使用访问列表管理IP流量.ppt

2004,Enhaninfo,Inc.Allrightsreserved.,使用AccessLists管理IP流量,目标,通过本章学习，你能够完成以下工作:运用CiscoIOS命令来配置标准访问控制列表和扩展的访问控制列表运用show的相关命令来校验访问控制列表的配置,2002,CiscoSystems,Inc.Allrightsreserved.,4,访问控制列表的应用,目标,通过本章学习，你能够完成以下内容:解释使用访问控制列表的目的及访问控制列表潜在的相关应用描述如何通过使用CiscoIOS命令将标准的访问控制列表和扩展的访问控制列表应用到接口的进方向和出方向,管理IP流量及接入网络的增长对经过路由器的特定数据包进行过滤,为什么要使用访问控制列表?,允许或拒绝数据包通过路由器.允许或拒绝vty接入到路由器如果没有使用访问控制列表，数据包在特定的网络上传输将不受限制,访问控制列表应用,通过对数据包的检查来做特殊的处理,其他访问控制列表应用,标准的访问控制列表检查源地址标准的访问控制列表允许或拒绝的是整个协议扩展的访问控制列表检查源和目的地址扩展的访问控制列表允许或拒绝特定的协议,访问控制列表类型,用标准的访问控制列表来检查数据包,用扩展的访问控制列表来检查数据包,如何识别访问控制列表,标准的访问控制列表(1-99)testconditionsofallIPpacketsfromsourceaddresses.扩展的访问控制列表(100-199)testconditionsofsourceanddestinationaddresses,specificTCP/IPprotocols,anddestinationports.StandardIPlists(1300-1999)(expandedrange).ExtendedIPlists(2000-2699)(expandedrange).Otheraccesslistnumberrangestestconditionsforothernetworkingprotocols.,出接口ACL操作,Ifnoaccessliststatementmatches,thendiscardthepacket.,列表测试:拒绝或允许,0代表检查相应的地址位1代表忽略相应的地址位.,匹配码:如何检查相应的地址位,例如,检查所有的地址位.通过使用host关键字来缩写匹配位(host9).,检查所有的地址位(匹配所有).,检验一个IP地址,例如:,通配码匹配特定的IP地址,接受任何地址:any缩写以上表达使用关键字any.,测试条件:忽略任何的IP地址(匹配任何).,一个IP主机地址,例如:,通配码匹配任何IP地址,检查IP子网/24to/24.,地址和通配码:55,通配码匹配IP子网,访问控制列表配置,Router(config)#access-listaccess-list-numberpermit|deny|remarksourcemask,配置标准访问控制列表,Router(config)#access-listaccess-list-numberpermit|denyprotocolsourcesource-wildcardoperatorportdestinationdestination-wildcardoperatorportestablishedlog,配置扩展访问控制列表,Router(config)#ipaccess-liststandard|extendednameRouter(configstd-|ext-nacl)#permit|denyipaccesslisttestconditionsRouter(configstd-|ext-nacl)#nopermit|denyipaccesslisttestconditions,配置命名访问控制列表,Router(config-if)#ipaccess-groupaccess-list-number|namein|out,应用访问控制列表,ACL配置实例,Router(config)#access-list1deny55logRouter(config)#access-list1deny55logRouter(config)#access-list1deny55logRouter(config)#access-list1permitanyRouter(config)#interfacee0Router(config-if)#ipaccess-group1in,Router(config)#access-list100denyip55anylog-inputRouter(config)#access-list100denyip55anylog-inputRouter(config)#access-list100denyip55anylog-inputRouter(config)#access-list100permitipanyanyRouter(config)#interfacee0Router(config-if)#ipaccess-group100in,ACL配置实例,Router(config)#ipaccess-listextendedDENY_RFC1918Router(config-ext-nacl)#denyip55anylog-inputRouter(config-ext-nacl)#denyip55anylog-inputRouter(config-ext-nacl)#denyip55anylog-inputRouter(config-ext-nacl)#permitipanyanyRouter(config)#interfacee0Router(config-if)#ipaccess-groupDENY_RFC1918in,Router(config)#ipaccess-liststandardDENY_RFC1918Router(config-std-nacl)#deny55logRouter(config-std-nacl)#deny55logRouter(config-std-nacl)#deny55logRouter(config-std-nacl)#permitanyRouter(config)#interfacee0Router(config-if)#ipaccess-groupDENY_RFC1918in,配置基于时间的访问控制列表,Router(config)#time-rangetime-range-name,定义时间段,Router(config-time-range)#absolutestarttimedateendtimedate,定义绝对时间段,Router(config-time-range)#periodicdays-of-the-weekhh:mmtodays-of-the-weekhh:mm,定义时间段周期,Periodic可以有多个语句，absolute只能有一条,基于时间访问控制列表配置实例,Router(config)#time-rangeno-httpRouter(config-time-range)#periodicweekdays8:00to17:59Router(config)#time-rangeudp-yesRouter(config-time-range)#periodicweekend12:00to19:59Router(config)#ipaccess-listextendedstrictRouter(config-ext-nacl)#denytcpanyanyeqhttptime-rangeno-httpRouter(config-ext-nacl)#permitudpanyanytime-rangeudp-yesRouter(config)#interfaceethernet0Router(config-if)#ipaccess-groupstrictin,总结,访问控制列表为网络控制提供了一个强有力的工具.访问控制列表可以灵活的应用于路由器的进接口或出接口.可以对网络的流量和用户的接入进行管理.一个IP访问控制列表是有序的列表,它能根据IP地址或上层协议做出允许或拒绝,控制列表可以过滤通过本路由器的流量,但是不能过滤自身产生的流量.访问控制