利用标准ACL控制网络访问

1、在一般的网络管理中，我们都希望允许访问某些连接，而禁止访问其他连接。然而，许多安全工具缺乏过滤基本通信流量的灵活性和网络管理所需的特定控制手段。第3层交换机功能强大，有许多方法来管理网络。它有内置的访问控制列表，所以我们可以使用访问控制列表来控制互联网流量。以下是使用联想的三层交换机3508gf实现访问控制列表功能的过程。使用标准的acl来控制网络访问当我们想要阻止来自某个网络的所有流量，允许来自某个网络的所有流量，或者拒绝来自某个协议组的所有流量时，我们可以使用标准的访问控制列表来实现这个目标。标准访问控制列表检查数据包的源地址，允许或拒绝基于网络、子网或主机的ip地址的所有流量通过交换机的

2、出口。标准的acl配置语句是：切换#访问列表访问列表编号(1 99)允许|拒绝 anya |源源-通配符-掩码 任意|目标目标-掩码示例1:允许网络上的主机访问：开关#接入-列表1许可 55示例2:禁止网络上的主机访问：交换机#访问列表2拒绝 55示例3:允许所有ip访问：开关#访问列表1允许0 . 0 . 0 . 0 255 . 255 . 255 . 255 . 255示例4:禁止3主机的通信：交换机#访问列表3拒绝3 0.0.0.

3、0上述55和55是32位通配符掩码，0表示“检查对应位”，1表示“不检查对应位”。如果表示，通配符掩码应为55。使用扩展acl控制网络访问扩展访问控制列表不仅检查数据包的源地址和目的地址，还检查数据包的特定协议类型和端口号。扩展后访问控制列表更加灵活和可扩展，即使用某种协议的流量可以被允许通过同一地址，而使用其他协议的流量可以被拒绝通过，acl的测试条件可以灵活设计。扩展acl的完整命令格式如下：交换机#访问列表访问列表编号(100 199)允许|拒绝协议任何|源源掩码 任何|目的地目的地掩码端口号示例1:拒绝连接到交换机的

4、子网192 . 168 . 3 . 0 ping另一个子网:交换机#访问列表100拒绝icmp 192 . 168 . 3 . 0 0 . 0 . 0 . 255 192 . 168 . 4 . 0 0 . 0 . 0 . 255示例2:阻止子网访问互联网(www服务)并允许其他子网访问它：交换机#访问列表101拒绝tcp 55任何www或者写为：交换机#访问列表101拒绝tcp 55任何80示例3:允许从通过交换机发送电子邮件，同时拒绝所有其他通信来源

5、：交换机#访问列表101允许tcp 55任何smtp基于端口和vlan的访问控制标准访问控制列表和扩展访问控制列表的访问控制规则基于交换机。如果只控制交换机的一个端口，该端口可以添加到上述规则中。配置语句是：交换机#访问列表端口示例：拒绝来自交换机端口4上的网段的信息。配置如下：交换机#访问列表1拒绝 55交换机-列表端口4 1 /将端口4添加到规则1。基于vlan的访问控制列表基于vlan设置简单的访问规则，还设置流量控制以允许或拒绝交换机转发一个vlan的数据包。配置声明：交换机#访问列表vla

6、n拒绝|允许示例：拒绝转发vlan2中的数据：交换机#访问列表vlan2拒绝此外，我们还可以通过显示命令来检查已建立的访问控制列表，即开关#显示访问列表例如：交换机#显示访问列表/显示访问列表；acl状态：启用/acl状态允许；标准ip访问列表： /ip访问列表；组id 1拒绝src ip 的任何活动/禁止的网络访问；组标识2允许任何活动/允许其他网络访问。要取消已建立的访问控制列表，请使用以下命令格式：开关#无访问列表访问列表编号示例：取消对列表1的访问：开关#无访问列表1基于上述acl设置方法，实现了网络安全的通用控制方法，使三层交换机作为网络通

7、信出入口的重要控制点发挥了应有的作用。然而，acl访问控制列表的正确配置将在一定程度上起到防火墙的作用，特别是对于内部网络的攻击防范，这是外部专用防火墙无法实现的，并且可以大大提高局域网的安全性能。初学者入门acl是应用于交换机接口的指令列表，用于告诉交换机可以接收哪些数据包以及应该拒绝哪些数据包。接收或拒绝条件可以通过指示诸如源地址、目的地址和端口号的条件来确定。它主要有三个功能：限制网络流量，提高网络性能。例如，acl可以根据数据包的协议指定此类数据包的优先级，在相同的条件下，交换机可以首先处理此类数据包。为网络接入提供基本的安全手段。例如，一个acl允许一台主机访问您的资源，而另一台主机被禁止访问相同的资源。在交换机接口上，决定转发哪种类型的通信流量和阻塞哪种类型的通信流量。例如，网络的电子邮件被允许通过，而ftp通信被阻止。建立访问控制列表后，可以限制网络流量，提高网络性能，控制通信流量，这也是