TCPIP路由交換技術(shù)（第二版）課件 項(xiàng)目9 利用訪問(wèn)控制列表管理網(wǎng)絡(luò)的數(shù)據(jù)流

項(xiàng)目9利用訪問(wèn)控制列表管理網(wǎng)絡(luò)的數(shù)據(jù)流授課教師：肖

楊吉林交通職業(yè)技術(shù)學(xué)院學(xué)習(xí)目標(biāo)

了解ACL的概念及其作用掌握ACL分類、特點(diǎn)和應(yīng)用要求學(xué)會(huì)標(biāo)準(zhǔn)ACL和擴(kuò)展ACL的配置思維導(dǎo)圖

了解訪問(wèn)控制列表的應(yīng)用規(guī)則0

1掌握ACL的配置02利用ACL管理網(wǎng)絡(luò)的數(shù)據(jù)流03CONTENTS目錄學(xué)習(xí)任務(wù)9.1了解訪問(wèn)控制列表的應(yīng)用規(guī)則9.1.1訪問(wèn)控制列表（ACL）概述ACL的定義InternetACL（訪問(wèn)控制列表）定義：當(dāng)網(wǎng)絡(luò)流量不斷增長(zhǎng)的時(shí)候，對(duì)數(shù)據(jù)流進(jìn)行管理和限制的方法作為通用判別標(biāo)準(zhǔn)應(yīng)用到不同場(chǎng)合ACL的使用場(chǎng)合哪些場(chǎng)合需要使用ACL？允許或禁止對(duì)路由器或來(lái)自路由器的telnet訪問(wèn)QOS與隊(duì)列技術(shù)策略路由數(shù)據(jù)速率限制路由策略端口流鏡像NAT……ACL的分類（1）

數(shù)據(jù)包出接口數(shù)據(jù)包入接口ACL處理過(guò)程允許?源地址、目的地址協(xié)議標(biāo)準(zhǔn)ACL僅以源IP地址作為過(guò)濾標(biāo)準(zhǔn)只能粗略的限制某一大類協(xié)議擴(kuò)展ACL以源IP地址、目的IP地址、TCP/UDP源端口號(hào)、TCP/UDP目的端口號(hào)、ICMP類型、ICMPCode、DSCP（DiffServCodePoint）、ToS、Precedence作為過(guò)濾標(biāo)準(zhǔn)，可以精確的限制到某一種具體的協(xié)議ACL的分類（2）

數(shù)據(jù)包出接口數(shù)據(jù)包入接口ACL處理過(guò)程允許?源地址、目的地址協(xié)議二層ACL源MAC地址、目的MAC地址、源VLANID、二層以太網(wǎng)協(xié)議類型、802.1p優(yōu)先級(jí)值進(jìn)行匹配?；旌螦CL對(duì)源MAC地址、目的MAC地址、源VLANID、源IP地址、目的IP地址、TCP源端口號(hào)、TCP目的端口號(hào)、UDP源端口號(hào)、UDP目的端口號(hào)進(jìn)行匹配。

標(biāo)準(zhǔn)ACL和擴(kuò)展ACL的對(duì)比標(biāo)準(zhǔn)ACL擴(kuò)展ACL基于源地址過(guò)濾基于源、目的地址過(guò)濾允許/拒絕整個(gè)TCP/IP協(xié)議族指定特定的IP協(xié)議和協(xié)議號(hào)范圍從1到99范圍從100到1999.1.2

ACL規(guī)則ACL的工作流程ACL應(yīng)用在出接口ACL的工作流程ACL應(yīng)用在入接口ACL內(nèi)部匹配規(guī)則ACL的判別標(biāo)準(zhǔn)9.1.3

ACL的應(yīng)用ACL的應(yīng)用對(duì)于標(biāo)準(zhǔn)ACL，由于它只能過(guò)濾源IP，為了不影響源主機(jī)的通信，一般我們將標(biāo)準(zhǔn)ACL放在離目的端比較近的地方；擴(kuò)展ACL可以精確的定位某一類的數(shù)據(jù)流，為了不讓無(wú)用的流量占據(jù)網(wǎng)絡(luò)帶寬，一般我們將擴(kuò)展ACL放在離源端比較近的地方。ACL配置規(guī)則1.ACL語(yǔ)句執(zhí)行順序2.隱含的拒絕所有的條目3.ACL可應(yīng)用于IP接口或某種服務(wù)4.ACL配置順序5.ACL的應(yīng)用6.ACL的方向反掩碼（通配符的作用）0代表對(duì)應(yīng)位必須與前面的地址相應(yīng)位一致1代表對(duì)應(yīng)位可以是任意值donotcheckaddress

(ignorebitsinoctet)=001111111286432168421=00000000=00001111=11111100=11111111ignorelast6addressbitscheckalladdressbits(matchall)ignorelast4addressbitschecklast2addressbitsExamples匹配特定主機(jī)地址9

(匹配所有32位)Wildcardmask:匹配條件:匹配所有32位地址----主機(jī)地址匹配任意地址55意為接受所有地址可簡(jiǎn)寫(xiě)為any

55(忽略所有位的比較)AnyIPaddress通配符:匹配條件:匹配任意地址（任意地址都被認(rèn)為符合條件）匹配特定子網(wǎng)指定特定地址范圍172.30.16.0/24到

172.30.31.0/24172.30.16.0

00010000通配符: 00001111 |<-------

匹配

------->|<-----忽略----->|

00010000 = 16

00010001 = 17

00010010 = 18 : :

00011111 = 31地址與通配符如下55ACL的配置規(guī)則總結(jié)思考：我們應(yīng)該按照怎樣一個(gè)順序配置ACL按照由上到下的順序執(zhí)行，找到第一個(gè)匹配后既執(zhí)行相應(yīng)的操作（然后跳出ACL）每條ACL的末尾隱含一條denyany的規(guī)則ACL可應(yīng)用于某個(gè)具體的IP接口的出方向或入方向ACL可應(yīng)用于系統(tǒng)的某種特定的服務(wù)（如針對(duì)設(shè)備的TELNET）在引用ACL之前，要首先創(chuàng)建好ACL對(duì)于一個(gè)協(xié)議，一個(gè)接口的一個(gè)方向上同一時(shí)間內(nèi)只能設(shè)置一個(gè)ACL下課，謝謝！授課教師：肖

楊吉林交通職業(yè)技術(shù)學(xué)院CLASSOVER,THANKYOU!項(xiàng)目9利用訪問(wèn)控制列表管理網(wǎng)絡(luò)的數(shù)據(jù)流授課教師：肖

楊吉林交通職業(yè)技術(shù)學(xué)院學(xué)習(xí)任務(wù)9.2掌握ACL的配置9.2.1標(biāo)準(zhǔn)ACL的配置ACL的訪問(wèn)表號(hào)每個(gè)ACL都有一個(gè)用以識(shí)別的訪問(wèn)表號(hào)，它是一個(gè)數(shù)字，不同類型ACL的訪問(wèn)表號(hào)范圍如下： 基本ACL：1~99 擴(kuò)展ACL：100~199 二層ACL：200~299 混合ACL：300~349每個(gè)ACL中的規(guī)則最多為100條，規(guī)則號(hào)范圍1~100。ACL配置原則ACL語(yǔ)句的順序很關(guān)鍵

ACL按照由上到下的順序執(zhí)行，找到一個(gè)匹配語(yǔ)句后既執(zhí)行相應(yīng)的操作，然后跳出ACL而不會(huì)繼續(xù)匹配下面的語(yǔ)句。所以配置ACL語(yǔ)句的順序非常關(guān)鍵！

自上到下的處理順序具體的判別條目應(yīng)放置在前面標(biāo)準(zhǔn)ACL可以自動(dòng)排序：主機(jī)網(wǎng)段any隱含的拒絕所有的條目除非最后有明確的允許語(yǔ)句，否則最終拒絕所有流量，所以ACL中必須有允許條目存在，否則一切流量被拒絕ACL配置（標(biāo)準(zhǔn)ACL）（1）應(yīng)用到接口的標(biāo)準(zhǔn)ACLRouter(config)#ipaccess-liststandard

1Router(config-std-nacl)#permit

55Router(config)#interfaceF_1/1Router(config-if)#ipaccess-group

1

out

ACL配置（標(biāo)準(zhǔn)ACL）（2）應(yīng)用到服務(wù)上的ACLRouter(config)#ipaccess-liststandard12Router(config-std-nacl)#permit55Router(config)#linevty04Router(config-line)#access-class12in

9.2.2擴(kuò)展ACL的配置ACL配置步驟（擴(kuò)展ACL）擴(kuò)展ACL配置命令如下：Router(config)#ipaccess-liststandard

101Router(config-ext-nacl)#

deny

tcp

5555

Eq

ftp

Router(config-ext-nacl)#permit

ip

anyany

Router(config)#interface

fei_2/1Router(config-if)#ipaccess-group

101

outACL維護(hù)與診斷在特權(quán)模式下使用命令showipaccess-list可顯示IPACL的具體內(nèi)容。

Router#showipaccess-list

1查看ACL的內(nèi)容查看某物理端口是否應(yīng)用了ACL

：命令格式：showinterface<port-name>命令模式：特權(quán)模式命令功能：顯示以太網(wǎng)端口配置信息顯示所有或指定表號(hào)的ACL的內(nèi)容：命令格式：showipaccess-lists[<

access-lists-number>|<name>]命令模式：特權(quán)模式命令功能：顯示所有或指定表號(hào)的ACL的內(nèi)容下課，謝謝！授課教師：肖

楊吉林交通職業(yè)技術(shù)學(xué)院CLASSOVER,THANKYOU!項(xiàng)目9利用訪問(wèn)控制列表管理網(wǎng)絡(luò)的數(shù)據(jù)流授課教師：肖

楊吉林交通職業(yè)技術(shù)學(xué)院實(shí)戰(zhàn)任務(wù)9.3利用ACL管理網(wǎng)絡(luò)的數(shù)據(jù)流9.3.1實(shí)施條件項(xiàng)目背景你是一個(gè)公司的網(wǎng)絡(luò)管理員，公司的經(jīng)理部、財(cái)務(wù)部門(mén)和銷售部門(mén)分屬不同的3個(gè)網(wǎng)段，三部門(mén)之間用路由器進(jìn)行信息傳遞，為了安全起見(jiàn)，公司領(lǐng)導(dǎo)要求銷售部門(mén)不能對(duì)財(cái)務(wù)部門(mén)進(jìn)行訪問(wèn)，但經(jīng)理部可以對(duì)財(cái)務(wù)部門(mén)進(jìn)行訪問(wèn)。

實(shí)施條件標(biāo)準(zhǔn)IP訪問(wèn)列表可以根據(jù)數(shù)據(jù)包的源IP地址定義規(guī)則，進(jìn)行數(shù)據(jù)包的過(guò)濾。根據(jù)實(shí)驗(yàn)室的實(shí)際情況項(xiàng)目可使用實(shí)體設(shè)備或PacketTracer模擬器完成。本項(xiàng)目使用PacketTracer模擬器完成。設(shè)計(jì)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如圖所示。其中PC1代表經(jīng)理部的主機(jī)，PC2代表銷售部門(mén)的主機(jī)、PC3代表財(cái)務(wù)部門(mén)的主機(jī)。

9.3.2數(shù)據(jù)規(guī)劃IP地址規(guī)劃表數(shù)據(jù)規(guī)劃物理鏈路規(guī)劃表數(shù)據(jù)規(guī)劃9.3.3實(shí)施步驟實(shí)施步驟1.連接網(wǎng)絡(luò)項(xiàng)目實(shí)施主要步驟1.路由器基本配置R1、R2基本配置、IP接口地址配置等（略）2.路由表配置配置靜態(tài)路由R1(config)#iproute

serial

0/3/0R2(config)#iproute

serial

0/3/0R2(config)#iproute

serial

0/3/03.配置標(biāo)準(zhǔn)IP訪問(wèn)控制列表R2(config)#ipaccess-liststandard

1R2(config-std-nacl)#permit

55//允許來(lái)自網(wǎng)段的流量通過(guò)R2(config-std-nacl)#deny

55//拒絕來(lái)自網(wǎng)段的流量通過(guò)4.把訪問(wèn)控制列表在出口應(yīng)用R2(config)#interfacefastEthernet

1/0R2(config-if)#ipaccess-group

1

out

//在接口下訪問(wèn)控制列表出棧流量調(diào)用項(xiàng)目實(shí)施主要步驟5.查看路由器的狀態(tài)信息（1）顯示路由器系統(tǒng)及版本信息R2#showversion（2）顯示當(dāng)前運(yùn)行的配置參數(shù)R2#showrunning-config（3）顯示路由器路由表R2#showiproute（4）顯示訪控列表具體表項(xiàng)R2#showaccess-lists1項(xiàng)目實(shí)施主要步驟項(xiàng)目實(shí)施過(guò)程6.保存路由器的狀態(tài)配置文件R2#

write

R2#copyrunning-configstartup-config9.3.4項(xiàng)目測(cè)試項(xiàng)目測(cè)試1.設(shè)置PC1、PC2、PC3的IP地址(具體配置過(guò)程略)2.網(wǎng)絡(luò)通信測(cè)試（1）顯示訪控列表具體表項(xiàng)R2#showipaccess-lists1StandardIPaccesslist1permit55(10match(es))deny55(22match(es))項(xiàng)目測(cè)試（2）測(cè)試PC1與PC3的網(wǎng)絡(luò)通信狀態(tài)（3）測(cè)試P2與PC3的網(wǎng)絡(luò)通信狀態(tài)（略）思政小