TCPIP路由交換技術（第二版）課件 項目9.1 了解訪問控制列表的應用規(guī)則

項目9利用訪問控制列表管理網(wǎng)絡的數(shù)據(jù)流授課教師：肖

楊吉林交通職業(yè)技術學院學習目標

了解ACL的概念及其作用掌握ACL分類、特點和應用要求學會標準ACL和擴展ACL的配置思維導圖

了解訪問控制列表的應用規(guī)則0

1掌握ACL的配置02利用ACL管理網(wǎng)絡的數(shù)據(jù)流03CONTENTS目錄學習任務9.1了解訪問控制列表的應用規(guī)則9.1.1訪問控制列表（ACL）概述ACL的定義172.16.0.0172.17.0.0InternetACL（訪問控制列表）定義：當網(wǎng)絡流量不斷增長的時候，對數(shù)據(jù)流進行管理和限制的方法作為通用判別標準應用到不同場合ACL的使用場合哪些場合需要使用ACL？允許或禁止對路由器或來自路由器的telnet訪問QOS與隊列技術策略路由數(shù)據(jù)速率限制路由策略端口流鏡像NAT……ACL的分類（1）

數(shù)據(jù)包出接口數(shù)據(jù)包入接口ACL處理過程允許?源地址、目的地址協(xié)議標準ACL僅以源IP地址作為過濾標準只能粗略的限制某一大類協(xié)議擴展ACL以源IP地址、目的IP地址、TCP/UDP源端口號、TCP/UDP目的端口號、ICMP類型、ICMPCode、DSCP（DiffServCodePoint）、ToS、Precedence作為過濾標準，可以精確的限制到某一種具體的協(xié)議ACL的分類（2）

數(shù)據(jù)包出接口數(shù)據(jù)包入接口ACL處理過程允許?源地址、目的地址協(xié)議二層ACL源MAC地址、目的MAC地址、源VLANID、二層以太網(wǎng)協(xié)議類型、802.1p優(yōu)先級值進行匹配?；旌螦CL對源MAC地址、目的MAC地址、源VLANID、源IP地址、目的IP地址、TCP源端口號、TCP目的端口號、UDP源端口號、UDP目的端口號進行匹配。

標準ACL和擴展ACL的對比標準ACL擴展ACL基于源地址過濾基于源、目的地址過濾允許/拒絕整個TCP/IP協(xié)議族指定特定的IP協(xié)議和協(xié)議號范圍從1到99范圍從100到1999.1.2

ACL規(guī)則ACL的工作流程ACL應用在出接口ACL的工作流程ACL應用在入接口ACL內部匹配規(guī)則ACL的判別標準9.1.3

ACL的應用ACL的應用對于標準ACL，由于它只能過濾源IP，為了不影響源主機的通信，一般我們將標準ACL放在離目的端比較近的地方；擴展ACL可以精確的定位某一類的數(shù)據(jù)流，為了不讓無用的流量占據(jù)網(wǎng)絡帶寬，一般我們將擴展ACL放在離源端比較近的地方。ACL配置規(guī)則1.ACL語句執(zhí)行順序2.隱含的拒絕所有的條目3.ACL可應用于IP接口或某種服務4.ACL配置順序5.ACL的應用6.ACL的方向反掩碼（通配符的作用）0代表對應位必須與前面的地址相應位一致1代表對應位可以是任意值donotcheckaddress

(ignorebitsinoctet)=001111111286432168421=00000000=00001111=11111100=11111111ignorelast6addressbitscheckalladdressbits(matchall)ignorelast4addressbitschecklast2addressbitsExamples匹配特定主機地址172.30.16.29

0.0.0.0(匹配所有32位)Wildcardmask:匹配條件:匹配所有32位地址----主機地址匹配任意地址0.0.0.0255.255.255.255意為接受所有地址可簡寫為any0.0.0.0 255.255.255.255(忽略所有位的比較)AnyIPaddress通配符:匹配條件:匹配任意地址（任意地址都被認為符合條件）匹配特定子網(wǎng)指定特定地址范圍172.30.16.0/24到

172.30.31.0/24172.30.16.0

00010000通配符: 00001111 |<-------

匹配

------->|<-----忽略----->|

00010000 = 16

00010001 = 17

00010010 = 18 : :

00011111 = 31地址與通配符如下172.30.16.00.0.15.255ACL的配置規(guī)則總結思考：我們應該按照怎樣一個順序配置ACL按照由上到下的順序執(zhí)行，找到第一個匹配后既執(zhí)行相應的操作（然后跳出ACL）每條ACL的末尾隱含一條denyany的規(guī)則ACL可應用于某個具體的IP接口的出方向或入方向ACL可