體驗(yàn)課課件-pIP訪問控制列表

IP

控制列表的應(yīng)用場(chǎng)景IP

控制列表的結(jié)構(gòu)與匹配邏輯IP

控制列表的類型與配置應(yīng)用案例12341、IP

ACL的應(yīng)用場(chǎng)景IP

ACL的應(yīng)用場(chǎng)景——ACL的定義IP

ACL的應(yīng)用場(chǎng)景——ACL的兩大作用事先定義好一組規(guī)則在設(shè)備的接口上，對(duì)來往的數(shù)據(jù)報(bào)文執(zhí)行檢查按規(guī)則過濾或放行數(shù)據(jù)報(bào)文過濾器將網(wǎng)絡(luò)中的流量按需求分類分別在QoS、策略路由、NAT、路由策略等配置中調(diào)用已由ACL完成好的分類分類器2、IP

ACL的結(jié)構(gòu)與匹配邏輯ACL的結(jié)構(gòu)與匹配邏輯——ACL的語句結(jié)構(gòu)或者名字的控制語句由一組具有相同組成每條語句中定義了被檢查字段12多條語句之間是邏輯或的關(guān)系3由Permit/deny定義執(zhí)行的動(dòng)作4每個(gè)ACL都包含一條隱含語句，用于匹配那些未被顯性語句所包含的數(shù)據(jù)報(bào)文5ACL的結(jié)構(gòu)與匹配邏輯——ACL的匹配邏輯數(shù)據(jù)報(bào)文的匹配順序是從上至下依次匹配1數(shù)據(jù)報(bào)文一旦被匹配某條語句，則立即跳出ACL，按該語句的動(dòng)作執(zhí)行2盡可能將地址范圍小的語句放在整個(gè)ACL的前面，優(yōu)先匹配3ACL的結(jié)構(gòu)與匹配邏輯——ACL的執(zhí)行流程檢查第一條語句檢查第二條語句檢查第最后語句動(dòng)作permitdeny隱含語句YYYNNN出接口丟棄3、IP

ACL的類型與配置IP

ACL的類型與配置——ACL的分類標(biāo)準(zhǔn)ACL1擴(kuò)展ACL2基于MAC的ACL3ACL4IP

ACL的類型與配置——標(biāo)準(zhǔn)ACL1－99和1300－1999命名

standard標(biāo)識(shí)方法源IP地址檢查字段IP

ACL的類型與配置——標(biāo)準(zhǔn)ACL全局配置模式ruijie（config）#access-list

access-list-number

{

permit

|

deny

}

{

any|

source

source-wildcard

}

[

time-range

time-range-name

]ACL配置模式ruijie（config）#

ip

access-list

standard

{

name

|

access-list-number

}Ruijie(config-std-nacl)#{

permit

|

deny

}

{

any|

source

source-wildcard

}

[

time-range

time-range-name

]Ruijie（config）#ipaccess-list

standard

sampleRuijie(config-std-nacl)#permit

55IP

ACL的類型與配置——擴(kuò)展ACL100－199和2000－2699命名

extended標(biāo)識(shí)方法源/目IP地址、源/目端 、協(xié)議檢查字段IP

ACL的類型與配置——擴(kuò)展ACL全局配置模式ruijie（config）#access-list

access-list-number

{

deny|permit

}protocol

{

any

|

source

source-wildcard

}

[

operator

port

]

{

any|destination

destination-wildcard

}

[

operatorport

]

[

precedenceprecedence

]

[

tos

tos

]

[

time-range

time-range-name

]

[

dscp

dscp

][

fragment

]Ruijie（config）#access-list

101deny

ip

55hostRuijie（config）#access-list

101

permit

any

anyIP

ACL的類型與配置——擴(kuò)展ACLACL配置模式ruijie（config）#

ip

access-list

extended

{name

|

access-list-number}Ruijie(config-ext-nacl)#{

permit|

deny

}

protocol

{

any

|

sourcesource-wildcard

}

[operator

port

]

{

any

|

destination

destination-wildcard}

[

operatorport

]

[

time-range

time-range-name

]

[

dscpdscp

]

[

fragment

]Ruijie（config）#ip

access-listextended

sampleRuijie(config-ext-nacl)#permit

tcp

55

0eqwwwIP

ACL的類型與配置——通配符IP

ACL的類型與配置——通配符IP

ACL的類型與配置——ACL的基本配置步驟在全局配置模式下定義ACL1在某臺(tái)設(shè)備的某個(gè)接口上調(diào)用ACLRuijie(config-IF)#ip

access-group

ACL

in/out2F1/0F1/1INOUTIP

ACL的類型與配置——ACL的調(diào)用位置盡可能調(diào)用在靠近目的地的端口上標(biāo)準(zhǔn)ACL盡可能調(diào)用在離發(fā)送源最近的端口上擴(kuò)展ACLIP

ACL的類型與配置——標(biāo)準(zhǔn)ACL配置案例網(wǎng)段的主機(jī)不可以服務(wù)器，其它主機(jī)服務(wù)器不受限制。需求IP

ACL的類型與配置——擴(kuò)展ACL配置案例網(wǎng)段中的主機(jī)能夠中的FTP服務(wù)和WEB服，可以

的任何務(wù)，而對(duì)該服務(wù)器的其它服務(wù)服務(wù)需求IP

ACL的類型與配置——基于時(shí)間ACL配置案例上班時(shí)間（9：00~18：00）不允許員工的主機(jī)（/24）Internet，下班時(shí)間可以

Internet上的Web服務(wù)。需求IP

ACL的類型與配置——

控制ACL配置案例Router（config）#enable

secret

ruijieRouter（config）#access-list

3

permit

host

0Router（confg）#line

vty

0

4Router（config-line）#passwordruijieRouter（config-line）#access-class

3

in只允許0這臺(tái)主機(jī)

net路由器需求IP

ACL的類型與配置——ACL的查看信息顯示全部的

控制列表Router#show

access-lists顯示指定的

控制列表Router#show

access-lists

<1-199>顯示接口的

列表應(yīng)用Router#show

access-group interface接4、應(yīng)用案例應(yīng)用案例：——需求實(shí)現(xiàn)RSR20S3760VLAN