实验七指导路由器过滤过能配置

实验七指导路由器过滤过能配置第1页，课件共19页，创作于2023年2月实验要求：了解过滤访问列表掌握配置过滤功能的方法第2页，课件共19页，创作于2023年2月IP访问列表访问列表是一些语句的有序的集合，它根据网络中每个数据包所包含信息的内容，决定是否允许该信息包通过接口。第3页，课件共19页，创作于2023年2月IP访问列表创建访问列表是针对某个路由器接口的，访问列表中的语句将对通过接口的数据包产生作用。对于一个数据包来说，在访问列表对其进行处理时，访问列表中的语句按照由上而下的顺序依次对数据包进行处理，直到出现匹配的情况，决定是否让访问列表通过。第4页，课件共19页，创作于2023年2月IP访问列表路由器中的access-list（访问列表）最基本的有两种标准访问列表扩展访问列表

区别：前者是基于目标地址的数据包过滤，而后者是基于目标地址、源地址和网络协议极其端口的数据包过滤。第5页，课件共19页，创作于2023年2月IP访问列表access-list[listnumber][permit|deny][sourceaddress][wildcardmask]第6页，课件共19页，创作于2023年2月标准型访问列表listnumber的范围在0～99之间，表明该access-list语句是一个普通的标准型访问列表语句。在标准访问列表中，使用permit语句可以使得和访问列表项目匹配的数据包通过接口；而deny语句可以在接口过滤掉和访问列表项目匹配的数据包。sourceaddress代表主机的IP地址，利用不同掩码的组合可以指定主机。第7页，课件共19页，创作于2023年2月标准型访问列表Wildcardmask通配符掩码是子网掩码的反码第8页，课件共19页，创作于2023年2月IP标准访问列表的一般配置禁止网络Access-list14deny55Interfacefastethernet1/1Ipaccess-group14in第9页，课件共19页，创作于2023年2月IP标准访问列表的一般配置禁止访问access-list14denyhost[]Interf1/1Ipaccess-group14in第10页，课件共19页，创作于2023年2月IP标准访问列表的一般配置禁止上除主机访问Access-list14permithost[]Access-list14deny55Interf1/1Ipaccess-group14in第11页，课件共19页，创作于2023年2月IP标准访问列表的一般配置禁止来自网络的流量!!!Router#configureterminalRouter(config)#Router(config)#access-list2deny55Router(config)#access-list2permitanyRouter(config)#ints0/0Router(config-if)#ipaccess-group2outRouter(config-if)#第12页，课件共19页，创作于2023年2月IP标准访问列表的一般配置1Router#Router#configureterminalRouter(config)#Router(config)#access-list1denyhostRouter(config)#access-list1permitany上面配置的访问列表是拒绝特定主机，允许其它主机访问第13页，课件共19页，创作于2023年2月IP标准访问列表的一般配置2Router#Router#configureterminalRouter(config)#Router(config)#interfaceEthernet0/0Router(config-if)#Router(config-if)#ipaccess-group1in(输入)Router(config-if)#ipaccess-group1out(输出)第14页，课件共19页，创作于2023年2月访问列表的查看：Router#showipaccess-lists1StandardIPaccesslist1permitany(2matches)deny,wildcardbits55Router#shipaccess-listsStandardIPaccesslist1permitanyExtendedIPaccesslist101denyicmp5555echopermitipanyany第15页，课件共19页，创作于2023年2月删除访问列表noaccess-list[listnumber]删除同一访问列表的其中一条规则，将删除此列表所有内容。第16页，课件共19页，创作于2023年2月扩展访问列表扩展的IP访问表用于扩展报文过滤能力。一个扩展的IP访问表允许用户根据如下内容过滤报文:源和目的地址、协议、源和目的端口以及在特定报文字段中允许进行特殊位比较等等。一个扩展的IP访问表的一般语法格或如下所示:access-list[listnumber][permit/deny][protocol][sourceaddress][source-wildcard][sourceport][destinationaddress][destination-widcard][destinationport][option]第17页，课件共19页，创作于2023年2月扩展访问列表下面简要介绍各个关键字的功能:

1.list

number----表号范围

扩展IP访问表的表号标识从l00到199。

2.protocol-----协议

协议项定义了需要被过滤的协议，例如IP、TCP、UDP、ICMP等等。协议选项是很重要的，因为在TCP/IP协议栈中的各种协议之间有很密切的关系，如果管理员希望根据特殊协议进行报文过滤，就要指定该协议。第18页，课件共19页，创作于2023年2月扩展访问列表3.源端口号和目的端口号

源端口号可以用几种不同的方法来指定。它可以显式地指定，使用一个数字或者使用一个可识别的助记符。例如，我们可以使用80或者http来指定Web的超文本传输协议。目的端口号的指定方法与源端口号的指定方法相同。

下面的实例说明了扩展IP访问表中部分关键字使用方法:access-list101permittcpanyhosteqsmtpaccess-list1