【文章內(nèi)容簡(jiǎn)介】 訪問控制列表工作過程 可路由嗎？ N 路由表選擇入口？ 接口配置 ACL？ 規(guī)則允許？ 丟棄數(shù)據(jù) 通知發(fā)送端 入站 數(shù)據(jù)包 選擇接口 出站 出站 N Y N Y Y Y N 配置標(biāo)準(zhǔn)訪問控制列表 ?標(biāo)準(zhǔn) ACL的工作過程 ?標(biāo)準(zhǔn) ACL只檢查可以被路由的數(shù)據(jù)包的源地址，從而允許或拒絕基于網(wǎng)絡(luò)、子網(wǎng)或主機(jī) IP地址的所有流量通過路由器。 ?從路由器某一接口進(jìn)來(lái)的數(shù)據(jù)包經(jīng)過檢查其源地址和協(xié)議類型，并且與 ACL條件判斷語(yǔ)句相匹配，如果匹配，則執(zhí)行允許或拒絕。如果該數(shù)據(jù)包被允許通過，就從路由器的出口轉(zhuǎn)發(fā)出去；如果該數(shù)據(jù)包被拒絕通過，就丟棄它。當(dāng)網(wǎng)絡(luò)管理員要允許或阻止來(lái)自某一網(wǎng)絡(luò)的所有通信流量，可以使用標(biāo)準(zhǔn) ACL來(lái)實(shí)現(xiàn)這一目標(biāo)。 ? 標(biāo)準(zhǔn)訪問列表 只根據(jù)源 IP地址，進(jìn)行數(shù)據(jù)包的過濾。 學(xué)生網(wǎng)段 校領(lǐng)導(dǎo)網(wǎng)段 教研網(wǎng)段 標(biāo)準(zhǔn)列表規(guī)則定義 源地址 TCP/UDP 數(shù)據(jù) IP 199 號(hào)列表 IP標(biāo)準(zhǔn)訪問列表 定義標(biāo)準(zhǔn) ACL Router(config) accesslist 199 { permit |deny } 源地址 [反掩碼 ] Switch(config) Ip accesslist 199 { permit |deny } 源地址 [反掩碼 ] 應(yīng)用 ACL到接口 Router(configif)ip accessgroup 199|{name} { in | out } 0表示檢查相應(yīng)的地址比特 1表示不檢查相應(yīng)的地址比特 0 0 1 1 1 1 1 1 128 64 32 16 8 4 2 1 0 0 0 0 0 0 0 0 0 0 0 0 1 1 1 1 1 1 1 1 1 1 0 0 1 1 1 1 1 1 1 1 反掩碼（通配符） 通配符掩碼是一個(gè) 32比特位。其中 0表示“檢查相應(yīng)的位”， 1表示“不檢查相應(yīng)的位”。 在 IP子網(wǎng)掩碼中，數(shù)字 1和 0用來(lái)決定是網(wǎng)絡(luò)，還是主機(jī)的 IP地址。 通配符掩碼與子網(wǎng)掩碼工作原理是不同的。如表示 ，使用通配符掩碼應(yīng)為 。 在通配符掩碼用 示所有 IP地址，全為 1說(shuō)明所有 32位都不檢查，這是可以用 any來(lái)取代。 32位都要進(jìn)行匹配，這樣只表示一個(gè)IP地址，可以用 host表示。 accesslist 1 permit (accesslist 1 deny ) interface serial 0 ip accessgroup 1 out F0 S0 F1 Inter IP標(biāo)準(zhǔn)訪問列表配置 只允許 IP標(biāo)準(zhǔn)訪問列表配置技術(shù) 阻止 主機(jī)通過 E0訪問網(wǎng)絡(luò)，而允許其他的機(jī)器訪問 Router（ config） accesslist 1 deny host Router（ config） accesslist 1 permit any Router（ config） interface ether 0 Router（ configif） ip accessgroup 1 in 配置標(biāo)準(zhǔn)訪問控制列表 ?拓?fù)淙鐖D所示，要實(shí)現(xiàn)網(wǎng)絡(luò)一和網(wǎng)絡(luò)二隔離，可以在路由器 R2上做標(biāo)準(zhǔn) ACL技術(shù)控制，以實(shí)現(xiàn)網(wǎng)絡(luò)之間的隔離。 網(wǎng)絡(luò)三 網(wǎng)絡(luò)一 網(wǎng)絡(luò)二 PC1： PC2： F0/0 R2 F0/0 S2/0 S2/0 R1 訪問控制列表概述 ?訪問表（ access list）是一個(gè)有序的語(yǔ)句集，它通過匹配報(bào)文中信息與訪問表參數(shù)，來(lái)允許報(bào)文通過或拒絕報(bào)文通過某個(gè)接口。 訪問控制列表概述 ?訪問控制列表總的說(shuō)起來(lái)有下面三個(gè)作用 : ? 安全控制 ? 流量過濾 ? 數(shù)據(jù)流量標(biāo)識(shí) ACL工作原理及規(guī)則 ?ACL語(yǔ)句有兩個(gè)組件：一個(gè)是條件，一個(gè)是操作 ? 條件：一個(gè)組的規(guī)則 ? 操作：當(dāng) ACL語(yǔ)句條件與比較的數(shù)據(jù)包內(nèi)容匹配時(shí)，可以采取允許和拒絕兩個(gè)操作。 ACL工作原理及規(guī)則 ?入站 ACL ACL工作原理及規(guī)則 ?出站 ACL ACL工作原理及規(guī)則 ?基本規(guī)則、準(zhǔn)則和限制 ? ACL語(yǔ)句按名稱或編號(hào)分組； ? 每條 ACL語(yǔ)句都只有一組條件和操作，如果需要多個(gè)條件或多個(gè)行動(dòng)，則必須生成多個(gè) ACL語(yǔ)句； ? 如果一條語(yǔ)句的條件中沒有找到匹配，則處理列表中的下一條語(yǔ)句； ? 如果在 ACL組的一條語(yǔ)句中找到匹配，則不再處理后面的語(yǔ)句； ? 如果處理了列表中的所有語(yǔ)句而沒有指定匹配，不可見到的隱式拒絕語(yǔ)句拒絕該數(shù)據(jù)包； ? 由于在 ACL語(yǔ)句組的最后隱式拒絕，所以至少要有一個(gè)允許操作，否則，所有數(shù)據(jù)包都會(huì)被拒絕； ? 語(yǔ)句的順序很重要，約束性最強(qiáng)的語(yǔ)句應(yīng)該放在列表的頂部，約束性最弱的語(yǔ)句應(yīng)該放在列表的底部； ACL工作原理及規(guī)則 ?基本規(guī)則、準(zhǔn)則和限制 ? 一個(gè)空的 ACL組允許所有數(shù)據(jù)包，空的 ACL組已經(jīng)在路由器上被激活，但不包含語(yǔ)句的 ACL，要使隱式拒絕語(yǔ)句起作用，則在 ACL中至少要有一條允許或拒絕語(yǔ)句； ? 只能在每個(gè)接口、每個(gè)協(xié)議、每個(gè)方向上應(yīng)用一個(gè)ACL； ? 在數(shù)據(jù)包被路由到其它接口之前，處理入站 ACL； ? 在數(shù)據(jù)包被路由到接口之后，而在數(shù)據(jù)包離開接口之前，處理出站 ACL； ? 當(dāng) ACL應(yīng)用到一個(gè)接口時(shí)，這會(huì)影響通過接口的流量，但 ACL不會(huì)過濾路由器本身產(chǎn)生的流量。 ACL工作原理及規(guī)則 ?ACL放置在什么位置 : ? 只過濾數(shù)據(jù)包源地址的 ACL應(yīng)該放置在離目的地盡可能近的地方； ? 過濾數(shù)據(jù)包的源地址和目的地址以及其他信息的 ACL，則應(yīng)該放在離源地址盡可能近的地方； ?只過濾數(shù)據(jù)包中的源地址的 ACL有兩個(gè)局限性： ? 即使 ACL應(yīng)用到路由器 C的 E0，任何用戶 A來(lái)的流量都將被禁止訪問該網(wǎng)段的任何資源，包括數(shù)據(jù)庫(kù)服務(wù)器。 ? 流量要經(jīng)過所有到達(dá)目的地的途徑，它在即將到達(dá)目的地時(shí)被丟棄，這是對(duì)帶寬的浪費(fèi)。 ACL的種類 ?兩種基本的 ACL：標(biāo)準(zhǔn) ACL和擴(kuò)展 ACL ?標(biāo)準(zhǔn) IP ACL只能過濾 IP數(shù)據(jù)包頭中的源 IP地址 ?擴(kuò)展 IP ACL可以過濾源 IP地址、目的 IP地址、協(xié)議（ TCP/IP）、協(xié)議信息（端口號(hào)、標(biāo)志代碼）等， 訪問控制列表 標(biāo)準(zhǔn) ACL ?標(biāo)準(zhǔn) ACL只能過濾 IP數(shù)據(jù)包頭中的源 IP地址 ?標(biāo)準(zhǔn) ACL通常用在路由器配置以下功能： ? 限制通過 VTY線路對(duì)路由器的訪問（ tel、 SSH）； ? 限制通過 HTTP或 HTTPS對(duì)路由器的訪問； ? 過濾路由更新。 標(biāo)準(zhǔn) ACL ?通過兩種方式創(chuàng)建標(biāo)準(zhǔn) ACL：編號(hào)或名稱 使用編號(hào) 使用編號(hào)創(chuàng)建 ACL 在接口上應(yīng)用 ? In：當(dāng)流量從網(wǎng)絡(luò)網(wǎng)段進(jìn)入路由器接口時(shí) ? Out：當(dāng)流量離開接口到網(wǎng)絡(luò)網(wǎng)段時(shí) Router(config) accesslist listnumber { permit | deny } address [ wildcard–mask ] Router(configif) ip accessgroup {id|name} {in|out} 允許 /拒絕 標(biāo)準(zhǔn) ACL ?使用命名 ? 定義 ACL名稱 ? 定義規(guī)則 ? 在接口上應(yīng)用 Router(config) ip accesslist standard name Router(configstdnacl) {deny|p