详解cisco访问控制列表ACL

详解详解 cisco 访问控制列表访问控制列表 ACL 发布时间 2009 7 16 阅读 376 详解详解 cisco 访问控制列表访问控制列表 ACL 作者 发布时间 2008 12 03 14 23 45 来源 一 访问控制列表概述一 访问控制列表概述 访问控制列表 ACL 是应用在路由器接口的指令列表 这些指令列表用来告诉路由器哪些数据包 可以通过 哪些数据包需要拒绝 工作原理 它读取第三及第四层包头中的信息 如源地址 目的地址 源端口 目的端口等 根据 预先设定好的规则对包进行过滤 从而达到访问控制的目的 实际应用 阻止某个网段访问服务器 阻止 A 网段访问 B 网段 但 B 网段可以访问 A 网段 禁止某些端口进入网络 可达到安全性 二 标准二 标准 ACL 标准访问控制列表只检查被路由器路由的数据包的源地址 若使用标准访问控制列表禁用某网段 则该网段下所有主机以及所有协议都被禁止 如禁止了 A 网段 则 A 网段下所有的主机都不能访问服务 器 而 B 网段下的主机却可以 用 1 99 之间数字作为表号 一般用于局域网 所以最好把标准 ACL 应用在离目的地址最近的地方 标准 ACL 的配置 router config access list 表号 deny 禁止 网段 IP 地址 反掩码 禁止某各网段或某个 IP router config access list 表号 permit 允许 any 注 默认情况下所有的网络被设置为禁止 所以应该放行其他的网段 router config interface 接口 进入想要应用此 ACL 的接口 因为访问控制列 表只能应用在接口模式下 router config if ip access group 表号 out in 设置在此接口下为 OUT 或为 IN 其中 router config access list 10 deny 192 168 0 1 0 0 0 0 router config access list 10 deny host 192 168 0 1 router config access list 10 deny 0 0 0 0 255 255 255 255 router config access list 10 deny any router show access lists 查看访问控制列表 标准访问控制列表的工作原理 每当数据进入路由器的每口接口下 都会进行以下进程 注 当配置访问控制列表时 顺序很重要 要确保按照从具体到普遍的次序来排列条目 如 想要拒绝一个具体的主机地址并且允许其他主机 那么要确保有关这个具体主机的条目最新出现 三 扩展三 扩展 ACL 扩展访问控制列表对数据包源地址 目的地址 源端口 目的端口都进行检查 若使用扩展访问控 制列表禁止某网段访问别的网段 则 A 网段下所有主机不能访问 B 网段 而 B 网段下的主机可以访问 A 网段 用 100 199 之间数字作为表号 一般用于外网 所以最好把扩展 ACL 应用在离源地址最近的地方 配置扩展访问控制列表 router config access list 表号 deny 禁止 协议 源 IP 地址 网段 反掩码 目的 IP 地址 网段 反掩码 eq 端口 禁止 A 网段 源网段 下的某协议 或某端口 访问 B 网段 目的网段 router config access list 表号 permit ip any any 注 扩展 ACL 默认情况下所有的网络也被设置为禁止 所以应该放行其他的网段 router config interface 接口 进入想要应用此 ACL 的接口 router config if ip access group 表号 out in 激活该接