N09.访问控制列表.ppt

1、访问控制列表,IP Access-list：访问列表或访问控制列表，简称IP ACL。,访问控制列表,访问控制列表ACL最直接的功能就是包过滤,通过ACL可以在路由器、三层交换机上进行网络安全属性配置,可以实现对进入到路由器、三层交换机的输入数据流进行过滤.,认证输入数据流的定义可以基于网络地址、TCP/UDP的应用等。 可以选择对于符合过滤标准的流是丢弃还是转发。,为什么要使用访问列表,公网,互联网用户,对外信息 服务器,员工上网,拒绝,信息 服务器,不能在上班时间进行QQ,MSN等聊天,访问权限控制,ISP,当网络访问流量较大时,需要对网络流量进行管理,为什么要使用访问列表,ACL的类型,

2、ACL的类型主要分为IP标准访问控制列表和IP扩展访问控制列表。 主要的动作为允许(permit) 和拒绝(Deny). 主要的应用方法是入栈(In)和出栈(Out)应用.,路由器应用访问列表对流经它的数据包进行限制1.入栈应用2.出栈应用,E0,S0,是否允许?,协议,访问列表的应用,IP ACL的基本准则,一切未被允许的就是禁止的。 路由器或三层交换机缺省允许所有的信息流通过; 而防火墙缺省封锁所有的信息流，然后对希望提供的服务逐项开放。 按规则链来进行匹配 使用源地址、目的地址、源端口、目的端口、协议、时间段进行匹配 从头到尾，至顶向下的匹配方式 匹配成功马上停止 立刻使用该规则的“允许

3、、拒绝”,源地址,TCP/UDP,数据,IP,eg.HDLC,1-99 号列表,IP标准访问列表,目的地址,源地址,协议,端口号,100-199号列表,TCP/UDP,数据,IP,eg.HDLC,IP扩展访问列表,0表示检查相应的地址比特 1表示不检查相应的地址比特,0,0,0,0,0,0,0,0,反掩码,1.编号的标准访问列表 RA(config)#access-list permit|deny 源地址 反掩码 例如： （config）# access-list 1 permit 172.16.0.0 0.0.255.255 （config）# access-list 1 deny 0.0.

4、0.0 255.255.255.255,2.应用ACL到接口 RA(config-if)#ip access-group |name in | out ,IP标准访问列表的配置,2.应用ACL到接口 Router(config-if)#ip access-group in | out ,编号的扩展ACL RA(config)#access-list permit /deny 协议 源地址 反掩码 目的地址 反掩码 operator operand 其中：规则序号范围是100-199； protocal是指定的协议，如IP、TCP、UDP等。 operator 和 operand用于指定端口范围，默认为全部端口号0-65535，只有TCP和UDP协议需要指定端口的范围。,IP扩展访问列表的配置,显示全部的访问列表 Router#show access-lists显示指定的访问列表Router#show access-lists 显示接口的访问列表应用Router#show ip interface ,访问列表的验证,实例：,1. 所有主机到172.16.30.2的TCP流量都将拒绝 access-list 100 deny tcp any host 172.16.30.2,实例：,2. 阻