使用訪問列表管理網(wǎng)絡(luò)(編輯修改稿)
2025-03-31 20:10 本頁面
【文章內(nèi)容簡介】 標(biāo)不可到達(dá)。 ? 一個 ACL中可以包含任意多條指令。每一條指令，應(yīng)該具有相同的標(biāo)識名或者數(shù)字。 ACL中的指令越多，就越難理解和管理。所以，為 ACL做好文檔可以防止混淆。 擴展 ACL 擴展 ACL配置 ? 完全形式的 accesslist命令為： Router(config) accesslist access_list_number {permit|deny} protocol source [source_mask destination destination_mask operator operand [established] ? 命令 ip accessgroup將一個存在的擴展ACL和一個端口關(guān)聯(lián)。記?。阂粋€端口的一個方向的某套協(xié)議，只允許存在一個 ACL。 Router(configif) {protocol} accessgroup access_list_number {in|out} 擴展 ACL舉例 ? 以下圖的結(jié)構(gòu)為例，介紹擴展 ACL的使用。 – 實例 1：在 E0端口，禁止轉(zhuǎn)出來自 網(wǎng)的 FTP數(shù)據(jù)流到 ，其它的數(shù)據(jù)流將被轉(zhuǎn)發(fā)。 – 實例 2：在 E0端口，禁止轉(zhuǎn)出來自 網(wǎng)的 Tel 數(shù)據(jù)流，其它的數(shù)據(jù)流將被轉(zhuǎn)發(fā)。 E0 S0 E1 Non 實例 1：禁止轉(zhuǎn)出 FTP數(shù)據(jù) ? 在 E0端口，禁止轉(zhuǎn)出來自 FTP數(shù)據(jù)流到，其它的數(shù)據(jù)流將被轉(zhuǎn)發(fā)。 – 第一個 ACL命令用“ deny”禁止來自 FTPDATA（ port=20）數(shù)據(jù)流到 。 – 第二個 ACL命令用“ deny”禁止來自 FTP（ port=21）數(shù)據(jù)流到 。 – 第三個 ACL命令表示允許任何的數(shù)據(jù)流。 – 最后將此 ACL101關(guān)聯(lián)到端口 E0。 accesslist 101 deny tcp eq 21 accesslist 101 deny tcp eq 20 accesslist 101 permit ip any any (implicit deny all) (accesslist 101 deny ip ) interface ether 0 ip accessgroup 101 out 實例 2：禁止轉(zhuǎn)出 Tel 數(shù)據(jù) ? 在 E0端口，禁止轉(zhuǎn)出來自 的 Tel 數(shù)據(jù)流，其它的數(shù)據(jù)流將被轉(zhuǎn)發(fā)。 – 第一個 ACL命令用“ deny”禁止來自 Tel(port=23)數(shù)據(jù)流。 – 第二個 ACL命令表示允許任何的數(shù)據(jù)流。 – 最后將此 ACL101關(guān)聯(lián)到端口 E0。 accesslist 101 deny tcp any eq 23 accesslist 101 permit ip any any (implicit deny all) interface ether 0 ip accessgroup 101 out 通配掩碼 ? 通配掩碼（ wildcard mask）是分成 4字節(jié)的 32bit數(shù)。通配掩碼與 IP地址位位配對，相應(yīng)位為 0/1，用于表示如何對待 IP地址中的相應(yīng)位。 – 通配掩碼某位是 0，表示檢查相應(yīng) bit位的值； – 通配掩碼某位是 1，表示不檢查 (忽略 )相應(yīng)位的值。 ? ACL使用通配掩碼來控制一個或者多個需要進(jìn)行 允許 或者 禁止 檢查的 IP地址。 ? 盡管都是 32位，通配掩碼與子網(wǎng)掩碼不同。在子網(wǎng)掩碼中， 0/1決定了相應(yīng)主機 IP地址是網(wǎng)絡(luò)位、子網(wǎng)位還是主機位。在通配掩碼中， 0/1決定 ACL是否檢查或者忽略 IP地址中的相應(yīng)位。 通配掩碼的工作原理 通配掩碼舉例 ? 假設(shè)一個 B類地址，有 8位的子網(wǎng)地址。想使用通配掩碼，允許所有來自于網(wǎng)絡(luò)～ 。 通配掩碼舉例 ? 假設(shè)一個 B類地址，有 8位的子網(wǎng)地址。想使用通配掩碼，允許所有來自于網(wǎng)絡(luò)～ 問。 – 首先，檢查前面兩個字節(jié) ()，通配掩碼中的前兩個字節(jié)位全為 0。由于沒有興趣檢查主機地址，通配掩碼的最后一個字節(jié)位全為 1。 – 通配掩碼的第三個字節(jié)應(yīng)該是 15 (00001111)。 – 與之相應(yīng)的通配掩碼是 ，將匹配子網(wǎng) IP地址。 通配掩碼舉例 ? IP地址的第三個字節(jié)為 16 (00010000)。通配掩碼中的前四位為 0，告訴路由器要匹配 IP地址的前四位 (0001)。由于最后的四位被忽略，則所有的在范圍 16 (00010000)到 31 (00011111)的都將被允許，相應(yīng)的通配掩碼位是 1。 Network .host 0 0 0 1 0 0 0 0 Wildcard mask: 0 0 0 0 1 1 1 1 | match | don’ t care | 0 0 0 1 0 0 0 0 = 16 0 0 0 1 0 0 0 1 = 17 0 0 0 1 0 0 1 0 = 18 : : 0 0 0 1 1 1 1 1 = 31 any命令 ? 使用二進(jìn)制通配掩碼很不方便，某些通配掩碼可以使用縮寫形式替代。這些縮寫形式，減少了在配置地址檢查
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1