cisco路由器配置ACL详解

1、c i s c o 路 由 器 配 置 ACL 详 解如果有人说路由交换设备主要就是路由和交换的功能，仅仅在路由交换数 据包时应用的话他一定是个门外汉。如果仅仅为了交换数据包我们使用普通的 HUB就能胜任，如果只是使用路 由功能我们完全可以选择一台 WINDOWS务器来做远程路由访问配置。实际上路由器和交换机还有一个用途，那就是网络管理，学会通过硬件设 备来方便有效的管理网络是每个网络管理员必须掌握的技能。今天我们就为大 家简单介绍访问控制列表在 CISCC路由交换设备上的配置方法与命令。什么是 ACL？访问控制列表简称为ACL访问控制列表使用包过滤技术，在路由器上读 取第三层及第四层包头中的

2、信息如源地址，目的地址，源端口，目的端口等， 根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。该技术初期 仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机 也开始提供ACL的支持了。访问控制列表使用原则由于ACL涉及的配置命令很灵活，功能也很强大，所以我们不能只通过一 个小小的例子就完全掌握全部ACM配置。在介绍例子前为大家将ACL设置原则 罗列出来，方便各位读者更好的消化 ACL知识。1、最小特权原则只给受控对象完成任务所必须的最小的权限。也就是说被控制的总规则是 各个规则的交集，只满足部分条件的是不容许通过规则的。2、最靠近受控对象原则所有的网络层访问权限控制

3、。也就是说在检查规则时是采用自上而下在 ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的 ACL语句。3、默认丢弃原则在CISCO路由交换设备中默认最后一句为 ACL中加入了 DENY ANY ANY也 就是丢弃所有不符合条件的数据包。这一点要特别注意，虽然我们可以修改这 个默认，但未改前一定要引起重视。由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第 四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。因此，要达到端到端的权限控制目 的，需要和系统级及应用级的访问权限控制结合使用。标准访问列表：访问

4、控制列表ACL分很多种，不同场合应用不同种类的 ACL其中最简单的 就是标准访问控制列表，标准访问控制列表是通过使用 IP包中的源IP地址进行 过滤，使用的访问控制列表号 1 到 99 来创建相应的 ACL标准访问控制列表的格式访问控制列表ACL分很多种，不同场合应用不同种类的 ACL其中最简单的 就是标准访问控制列表，他是通过使用 IP 包中的源 IP 地址进行过滤，使用的访 问控制列表号 1 到 99 来创建相应的 ACL。标准访问控制列表是最简单的 ACL。它的具体格式如下： access-list ACL 号 permit|deny host ip 地址标准访问控制列表实例一路由器配置

5、命令access-list 1 deny any 设置ACL阻止其他一切IP地址进行通讯传输。int e 1 进入 E1 端口。ip access-group 1 in 将 ACL 1 宣告。小提示：由于CISCO默认添加了 DENY AN的语句在每个ACL中，所以上面 的 access-list 1 deny any 这句命令可以省略。另外在路由器连接网络不多的 情况下也可以在E0端口使用ip access-group 1 out命令来宣告，宣告结果和上面最后两句命令效果一样。标准访问控制列表实例二路由器配置命令：access-list 1 permit any 设置ACL容许其他地址的计算

6、机进行通讯int e 1 进入 E1 端口ip access-group 1 in 将ACL1宣告，同理可以进入 E0端口后使用ip access-group 1 out 来完成宣告。总结：标准ACL占用路由器资源很少，是一种最基本最简单的访问控制列 表格式。应用比较广泛，经常在要求控制级别较低的情况下使用。如果要更加 复杂的控制数据包的传输就需要使用扩展访问控制列表了，他可以满足我们到 端口级的要求。扩展访问控制列表：上面我们提到的标准访问控制列表是基于 IP 地址进行过滤的，是最简单的 ACL那么如果我们希望将过滤细到端口怎么办呢？或者希望对数据包的目的地址进行过滤。这时候就需要使用扩展访

7、问控制列表了。使用扩展 IP 访问列表 可以有效的容许用户访问物理 LAN而并不容许他使用某个特定服务（例如WWW FTP等）。扩展访问控制列表使用的 ACL号为100到199。扩展访问控制列表的格式刚刚我们提到了标准访问控制列表，他是基于 IP 地址进行过滤的，是最简 单的ACL那么如果我们希望将过滤细到端口怎么办呢？或者希望对数据包的目的地址进行过滤。这时候就需要使用扩展访问控制列表了。使用扩展 IP 访问 列表可以有效的容许用户访问物理 LAN而并不容许他使用某个特定服务（例如 WWWFTP等）。扩展访问控制列表使用的 ACL号为100到199。扩展访问控制列表的格式：扩展访问控制列表是

8、一种高级的 ACL配置命令的具体格式如下：access-list ACL 号 permit|deny 协议 定义过滤源主机范围 ? 定义过滤源端口 定义过滤目的主机访问 定义过滤目的端口 小提示：同样在扩展访问控制列表中也可以定义过滤某个网段，当然和标 准访问控制列表一样需要我们使用反向掩码定义 IP 地址后的子网掩码。扩展访问控制列表实例路由器配置命令：int e 1 进入 E1 端口ip access-group 101 out?将 ACL101 宣告出去扩展ACL有一个最大的好处就是可以保护服务器，例如很多服务器为了更 好的提供服务都是暴露在公网上的，这时为了保证服务正常提供所有端口都对

9、外界开放，很容易招来黑客和病毒的攻击，通过扩展ACL可以将除了服务端口以外的其他端口都封锁掉，降低了被攻击的机率。如本例就是仅仅将 80 端口对 外界 开放。总结：扩展ACL功能很强大，他可以控制源IP，目的IP，源端口，目的端 口等，能实现相当精细的控制，扩展 ACL不仅读取IP包头的源地址/目的地 址，还要读取第四层包头中的源端口和目的端口的IP。不过他存在一个缺点，那就是在没有硬件ACL加速的情况下，扩展ACL会消耗大量的路由器CPU资 源。所以当使用中低档路由器时应尽量减少扩展ACL的条目数，将其简化为标准ACL或将多条扩展ACL合一是最有效的方法。基于名称的访问控制列表不管是标准访问

10、控制列表还是扩展访问控制列表都有一个弊端， 那就是当设 置好ACL的规则后发现其中的某条有问题，希望进行修改或删除的话只能将 全 部ACL信息都删除。也就是说修改一条或删除一条都会影响到整个 ACL列表。这 一个缺点影响了我们的工作， 为我们带来了繁重的负担。 不过我们可以用基于 名 称的访问控制列表来解决这个问题。一、基于名称的访问控制列表的格式：ip access-list standard|extended ACL名称 例如： ip access-list standard softer就建立了一个名为 softer 的标准访问控制列表。二、基于名称的访问控制列表的使用方法：当我们建立了

11、一个基于名称的访问列表后就可以进入到这个ACL中进行配置了。例如我们添加三条ACL规则permit permit permit 如果我们发现第二条命令应该是 总结：如果设置ACL的规则比较多的话，应该使用基于名称的访问控制列表 进行管理，这样可以减轻很多后期维护的工作，方便我们随时进行调整ACL规则。反向访问控制列表：我们使用访问控制列表除了合理管理网络访问以外还有一个更重要的方面， 那就是防范病毒， 我们可以将平时常见病毒传播使用的端口进行过滤， 将使用这 些端口的数据包丢弃。这样就可以有效的防范病毒的攻击。不过即使再科学的访问控制列表规则也可能会因为未知病毒的传播而无效， 毕竟未知病毒使用

12、的端口是我们无法估计的， 而且随着防范病毒数量的增多会造 成访问控制列表规则过多， 在一定程度上影响了网络访问的速度。 这时我们可以 使用反向控制列表来解决以上的问题。反向访问控制列表的用途及格式一、反向访问控制列表的用途反向访问控制列表属于ACL的一种高级应用。他可以有效的防范病毒。通过 配置反向ACL可以保证AB两个网段的计算机互相 PING A可以PING通B而B 不能PING通Ao说得通俗些的话就是传输数据可以分为两个过程， 首先是源主机向目的主机 发送连接请求和数据，然后是目的主机在双方建立好连接后发送数据给源主机。 反向ACL控制的就是上面提到的连接请求。二、反向访问控制列表的格式

13、反向访问控制列表格式非常简单，只要在配置好的扩展访问列表最后加上 established即可。我们还是通过实例为大家讲解。路由器配置命令：int e 1 进入 E1 端口ip access-group 101 out将 ACL101 宣告出去笔者所在公司就使用的这种反向 ACL的方式进行防病毒的，运行了一年多效 果很不错，也非常稳定。基于时间的访问控制列表：上面我们介绍了标准ACL与扩展ACL实际上我们数量掌握了这两种访问控 制列表就可以应付大部分过滤网络数据包的要求了。 不过实际工作中总会有人提 出这样或那样的苛刻要求，这时我们还需要掌握一些关于 ACL的高级技巧。基于 时间的访问控制列表就

14、属于高级技巧之一。配置实例：要想使基于时间的ACL生效需要我们配置两方面的命令：1、定义时间段及时间范围。2、ACL自身的配置，即将详细的规则添加到 ACL中。3、宣告ACL将设置好的ACL添加到相应的端口中。网络环境介绍：路由器配置命令：time-range softer 定义时间段名称为 softerperiodic weekend 00:00 to 23:59 定义具体时间范围，为每周周末（ 6， 日）的0点到23点59分。当然可以使用periodic weekdays定义工作日或跟星 期几定义具体的周几。access-list 101 permit ip any any设置ACL容许其他时间段和其他条件下的正常访问。int e 1 进入 E1 端口。ip access-group 101 out宣告 ACL101。访问控制列表流量记录网络管理员就是要能够合理的管理公司的网络， 俗话说知己知彼方能百战百 胜，所以有效的记录ACL