的出方向Router(config)#access-list 101 deny tcp 55 55 eq 21Router(config)#access-list 101 permit ip any anyRouter(config)#interface fastthernet 0/0Rout

18、er（config-if）#ip access-group 101 outPage 35/45擴(kuò)展擴(kuò)展ACL應(yīng)用應(yīng)用2： 拒絕拒絕telnet流量通過(guò)流量通過(guò)E0v第一步，創(chuàng)建拒絕來(lái)自第一步，創(chuàng)建拒絕來(lái)自、去往、去往、telnet流量的流量的ACLv第二步，應(yīng)用到接口第二步，應(yīng)用到接口E0的出方向上的出方向上Router(config)#access-list 101 deny tcp 55 55 eq 23Router(config)#access-list 101 permit

19、ip any anyRouter(config)#interface fastethernet 0/0Router（config-if）#ip access-group 101 outPage 36/45命名的訪問(wèn)控制列表命名的訪問(wèn)控制列表2-1v標(biāo)準(zhǔn)標(biāo)準(zhǔn)ACL和擴(kuò)展和擴(kuò)展ACL中可以使用一個(gè)字母數(shù)字組中可以使用一個(gè)字母數(shù)字組合的字符串（名字）代替來(lái)表示合的字符串（名字）代替來(lái)表示ACL的表號(hào)的表號(hào) v命名命名IP訪問(wèn)列表允許從指定的訪問(wèn)列表刪除單個(gè)訪問(wèn)列表允許從指定的訪問(wèn)列表刪除單個(gè)條目條目v如果添加一個(gè)條目到列表中，那么該條目被添加如果添加一個(gè)條目到列表中，那么該條目被添加到列表末尾到列表

20、末尾 v不能以同一個(gè)名字命名多個(gè)不能以同一個(gè)名字命名多個(gè)ACLv在命名的訪問(wèn)控制列表下在命名的訪問(wèn)控制列表下 ，permit和和deny命令的命令的語(yǔ)法格式與前述有所不同語(yǔ)法格式與前述有所不同 Page 37/45命名的訪問(wèn)控制列表命名的訪問(wèn)控制列表2-2v第一步，創(chuàng)建名為第一步，創(chuàng)建名為cisco的命名訪問(wèn)控制列表的命名訪問(wèn)控制列表v第二步，指定一個(gè)或多個(gè)第二步，指定一個(gè)或多個(gè)permit及及deny條件條件 v第三步，應(yīng)用到接口第三步，應(yīng)用到接口E0的出方向的出方向Router（config）#interface fastethernet 0/0Router（config-if）#ip a

21、ccess-group cisco outRouter(config)#ip access-list extended ciscoRouter（config-ext-nacl）# deny tcp 55 55 eq 23Router（config-ext-nacl）# permit ip any anyPage 38/45查看訪問(wèn)控制列表查看訪問(wèn)控制列表2-1Router#show ip interface fastethernet 0/0 FastEthernet0/0 is up, line protocol is u

22、p Internet address is /24 Broadcast address is 55 Address determined by setup command MTU is 1500 bytes Helper address is not set Directed broadcast forwarding is disabled Outgoing access list is cisco Inbound access list is not set Proxy ARP is enabled Local Proxy ARP is disa

23、bled Security level is default Split horizon is enabled ICMP redirects are always sent ICMP unreachables are always sent ICMP mask replies are never sent IP fast switching is enabled IP fast switching on the same interface is disabled Page 39/45查看訪問(wèn)控制列表查看訪問(wèn)控制列表2-2Router#show access-list Extended IP

24、access list cisco 10 deny tcp 55 55 eq telnet 20 permit ip any anyPage 40/45本章總結(jié)本章總結(jié)訪問(wèn)控制列表訪問(wèn)控制列表訪問(wèn)控制列表的種類訪問(wèn)控制列表的種類訪問(wèn)控制列表的工作原理訪問(wèn)控制列表的工作原理訪問(wèn)控制列表的反碼訪問(wèn)控制列表的反碼訪問(wèn)控制列表概訪問(wèn)控制列表概述述擴(kuò)展訪問(wèn)控制列擴(kuò)展訪問(wèn)控制列表表標(biāo)準(zhǔn)訪問(wèn)控制列標(biāo)準(zhǔn)訪問(wèn)控制列表表什么是擴(kuò)展訪問(wèn)控制列表什么是擴(kuò)展訪問(wèn)控制列表擴(kuò)展訪問(wèn)控制列表的應(yīng)用與配置擴(kuò)展訪問(wèn)控制列表的應(yīng)用與配置命名訪問(wèn)控制列表命名訪問(wèn)

25、控制列表標(biāo)準(zhǔn)訪問(wèn)控制列表的標(biāo)準(zhǔn)訪問(wèn)控制列表的應(yīng)用與配置應(yīng)用與配置什么是標(biāo)準(zhǔn)訪問(wèn)控制什么是標(biāo)準(zhǔn)訪問(wèn)控制列表列表訪問(wèn)控制列表（訪問(wèn)控制列表（ACLACL）是應(yīng)用在路由器接是應(yīng)用在路由器接口的指令列表（規(guī)口的指令列表（規(guī)則）則）ACLACL的工作原理：根的工作原理：根據(jù)預(yù)先定義好的規(guī)據(jù)預(yù)先定義好的規(guī)則對(duì)包進(jìn)行過(guò)濾，則對(duì)包進(jìn)行過(guò)濾，從而達(dá)到訪問(wèn)控制從而達(dá)到訪問(wèn)控制的目的的目的ACLACL的處理過(guò)程：若的處理過(guò)程：若第一條不匹配，則第一條不匹配，則依次往下進(jìn)行判斷，依次往下進(jìn)行判斷，直到有任一條語(yǔ)句直到有任一條語(yǔ)句匹配匹配ACLACL使用反碼來(lái)標(biāo)志使用反碼來(lái)標(biāo)志一個(gè)或幾個(gè)地址是一個(gè)或幾個(gè)地址是被允許還是

26、被拒絕被允許還是被拒絕標(biāo)準(zhǔn)訪問(wèn)控制列表：檢查被路由的標(biāo)準(zhǔn)訪問(wèn)控制列表：檢查被路由的數(shù)據(jù)包的源地址。其結(jié)果基于源網(wǎng)數(shù)據(jù)包的源地址。其結(jié)果基于源網(wǎng)絡(luò)絡(luò)/ /子網(wǎng)子網(wǎng)/ /主機(jī)主機(jī)IPIP地址來(lái)決定是允許地址來(lái)決定是允許還是拒絕轉(zhuǎn)發(fā)數(shù)據(jù)包。它使用還是拒絕轉(zhuǎn)發(fā)數(shù)據(jù)包。它使用1 1到到9999之間的數(shù)字作為表號(hào)之間的數(shù)字作為表號(hào)對(duì)數(shù)據(jù)包的原地址與目標(biāo)地址均對(duì)數(shù)據(jù)包的原地址與目標(biāo)地址均進(jìn)行檢查。它也能檢查特定的協(xié)進(jìn)行檢查。它也能檢查特定的協(xié)議、端口號(hào)以及其它參數(shù)。它使議、端口號(hào)以及其它參數(shù)。它使用用100100到到199199之間的數(shù)字作為表號(hào)之間的數(shù)字作為表號(hào)應(yīng)用訪問(wèn)控制列表首先使用應(yīng)用訪問(wèn)控制列表首先使用access-listaccess-list命令創(chuàng)建訪問(wèn)控命令創(chuàng)建訪問(wèn)控制列表，再用制列表，再用ip access-ip access-groupgroup命令把該訪問(wèn)控制列表命令把該訪問(wèn)控制列表應(yīng)用到某一接口應(yīng)用到某一接口可以使用一個(gè)字母數(shù)字組合的可以使用一個(gè)字母數(shù)字組合的字符串（名字）代替前面所使字符串（名字）代替前面所使用的數(shù)字（用的數(shù)字（11991199）