访问控制列表工作原理及基本配置

1、访问控制列表工作原理及基本配置 目 标学习完此课程，您将会：理解访问控制列表的基本原理掌握标准和扩展访问控制列表的配置方法掌握在交换机上配置基于二层的访问控制列表的方法Page 2IP包过滤技术介绍如何在保证合法访问的同时，对非法访问进行控制？对路由器/交换机需要转发的数据包，先获取包头信息，然后和设定的规则进行比较，根据比较的结果对数据包进行转发或者丢弃。而实现包过滤的核心技术是访问控制列表。Internet公司总部内部网络未授权用户办事处Page 3访问控制列表的作用访问控制列表可以用于防火墙；访问控制列表可以用于Qos（Quality of Service），对数据流量进行控制；在DCC

2、中，访问控制列表还可用来规定触发拨号的条件；访问控制列表还可以用于地址转换；在配置路由策略时，可以利用访问控制列表来作路由信息的过滤；在配置策略路由时，可以利用访问控制列表来过滤特定的报文做特殊处理。Page 4访问控制列表是什么？一个IP数据包如下图所示（图中IP所承载的上层协议为TCP/UDP）：IP包头TCP/UDP报头数据协议号源地址目的地址源端口目的端口对于TCP/UDP应用来说，这5个元素组成了一个TCP/UDP相关，访问控制列表就是利用这些元素定义相应的规则Page 5访问控制列表是什么？一个以太网帧如下图所示：IP包头TCP/UDP报头数据协议号源地址目的地址源端口目的端口对于

3、以太网帧来说，帧头的相关字段可以用来定义规则；甚至可以将二、三、四层各字段同时用于规则定义。以太网帧头可以是TCP/UDP/ICMP/ OSPF。源MAC目的MAC帧头字段Page 6神州数码产品对ACL的定义标准access-list可以有如下分类：根据过滤信息：ip access-list（三层及以上信息），mac access-list（二层信息），mac-ip access-list（二层及以上信息）。根据配置的复杂程度：标准（standard）和扩展（extended）；扩展方式可以指定更加细致的过滤信息。根据命名方式：数字（numbered）和命名（named）。对一条ACL的说明

4、应当从这三个方面加以描述。Page 7如何标识访问控制列表？利用数字标识访问控制列表利用数字范围标识访问控制列表的种类（神州数码交换机产品）列表的种类数字标识的范围标准IP访问列表199 扩展IP访问列表100199标准MAC访问列表700799扩展MAC访问列表1100 1199扩展MAC-IP访问列表31003199Page 8标准IP访问控制列表标准IP访问控制列表只使用源IP地址描述数据，表明是允许还是拒绝。从/24来的数据包可以通过！从/24来的数据包不能通过！路由器Page 9标准IP访问控制列表的配置命令格式如下：Switch(config)# access-list deny

5、| permit | any-source |host-source 此命令创建一条数字标准IP 访问列表，如果已有此访问列表，则增加一条rule 表项怎样利用 IP 地址 和 反掩码sMask 来表示一个网段?Page 10如何使用反掩码反掩码和子网掩码相似，但写法不同：0表示需要比较1表示忽略比较反掩码和IP地址结合使用，可以描述一个地址范围。000255只比较前24位003255只比较前22位0255255255只比较前8位Page 11扩展IP访问控制列表扩展IP访问控制列表使用除源IP地址外更多的信息描述数据包，表明是允许还是拒绝。从/24来的,到0的，使用TCP协议，利用HTTP访

6、问的数据包可以通过！路由器Page 12高级IP访问控制列表的配置命令（一）配置基于TCP协议的高级IP访问列表：Switch(config)# access-list deny | permit tcp | any-source |host-source sPort | any-destination |host-destination dPort ack+ fin+ psh+ rst+ urg+ syn precedence tos time-range配置基于UDP协议的高级IP访问列表：Switch(config)# access-list deny | permit udp | an

7、y-source |host-source sPort | any-destination |host-destination dPort precedence tostime-rangePage 13高级IP访问控制列表的配置命令（二）配置基于ICMP协议的高级IP访问列表：Switch(config)# access-list deny | permit icmp | any-source |host-source | any-destination |host-destination precedence tos time-range配置基于其它协议的高级IP访问列表：Switch(co

8、nfig)# access-list deny | permit eigrp | gre | igrp | ipinip | ip | | any-source | host-source | any-destination | host-destination precedence tos time-rangePage 14高级IP访问控制列表举例/16ICMP主机重定向报文access-list 110 deny icmp 55 any-destination icmp-type host-redirectaccess-list 120 deny tcp 55 55 dport 80/16

9、TCP报文/24WWW 端口问题: 下面这条规则表示什么意思?deny udp 55 55 dport 128Page 15如何使用访问控制列表防火墙配置常见步骤：启用防火墙定义访问控制列表将访问控制列表应用到接口上Internet公司总部网络启用防火墙将访问控制列表应用到接口上Page 16防火墙的属性配置命令打开或者关闭防火墙Switch(config)# firewall enable | disable 设置防火墙的缺省过滤模式Switch(config)# firewall default permit | deny 显示配置的访问控制列表Switch# show access-li

10、sts |显示包过滤功能配置信息Switch# show firewall显示端口上ACL 绑定情况Switch# show access-group interface Ethernet Page 17在物理端口上应用访问控制列表将访问控制列表应用到物理端口上指明是OUT还是IN方向在物理端口配置模式下：ip|mac|mac-ip access-group |in|outEthernet0/0/1访问控制列表2001作用在Ethernet0/0/1接口，在out方向有效访问控制列表3001作用在Ethernet0/0/2接口，在in方向上有效Ethernet0/0/2Page 18基于时间段

11、的包过滤“特殊时间段内应用特殊的规则”Internet上班时间（上午8：00 下午5：00）只能访问特定的站点；其余时间可以访问其他站点Page 19时间段的配置命令创建一个名为time_range_name 的时间范围名，并同时进入时间范围模式Switch(config)# time-range 定义一周内的各种不同要求的时间范围，每周都循环这个时间Switch (Config-Time-Range) # absolute-periodic Monday | Tuesday | Wednesday |Thursday |Friday |Saturday |Sunday to Monday| Tuesday |Wednesday |Thursday |Friday |Saturday |Sunday 定义一个绝对时间段，这个时间