第二十二章访问控制列表

01十一月2026网络设备配置与管理1第22章访问控制列表主讲：张平安教授01十一月2026网络设备配置与管理2学习目标知识目标掌握路由器的标准访问控制列表的基本原理掌握路由器的扩展访问控制列表的基本原理技能目标熟练掌握标准访问控制列表的配置方法与技巧熟练掌握扩展访问控制列表的配置方法与技巧素养目标培养初步的网络访问权限的设计能力培养自觉的信息安全意识路由器安全功能01十一月2026网络设备配置与管理3路由器主要功能是发现达到目标网络的路径又是硬件防火墙配置访问列表实现包过滤网络地址转换访问列表01十一月2026网络设备配置与管理4路由器配置访问列表可以控制网络流量，按规则过滤数据报文，提高网络的安全性。访问控制列表分类01十一月2026网络设备配置与管理5包过滤规则称为访问列表。对于IP，IPX或AppleTalk网络，其过滤规则有差异，IP网络的称为IP访问列表(AccessList)标准IP访问列表该种包过滤规则只对数据包中的源地址进行检查扩展IP访问列表该种包过滤规则对数据包中的源地址、目的地址、协议(如TCP，UDP，ICMP，Telnet，FTP等)或者端口号进行检查认识协议与端口号01十一月2026网络设备配置与管理6牢记ACL编号规则01十一月2026网络设备配置与管理7如何判断符合匹配规则01十一月2026网络设备配置与管理8标准和扩展的IPACL都允许用户指定一个特定的IP地址或者一个IP地址范围。如果数据包的地址属于所配置的地址范围之内，那么数据包就符合匹配规则ACL的通配符掩码定义了数据包地址中的哪部分需要匹配ACL中已列出的地址，以及哪些部分不需要匹配。特殊匹配地址01十一月2026网络设备配置与管理9访问列表表项匹配规则用同一标识号码定义一系列access-list语句从最先定义的条件开始依次检查，如数据包满足某个语句的条件，则执行该语句所定义的“允许”或者“拒绝”动作，并且列表中的后续语句就不再处理。如果数据包不满足规则中的所有条件，Cisco路由器默认禁止该数据包通过，即丢掉该数据包。路由器在访问列表最后默认一条禁止所有数据包通过的语句。语句之间的排列顺序很重要，因为第一次匹配后，剩下的语句就不再处理。01十一月2026网络设备配置与管理10思科两个重要的ACL设计建议如何排列ACL陈述的顺序将比较精确的陈述放在前面比较概括的陈述放在后面在网络中的什么位置放置ACL有关对于标准ACL，Cisco建议将ACL尽可能的靠近目的主机对于扩展ACL，应尽可能地靠近源主机01十一月2026网络设备配置与管理11常用命令01十一月2026网络设备配置与管理12关于入站与出站01十一月2026网络设备配置与管理13入站表示流量从外源进入接口。对于入站ACL，在IOS将分组转发到其他接口之前，ISO将分组和接口的ACL进行比较。出站表示在流量出接口之前。对于出站ACL，在接口上接收分组，然后将分组转发到出站接口，此时，IOS才将分组和ACL进行比较。01十一月2026网络设备配置与管理14标准访问控制列表学习情景01十一月2026网络设备配置与管理15扩展访问控制列表学习情境01十一月2026网络设备配置与管理16任务与设计详见标准访问控制列表网络系统参数设计扩展访问控制列表网络系统参数设计访问控制列表配置步骤确定访问控制列表号设计访问控制列表规则全局模式下配置访问控制列表接口模式下绑定访问控制列表01十一月2026网络设备配置与管理1701十一月2026网络设备配置与管理18访问控制列表任务实施相关准备工作配置交换机VLAN配置路由器的IP配置路由器的路由配置ACL验证拓展学习访问控制列表除了上述介绍的标准ACL和扩展ACL外，思科路由器产品还提供了命名ACL和基于时间的ACL，动态ACL和自反ACL。01十一月2026网络设备配置与管理1901十一月2026