hcne网校修改版2.0访问控制列表

1、访问控制列表中国IT认证实验室为什么要进行访问控制拒绝某些不希望的访问合法不合法使用场景InternetInternet内部网Oicq服务器 LANWww服务器Access Server使用场景访问控制列表如何工作IP数据包中的信息访问控制列表种类利用数字范围标识标准访问控制列表标准访问控制列表只使用源地址描述数据源 ip地址标准访问控制列表配置命令Access-list list-number permit|deny ip-address wildcard-mask配置通配符与子网掩码相似，但写法不同0表示需要比较1表示忽略比较结合IP地址结合使用，描述一个地址范围如何使用通配符比较位通配符

2、比较规定：在通配位中相应位为1的地址位在比较中被忽略如：55只比较前8位则比较所有的32位55则不比较任何一位又如：IP地址是，通配符是55，则表示网段内的主机被允许或拒绝扩展访问控制列表使用除源地址外更多的信息描述数据包源地址目标地址目标端口号协议号扩展访问列表不同协议的配置TCP/UDPAccess-list list-number permit|deny tcp|udp source-addr source-mask dest-addr dest-mask port-number logICMPAccess-list list-number permit|deny icmp source

3、-addr source-mask dest-addr dest-mask icmp-type icmp-code其它协议ACL操作符的含义多条规则的组合一条访问控制列表可以由多条规则组成多条规则可以使用相同的序号对冲突规则的判断的依据是“深度优先”，就是描述地址范围越小的，将优先考虑如：Access 1 deny 55 access 1 permit 55 则表示不允许网络里的主机访问，但是允许其中网络里的主机访问如何使访问列表生效将访问控制列表应用到接口上指明在接口的in方向或out方向生效启动防火墙：Firewall enable|disa

4、bleFirewall defaultpermit|deny实验先在路由器的串口上做，不要管主机一组用S0，另一组用S1配ACL让对方Ping不通你，可以TelnetPing的通你，不可以Telnet时间段包过滤特殊时间段内应用特殊的规则Timerange enable|disableSettr begin-time end-timebegin-time end-time地址转换NATNetwork address translation地址转换的目的公共IP地址私有IP地址典型场景Internet351/246/24/24典型场景Internet351/246/24/24LAN/24转换过程 源主机 路由器 源主机IP地址 路由器IP地址目标主机IP地址 目标主机IP地址源端口号 路由器的源端口号目标端口号 目标端口号路由器：地址对应，端口号对应典型场景3/24/2451源IP 目标IP 51源端口号6084目标端口号80源IP 3目标IP 51源端口号32813目标端口号80Internet配置配置访问控制列表Access-list作用在接口上的ACL可以进行NATNat inside access-list-number interface增加一个内部服