【文章內(nèi)容簡介】 訪問控制列表工作過程 可路由嗎？ N 路由表選擇入口？ 接口配置 ACL？ 規(guī)則允許？ 丟棄數(shù)據(jù) 通知發(fā)送端 入站 數(shù)據(jù)包 選擇接口 出站 出站 N Y N Y Y Y N 配置標(biāo)準(zhǔn)訪問控制列表 ?標(biāo)準(zhǔn) ACL的工作過程 ?標(biāo)準(zhǔn) ACL只檢查可以被路由的數(shù)據(jù)包的源地址，從而允許或拒絕基于網(wǎng)絡(luò)、子網(wǎng)或主機 IP地址的所有流量通過路由器。 ?從路由器某一接口進來的數(shù)據(jù)包經(jīng)過檢查其源地址和協(xié)議類型，并且與 ACL條件判斷語句相匹配，如果匹配，則執(zhí)行允許或拒絕。如果該數(shù)據(jù)包被允許通過，就從路由器的出口轉(zhuǎn)發(fā)出去；如果該數(shù)據(jù)包被拒絕通過，就丟棄它。當(dāng)網(wǎng)絡(luò)管理員要允許或阻止來自某一網(wǎng)絡(luò)的所有通信流量，可以使用標(biāo)準(zhǔn) ACL來實現(xiàn)這一目標(biāo)。 ? 標(biāo)準(zhǔn)訪問列表 只根據(jù)源 IP地址，進行數(shù)據(jù)包的過濾。 學(xué)生網(wǎng)段 校領(lǐng)導(dǎo)網(wǎng)段 教研網(wǎng)段 標(biāo)準(zhǔn)列表規(guī)則定義 源地址 TCP/UDP 數(shù)據(jù) IP 199 號列表 IP標(biāo)準(zhǔn)訪問列表 定義標(biāo)準(zhǔn) ACL Router(config) accesslist 199 { permit |deny } 源地址 [反掩碼 ] Switch(config) Ip accesslist 199 { permit |deny } 源地址 [反掩碼 ] 應(yīng)用 ACL到接口 Router(configif)ip accessgroup 199|{name} { in | out } 0表示檢查相應(yīng)的地址比特 1表示不檢查相應(yīng)的地址比特 0 0 1 1 1 1 1 1 128 64 32 16 8 4 2 1 0 0 0 0 0 0 0 0 0 0 0 0 1 1 1 1 1 1 1 1 1 1 0 0 1 1 1 1 1 1 1 1 反掩碼（通配符） 通配符掩碼是一個 32比特位。其中 0表示“檢查相應(yīng)的位”， 1表示“不檢查相應(yīng)的位”。 在 IP子網(wǎng)掩碼中，數(shù)字 1和 0用來決定是網(wǎng)絡(luò)，還是主機的 IP地址。 通配符掩碼與子網(wǎng)掩碼工作原理是不同的。如表示 ，使用通配符掩碼應(yīng)為 。 在通配符掩碼用 示所有 IP地址，全為 1說明所有 32位都不檢查，這是可以用 any來取代。 32位都要進行匹配，這樣只表示一個IP地址，可以用 host表示。 accesslist 1 permit (accesslist 1 deny ) interface serial 0 ip accessgroup 1 out F0 S0 F1 Inter IP標(biāo)準(zhǔn)訪問列表配置 只允許 IP標(biāo)準(zhǔn)訪問列表配置技術(shù) 阻止 主機通過 E0訪問網(wǎng)絡(luò)，而允許其他的機器訪問 Router（ config） accesslist 1 deny host Router（ config） accesslist 1 permit any Router（ config） interface ether 0 Router（ configif） ip accessgroup 1 in 配置標(biāo)準(zhǔn)訪問控制列表 ?拓?fù)淙鐖D所示，要實現(xiàn)網(wǎng)絡(luò)一和網(wǎng)絡(luò)二隔離，可以在路由器 R2上做標(biāo)準(zhǔn) ACL技術(shù)控制，以實現(xiàn)網(wǎng)絡(luò)之間的隔離。 網(wǎng)絡(luò)三 網(wǎng)絡(luò)一 網(wǎng)絡(luò)二 PC1： PC2： F0/0 R2 F0/0 S2/0 S2/0 R1 訪問控制列表概述 ?訪問表（ access list）是一個有序的語句集，它通過匹配報文中信息與訪問表參數(shù)，來允許報文通過或拒絕報文通過某個接口。 訪問控制列表概述 ?訪問控制列表總的說起來有下面三個作用 : ? 安全控制 ? 流量過濾 ? 數(shù)據(jù)流量標(biāo)識 ACL工作原理及規(guī)則 ?ACL語句有兩個組件：一個是條件，一個是操作 ? 條件：一個組的規(guī)則 ? 操作：當(dāng) ACL語句條件與比較的數(shù)據(jù)包內(nèi)容匹配時，可以采取允許和拒絕兩個操作。 ACL工作原理及規(guī)則 ?入站 ACL ACL工作原理及規(guī)則 ?出站 ACL ACL工作原理及規(guī)則 ?基本規(guī)則、準(zhǔn)則和限制 ? ACL語句按名稱或編號分組； ? 每條 ACL語句都只有一組條件和操作，如果需要多個條件或多個行動，則必須生成多個 ACL語句； ? 如果一條語句的條件中沒有找到匹配，則處理列表中的下一條語句； ? 如果在 ACL組的一條語句中找到匹配，則不再處理后面的語句； ? 如果處理了列表中的所有語句而沒有指定匹配，不可見到的隱式拒絕語句拒絕該數(shù)據(jù)包； ? 由于在 ACL語句組的最后隱式拒絕，所以至少要有一個允許操作，否則，所有數(shù)據(jù)包都會被拒絕； ? 語句的順序很重要，約束性最強的語句應(yīng)該放在列表的頂部，約束性最弱的語句應(yīng)該放在列表的底部； ACL工作原理及規(guī)則 ?基本規(guī)則、準(zhǔn)則和限制 ? 一個空的 ACL組允許所有數(shù)據(jù)包，空的 ACL組已經(jīng)在路由器上被激活，但不包含語句的 ACL，要使隱式拒絕語句起作用，則在 ACL中至少要有一條允許或拒絕語句； ? 只能在每個接口、每個協(xié)議、每個方向上應(yīng)用一個ACL； ? 在數(shù)據(jù)包被路由到其它接口之前，處理入站 ACL； ? 在數(shù)據(jù)包被路由到接口之后，而在數(shù)據(jù)包離開接口之前，處理出站 ACL； ? 當(dāng) ACL應(yīng)用到一個接口時，這會影響通過接口的流量，但 ACL不會過濾路由器本身產(chǎn)生的流量。 ACL工作原理及規(guī)則 ?ACL放置在什么位置 : ? 只過濾數(shù)據(jù)包源地址的 ACL應(yīng)該放置在離目的地盡可能近的地方； ? 過濾數(shù)據(jù)包的源地址和目的地址以及其他信息的 ACL，則應(yīng)該放在離源地址盡可能近的地方； ?只過濾數(shù)據(jù)包中的源地址的 ACL有兩個局限性： ? 即使 ACL應(yīng)用到路由器 C的 E0，任何用戶 A來的流量都將被禁止訪問該網(wǎng)段的任何資源，包括數(shù)據(jù)庫服務(wù)器。 ? 流量要經(jīng)過所有到達(dá)目的地的途徑，它在即將到達(dá)目的地時被丟棄，這是對帶寬的浪費。 ACL的種類 ?兩種基本的 ACL：標(biāo)準(zhǔn) ACL和擴展 ACL ?標(biāo)準(zhǔn) IP ACL只能過濾 IP數(shù)據(jù)包頭中的源 IP地址 ?擴展 IP ACL可以過濾源 IP地址、目的 IP地址、協(xié)議（ TCP/IP）、協(xié)議信息（端口號、標(biāo)志代碼）等， 訪問控制列表 標(biāo)準(zhǔn) ACL ?標(biāo)準(zhǔn) ACL只能過濾 IP數(shù)據(jù)包頭中的源 IP地址 ?標(biāo)準(zhǔn) ACL通常用在路由器配置以下功能： ? 限制通過 VTY線路對路由器的訪問（ tel、 SSH）； ? 限制通過 HTTP或 HTTPS對路由器的訪問； ? 過濾路由更新。 標(biāo)準(zhǔn) ACL ?通過兩種方式創(chuàng)建標(biāo)準(zhǔn) ACL：編號或名稱 使用編號 使用編號創(chuàng)建 ACL 在接口上應(yīng)用 ? In：當(dāng)流量從網(wǎng)絡(luò)網(wǎng)段進入路由器接口時 ? Out：當(dāng)流量離開接口到網(wǎng)絡(luò)網(wǎng)段時 Router(config) accesslist listnumber { permit | deny } address [ wildcard–mask ] Router(configif) ip accessgroup {id|name} {in|out} 允許 /拒絕 標(biāo)準(zhǔn) ACL ?使用命名 ? 定義 ACL名稱 ? 定義規(guī)則 ? 在接口上應(yīng)用 Router(config) ip accesslist standard name Router(configstdnacl) {deny|p