電子教案訪問(wèn)控制列表的配置

電子教案訪問(wèn)控制列表的配置第1頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月第9章訪問(wèn)控制列表的配置

學(xué)習(xí)目的與要求：互聯(lián)網(wǎng)的開(kāi)放性決定了網(wǎng)絡(luò)上的數(shù)據(jù)可以任意流動(dòng)，但有時(shí)候需要對(duì)數(shù)據(jù)進(jìn)行控制。通過(guò)設(shè)置訪問(wèn)控制列表來(lái)控制和過(guò)濾通過(guò)路由器的信息流是的一種方法。本章主要講述使用標(biāo)準(zhǔn)訪問(wèn)控制列表和擴(kuò)展訪問(wèn)控制列表控制網(wǎng)絡(luò)流量的方法，同時(shí)提供了標(biāo)準(zhǔn)訪問(wèn)控制列表和擴(kuò)展訪問(wèn)控制列表以及在路由接口應(yīng)用ACL的例子。完成本章的學(xué)習(xí)，你將能夠：描述訪問(wèn)控制列表的分類(lèi)及其工作過(guò)程會(huì)根據(jù)應(yīng)用需求配置各種訪問(wèn)控制列表第2頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月第9章訪問(wèn)控制列表的配置

9.1訪問(wèn)控制列表9.2配置標(biāo)準(zhǔn)訪問(wèn)控制列表9.3配置擴(kuò)展訪問(wèn)控制列表9.4命名的訪問(wèn)列表本章小結(jié)本章習(xí)題本章實(shí)訓(xùn)第3頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月9.1訪問(wèn)控制列表訪問(wèn)控制列表簡(jiǎn)稱(chēng)ACL(AccessControlLists)，配置路由器的訪問(wèn)控制列表是網(wǎng)絡(luò)管理員一件經(jīng)常性的工作。本節(jié)介紹ACL的概念、功能及其工作原理。第4頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月9.1.1ACL概述訪問(wèn)控制列表(ACL)使用包過(guò)濾技術(shù)，在路由器上讀取第3層或第4層包頭中的信息，如源地址、目的地址、源端口、目的端口以及上層協(xié)議等，根據(jù)預(yù)先定義的規(guī)則決定哪些數(shù)據(jù)包可以接收、哪些數(shù)據(jù)包需要拒絕，從而達(dá)到訪問(wèn)控制的目的。

第5頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月ACL的功能

檢查和過(guò)濾數(shù)據(jù)包。ACL通過(guò)將訪問(wèn)控制列表應(yīng)用到路由器接口來(lái)管理流量和檢查特定的數(shù)據(jù)包。任何經(jīng)過(guò)該接口的流量都要接受ACL中規(guī)則的檢測(cè)，以此決定被路由的分組是被轉(zhuǎn)發(fā)還是被丟掉，從而過(guò)濾網(wǎng)絡(luò)流量。例如，可以允許E-mail流量被路由，但同時(shí)阻塞所有Telnet流量。限制網(wǎng)絡(luò)流量，提高網(wǎng)絡(luò)性能。ACL能夠按照優(yōu)先級(jí)或用戶隊(duì)列處理數(shù)據(jù)包。通過(guò)排隊(duì)確保路由器不去處理那些不需要的分組。排隊(duì)限制了網(wǎng)絡(luò)流量，減少了網(wǎng)絡(luò)擁塞。限制或減少路由更新的內(nèi)容。ACL能夠限定或簡(jiǎn)化路由器選擇更新的內(nèi)容，這些限定常用于限定關(guān)于特定網(wǎng)絡(luò)的信息通過(guò)網(wǎng)絡(luò)傳播。提供網(wǎng)絡(luò)訪問(wèn)的基本安全級(jí)別。通過(guò)在路由器上配置ACL，可以允許一個(gè)主機(jī)訪問(wèn)網(wǎng)絡(luò)的一部分，而阻止其他主機(jī)訪問(wèn)相同的區(qū)域。第6頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月配置ACL的原則

順序處理原則。對(duì)ACL表項(xiàng)的檢查是按照自上而下的順序進(jìn)行的，從第一行起，直到找到第一個(gè)符合條件的行為止，其余的行不再繼續(xù)比較。因此必須考慮在訪問(wèn)控制列表中放入語(yǔ)句的次序，比如測(cè)試性的語(yǔ)句最好放在ACL的最頂部。最小特權(quán)原則。對(duì)ACL表項(xiàng)的設(shè)置應(yīng)只給受控對(duì)象完成任務(wù)所必須的最小的權(quán)限。如果沒(méi)有ACL，則等于permitany。一旦添加了ACL，默認(rèn)在每個(gè)ACL中最后一行為隱含的拒絕(denyany)。如果之前沒(méi)找到一條許可(permit)語(yǔ)句，意味著包將被丟棄。所以每個(gè)ACL必須至少有一行permit語(yǔ)句，除非用戶想將所有數(shù)據(jù)包丟棄。最靠近受控對(duì)象原則。盡量考慮將擴(kuò)展的ACL放在靠近源地址的位置上。這樣創(chuàng)建的過(guò)濾器就不會(huì)反過(guò)來(lái)影響其他接口上的數(shù)據(jù)流。另外，盡量使標(biāo)準(zhǔn)的ACL靠近目的地址，由于標(biāo)準(zhǔn)ACL只使用源地址，如果將其靠近源會(huì)阻止報(bào)文流向其他端口。第7頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月9.1.2ACL的工作原理圖9-2ACL匹配性檢查第8頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月9.2配置標(biāo)準(zhǔn)訪問(wèn)控制列表最廣泛使用的訪問(wèn)控制列表是IP訪問(wèn)控制列表，IP訪問(wèn)控制列表工作于TCP/IP協(xié)議組。按照訪問(wèn)控制列表檢查IP數(shù)據(jù)包參數(shù)的不同，可以將其分成標(biāo)準(zhǔn)ACL和擴(kuò)展ACL兩種類(lèi)型。此外CiscoIOS11.2版本中還引入了IP命名ACL類(lèi)型。從本節(jié)開(kāi)始分別介紹各種ACL的配置方法。第9頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月9.2.1標(biāo)準(zhǔn)ACL的工作過(guò)程圖9-3標(biāo)準(zhǔn)ACL的工作過(guò)程第10頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月9.2.2配置標(biāo)準(zhǔn)ACL

1.定義標(biāo)準(zhǔn)ACLRouter(config)#access-listaccess-list-number{deny|permit}source[source-wildcard][log]其中的參數(shù)見(jiàn)表9.12．將標(biāo)準(zhǔn)ACL應(yīng)用到某一接口上Router(config-if)#ipaccess-groupaccess-list-number{in|out}其中，參數(shù)in和out表示ACL作用在接口上的方向，兩者都是以路由器作為參照物的，如果in和out都沒(méi)有指定，那么默認(rèn)為out。注意：在每個(gè)接口、每個(gè)協(xié)議、每個(gè)方向上只能有一個(gè)訪問(wèn)控制列表。3.刪除已建立的標(biāo)準(zhǔn)ACLRouter(config)#noaccess-listaccess-list-number第11頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月表9.1標(biāo)準(zhǔn)ACL參數(shù)及描述參數(shù)描述access-list-number訪問(wèn)控制列表表號(hào)，用來(lái)指定入口屬于哪一個(gè)訪問(wèn)控制列表。對(duì)于標(biāo)準(zhǔn)ACL來(lái)說(shuō)，是一個(gè)從1到99或1300到1999之間的數(shù)字deny如果滿足測(cè)試條件，則拒絕從該入口來(lái)的通信流量permit如果滿足測(cè)試條件，則允許從該入口來(lái)的通信流量source數(shù)據(jù)包的源地址，可以是網(wǎng)絡(luò)地址或是主機(jī)IP地址source-wildcard(可選項(xiàng))通配符掩碼，又稱(chēng)反掩碼，用來(lái)跟源地址一起決定哪些位需要匹配log(可選項(xiàng))生成相應(yīng)的日志消息，用來(lái)記錄經(jīng)過(guò)ACL入口的數(shù)據(jù)包的情況第12頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月關(guān)于通配符掩碼的使用說(shuō)明表示成4位點(diǎn)分十進(jìn)制形式。默認(rèn)的通配符掩碼為。在通配符掩碼位中，0表示“檢查相應(yīng)的位”，而1表示“不檢查(忽略)相應(yīng)的位”。比如，源地址和通配符掩碼為55，表示路由器前3個(gè)8位組必須精確匹配，最后1個(gè)8位組的值可以任意。再如，如要指定IP地址為從到之間的所有子網(wǎng)，則通配符掩碼為55(31-16=15)。any可以表示任何IP地址，例如：

Router(config)#access-list10permitany

host表示一臺(tái)主機(jī)，例如：

Router(config)#access-list10permithost172.16.30.22

第13頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月標(biāo)準(zhǔn)ACL配置示例一某企業(yè)銷(xiāo)售部、市場(chǎng)部的網(wǎng)絡(luò)和財(cái)務(wù)部的網(wǎng)絡(luò)通過(guò)路由器RTA和RTB相連，整個(gè)網(wǎng)絡(luò)配置RIPv2路由協(xié)議，保證網(wǎng)絡(luò)正常通信。要求在RTB上配置標(biāo)準(zhǔn)ACL，允許銷(xiāo)售部的主機(jī)PC1訪問(wèn)路由器RTB，但拒絕銷(xiāo)售部的其他主機(jī)訪問(wèn)RTB，允許銷(xiāo)售部、市場(chǎng)部網(wǎng)絡(luò)上所有其他流量訪問(wèn)RTB。圖9-4標(biāo)準(zhǔn)ACL配置第14頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月配置步驟如下：(1)配置標(biāo)準(zhǔn)ACL在路由器上RTB上配置如下：RTB(config)#access-list1permithost

0RTB(config)#access-list1deny55RTB(config)#access-list1permitany

RTB(config)#interfaces0/0/0RTB(config-if)#ipaccess-group1in(2)驗(yàn)證標(biāo)準(zhǔn)ACL

① showaccess-lists命令RTB#showaccess-lists② showipinterface命令RTB#showipinterface

第15頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月標(biāo)準(zhǔn)ACL配置示例二利用標(biāo)準(zhǔn)ACL限制虛擬終端訪問(wèn)的問(wèn)題。配置一個(gè)VTY訪問(wèn)控制列表，只允許網(wǎng)絡(luò)/24中的主機(jī)00telnet路由器RTA。圖9-5用標(biāo)準(zhǔn)ACL限制Telnet訪問(wèn)第16頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月配置方法如下：RTA(config)#

access-list10permithost00

RTA(config)#linevty04RTA(config-line)#passwordciscoRTA(config-line)#loginRTA(config-line)#access-class10in注意：在配置接口的訪問(wèn)時(shí)可以使用數(shù)字表號(hào)的或者命名的ACL只有數(shù)字的訪問(wèn)列表才可以應(yīng)用到虛擬連接中用戶可以連接所有的VTY，因此所有的VTY連接都應(yīng)用相同的ACL第17頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月9.3配置擴(kuò)展的ACL擴(kuò)展ACL比標(biāo)準(zhǔn)ACL功能更強(qiáng)大，使用得更廣泛，因?yàn)樗梢曰诜纸M的源地址、目的地址、協(xié)議類(lèi)型、端口號(hào)和應(yīng)用來(lái)決定訪問(wèn)是被允許或者拒絕，因而擴(kuò)展ACL比標(biāo)準(zhǔn)ACL提供了更廣闊的控制范圍和更多的處理方法。第18頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月9.3.1擴(kuò)展ACL的工作過(guò)程圖9-6擴(kuò)展ACL的工作過(guò)程第19頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月9.3.2配置擴(kuò)展ACL1．定義擴(kuò)展ACL

Router(config)#access-listaccess-list-number{deny|permit}protocolsource[source-wildcarddestinationdestination-wildcard][operatoroperand][established]

其中的參數(shù)說(shuō)明見(jiàn)表9.2。2.將擴(kuò)展ACL應(yīng)用到某一接口上

Router(config-if)#ipaccess-groupaccess-list-number{in|out}3.刪除擴(kuò)展ACLRouter(config)#

no

access-list

access-list-number

第20頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月表9.2

擴(kuò)展ACL參數(shù)及描述參數(shù)描述access-list-number訪問(wèn)控制列表表號(hào)，使用一個(gè)100到199或2000到2699之間的數(shù)字來(lái)標(biāo)識(shí)一個(gè)擴(kuò)展訪問(wèn)控制列表deny如果條件符合就拒絕后面指定的特定地址的通信流量permit如果條件符合就允許后面指定的特定地址的通信流量protocol用來(lái)指定協(xié)議類(lèi)型，如IP、ICMP、TCP或UDP等source和destination數(shù)據(jù)包的源地址和目的地址，可以是網(wǎng)絡(luò)地址或是主機(jī)IP地址source-wildcard應(yīng)用于源地址的通配符掩碼destination-wildcard應(yīng)用與目的地的通配符掩碼位operator(可選項(xiàng))比較源和目的端口，可用的操作符包括lt(小于)、gt(大于)、eq(等于)、neq(不等于)和range(包括的范圍)operand如果操作符位于源地址和源地址通配符之后，那么它必須匹配源端口。如果操作符位于目的地址和目的地址通配符之后，那么它必須匹配目的端口。range操作符需要兩個(gè)端口號(hào)，其他操作符只需要一個(gè)端口號(hào)established(可選項(xiàng))指明TCP或UDP端口的十進(jìn)制數(shù)字或名字。端口號(hào)可以從0到65535第21頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月表9.3一些保留的TCP/UDP端口號(hào)端口號(hào)關(guān)鍵字描述7ECHO回顯20FTP-DATA文件傳輸協(xié)議(數(shù)據(jù))21FTP文件傳輸協(xié)議(控制)23TELNET終端連接25SMTP簡(jiǎn)單郵件傳輸協(xié)議53DOMAIN域名服務(wù)器(DNS)69TFTP簡(jiǎn)單文件傳輸協(xié)議80HTTP超文本傳輸協(xié)議(WWW)第22頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月擴(kuò)展ACL配置示例某企業(yè)銷(xiāo)售部的網(wǎng)絡(luò)和財(cái)務(wù)部的網(wǎng)絡(luò)通過(guò)路由器RTA和RTB相連，整個(gè)網(wǎng)絡(luò)配置RIPv2路由協(xié)議，保證網(wǎng)絡(luò)正常通信。要求在RTA上配置擴(kuò)展ACL，實(shí)現(xiàn)以下4個(gè)功能：(1)允許銷(xiāo)售部網(wǎng)絡(luò)的主機(jī)訪問(wèn)WWWServer0；(2)拒絕銷(xiāo)售部網(wǎng)絡(luò)的主機(jī)訪問(wèn)FTPServer0；(3)拒絕銷(xiāo)售部網(wǎng)絡(luò)的主機(jī)Telnet路由器RTB；(4)拒絕銷(xiāo)售部主機(jī)0

Ping路由器RTB。圖9-7擴(kuò)展ACL的配置第23頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月配置方法如下：RTA(config)#access-list100permittcp55host0eq80RTA(config)#access-list100denytcp55host0eq20RTA(config)#access-list100denytcp55host0eq21RTA(config)#access-list100denytcp55hosteq23RTA(config)#access-list100denytcp55hosteq23RTA(config)#access-list100denyicmphost0hostRTA(config)#access-list100denyicmphost0host

RTA(config)#access-list100permitipanyanyRTA(config)#interfacef0/0RTA(config-if)#ipaccess-group100in第24頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月9.4命名的訪問(wèn)控制列表CiscoIOS軟件11.2版本中引入了IP命名ACL，命名ACL允許在標(biāo)準(zhǔn)ACL和擴(kuò)展ACL中使用一個(gè)字母數(shù)字組合的字符串(名字)代替前面所使用的數(shù)字來(lái)表示ACL表號(hào)。使用命名ACL有以下的好處：不受99條標(biāo)準(zhǔn)ACL和100條擴(kuò)展ACL的限制網(wǎng)絡(luò)管理員可以方便地對(duì)ACL進(jìn)行修改，而無(wú)須刪除ACL之后再對(duì)其進(jìn)行重新配置

第25頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月配置命名訪問(wèn)控制列表步驟一：Router(config)#ipaccess-list{extended|standard}name步驟二：Router(config-{std-|ext-}nacl)#permit{source[source-wildcard]|any}或Router(config-{std-|ext-}nacl)#

deny{source[source-wildcard]|any}

第26頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月命名ACL配置示例

圖9-8命名ACL網(wǎng)絡(luò)配置拓?fù)涞?7頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月1.配置標(biāo)準(zhǔn)命名ACL要求：在路由器RTA上進(jìn)行配置，以阻塞來(lái)自某部門(mén)子網(wǎng)/24的通信流量，而允許轉(zhuǎn)發(fā)所有其他部門(mén)的通信流量。RTA(config)#ipaccess-liststandardacl_stdRTA(config-std-nacl)#

deny55RTA(config-std-nacl)#permitanyRTA(config-std-nacl)#

exitRTA(config)#

interfacef0/0RTA(config-if)#ipaccess-groupacl_stdin第28頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月2.配置擴(kuò)展命名ACL要求：只需拒絕該部門(mén)子網(wǎng)中的FTP和Telnet通信流量通過(guò)f0/0

RTA(config)#ipacess-listextendedacl_extRTA(config-ext-nacl)#denytcp55anyeq21RTA(config-ext-nacl)#denytcp55anyeq20RTA(config-ext-nacl)#denytcp55anyeq23RTA(config-ext-nacl)#

permitipanyany

RTA(config-ext-nacl)#exitRTA(config)#

interfacef0/0RTA(config-if)#ipaccess-groupacl_extin第29頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月利用命名ACL刪除指定的語(yǔ)句示例命名ACL允許刪除任意指定的語(yǔ)句，但新增的語(yǔ)句只能被放到ACL的結(jié)尾處。下面的例子說(shuō)明了如何刪除和新增ACL語(yǔ)句。Router(config)#ipaccess-listextendedtestRouter(config-ext-nacl)#permitiphosthostRouter(config-ext-nacl)#permittcpanyhosteqwwwRouter(config-ext-nacl)#permiticmpanyanyRouter(config-ext-nacl)#

permitudpanyhosteqtftpRouter(config-ext-nacl)#^zRouter#

showaccess-listsRouter#configureterminalRouter(config)#

ipaccess-listextendedtestRouter(config-ext-nacl)#nopermiticmpanyanyRouter(config-ext-nacl)#

permittcpanyhosteqtelnetRouter(config-ext-nacl)#^zRouter#

showaccess-lists

第30頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月本章小結(jié)訪問(wèn)控制列表使用包過(guò)濾技術(shù)，在路由器上讀取第3層或第4層包頭中的信息，如源地址、目的地址、源端口、目的端口以及上層協(xié)議等，根據(jù)預(yù)先定義的規(guī)則決定哪些數(shù)據(jù)包可以接收、哪些數(shù)據(jù)包需要拒絕，從而達(dá)到訪問(wèn)控制的目的。在路由器上實(shí)現(xiàn)的訪問(wèn)控制列表是一個(gè)連續(xù)的條件判斷語(yǔ)句的集合，這些語(yǔ)句對(duì)數(shù)據(jù)包的地址或上層協(xié)議進(jìn)行網(wǎng)絡(luò)通信流量的控制，從而提供基本的網(wǎng)絡(luò)通信流量過(guò)濾的能力，對(duì)網(wǎng)絡(luò)安全起到很好的保護(hù)作用。標(biāo)準(zhǔn)ACL只檢查可以被路由的數(shù)據(jù)包的源地址，從而允許或拒絕基于網(wǎng)絡(luò)、子網(wǎng)或主機(jī)IP地址的某一協(xié)議通過(guò)路由器出口。擴(kuò)展ACL可以基于分組的源地址、目的地址、協(xié)議類(lèi)型、端口號(hào)和應(yīng)用來(lái)決定訪問(wèn)是被允許或者拒絕。它比標(biāo)準(zhǔn)ACL功能更強(qiáng)大，使用得更廣泛。命名ACL允許在標(biāo)準(zhǔn)ACL和擴(kuò)展ACL中使用一個(gè)字母數(shù)字組合的字符串(名字)代替前面所使用的數(shù)字來(lái)表示ACL表號(hào)。使用命名ACL的優(yōu)點(diǎn)是不受99條標(biāo)準(zhǔn)ACL和100條擴(kuò)展ACL的限制，同時(shí)，網(wǎng)絡(luò)管理員可以方便地對(duì)ACL進(jìn)行修改第31頁(yè)，課件共36頁(yè)，創(chuàng)作于2023年2月本章習(xí)題一、填空題1．ACL分為

和

兩種類(lèi)型。2．當(dāng)應(yīng)用ACL時(shí)，以

為參照物區(qū)分in和out的方向。3．ACL最后一條隱含