项目11 访问控制列表

网络工程实践 项目11访问控制列表 ACL的作用 ACL AccessListACL可以限制网络流量 提高网络性能 例如 ACL可以根据数据包的协议 指定数据包的优先级 ACL提供对通信流量的控制手段 例如 ACL可以限定或简化路由更新信息的长度 从而限制通过路由器某一网段的通信流量 ACL是提供网络安全访问的基本手段 如图1所示 ACL允许主机A访问人力资源网络 而拒绝主机B访问 ACL可以在路由器端口处决定哪种类型的通信流量被转发或被阻塞 例如 用户可以允许E mail通信流量被路由 拒绝所有的Telnet通信流量 标准访问控制列表命令 access listlistnumber permit deny source addr source mask listnumber是1 99之间 表示是标准访问列表规则 permit表明允许满足条件的报文通过 deny表明禁止满足条件的报文通过 RouterC config access list1permit10 65 1 10 0 0 0 ACL中的反掩码 ACL访问控制列表的掩码 是反向子网掩码 在IP地址配置时是忽略主机位 现在是忽略网络位ACL中 反掩码的0表示要匹配的位 1是不必匹配的位正式的名字是通配符掩码access list1permit10 65 1 00 0 0 255此条 将允许来自10 65 1 x的数据包通过 扩展访问列表命令 access listlistnumber2 permit deny protocolsource addrsource mask operatorport1 port2 dest addrdest mask operatorport1 port2 icmp type icmp code log Listnumber2100 199protocol为协议类型 支持ICMP TCP UDP等 其它的协议也支持 此时没有端口比较的概念 为IP时有特殊含义 代表所有的IP协议 operator 可选 端口操作符 在协议类型为TCP或UDP时支持端口比较 支持的比较操作有 等于 eq 大于 gt 小于 lt 不等于 neq 或介于 range 如果操作符为range 则后面需要跟两个端口 port2在协议类型为TCP或UDP且操作类型为range时出现 可以为关键字所设定的预设值 如telnet 或0 65535之间的一个数值 icmp type 可选 在协议为ICMP时出现 代表ICMP报文类型 可以是关键字所设定的预设值 如echo reply 或者是0 255之间的一个数值 icmp code在协议为ICMP且没有选择所设定的预设值时出现 代表ICMP码 是0 255之间的一个数值 log 可选 表示如果报文符合条件 需要做日志RouterC config access list101denyicmp10 65 1 10 0 0 010 70 1 10 0 0 0echo ACL的配置分为两个步骤 第一步 在全局配置模式下 使用下列命令创建ACL Router config access listlistnumber permit deny test conditions 第二步 在接口配置模式下 使用access group命令ACL应用到某一接口上 Router config if protocol access group