ACL概念與配置實(shí)例

1、ACL概念與配置實(shí)例05-31 by LinuxA防火墻必須能夠提供控制網(wǎng)絡(luò)數(shù)據(jù)流的能力，以用于安全性、qos需求和各種策略制定等各個方面。實(shí)現(xiàn)數(shù)據(jù)流控制的手段之一是使用acl （ access controllist ，訪問控制列表）。acl是由permit或deny語句組成的一系列有順序的規(guī)則，這些規(guī)則針對數(shù)據(jù)包的源地址、目的地址、端口號、上層協(xié)議或其他信息來描述。反掩碼和子網(wǎng)掩碼相似，但寫法不同0表示需要比較1表示忽略比較反掩碼和IP地址結(jié)合使用，可以描述一個地址范圍反掩碼（11111110）表示所有的偶數(shù)，（11111100）表示所有的4的倍數(shù)。于此 類推。通配符 any 可代替 0.

2、0.0.0 255.255.255.255host表示與整個IP主機(jī)地址的所有位相匹配標(biāo)準(zhǔn)訪問控制列表根據(jù)數(shù)據(jù)包的源IP地址來允許或拒絕數(shù)據(jù)包標(biāo)準(zhǔn)IP訪問控制列表的訪問控制列表號從1到99標(biāo)準(zhǔn)訪問控制列表只使用源地址描述數(shù)據(jù)，表明是允許還是拒絕標(biāo)準(zhǔn)訪問控制列表一般用在目標(biāo)地址的入口擴(kuò)展訪問控制列表通過啟用基于源和目的地址、傳輸層協(xié)議和應(yīng)用端口號的過慮來提供更高程度的控制擴(kuò)展訪問控制列表行中的每個條件都必須匹配，才認(rèn)為該行被匹配，才會施加允許或拒絕條件使用擴(kuò)展ACL可以實(shí)現(xiàn)更加精確的流量控制使用的數(shù)字號在100到199之間擴(kuò)展訪問控制列表使用除源地址外更多的信息描述數(shù)據(jù)包，表明是允許還是拒絕擴(kuò)展

3、訪問控制列表一般用在源地址的出口。標(biāo)準(zhǔn)的:access-list 1-99 deny/permit源 IP 地址擴(kuò)展的:access-list 100-199 deny/permit ip/tcp/udp/icmp 源 IP/ 網(wǎng)段 源端口 eq/neq/gt/ct 目的IP/網(wǎng)段 目的端口 eq/neq/gt/ct然后在接口下ip access-group ACL 號 out/i nACL 的處理過程：若第一條不匹配，則依次往下進(jìn)行判斷，直到有任一條語句匹配ACL 使用反碼來標(biāo)志一個或幾個地址是被允許還是被拒絕配置實(shí)例標(biāo)準(zhǔn)訪問控制列表的配置第一步，使用 access-list 命令創(chuàng)建訪問控

4、制列表Router(config)# access-list access-list-number permit | deny source sourcewildcard-mask log(config)# access-list access-list-number permit any第二步，使用 ip access-group 命令把訪問控制列表應(yīng)用到某接口Router ( config-if )# ip access-group access-list-number in | out 擴(kuò)展訪問控制列表的配置第一步，使用 access-list 命令創(chuàng)建一個擴(kuò)展訪問控制列表(config

5、)# access-list access-list-number permit | deny protocol source source-wildcard destination destination-wildcard operator portestablishedlog(config)# access-list access-list-number permit ip any any第二步，使用 ip access-group 命令把一個擴(kuò)展訪問控制列表應(yīng)用到某接口(config-if )# ip access-group access-list-number in | out 擴(kuò)展

6、 ACL 的應(yīng)用示例：第一步，創(chuàng)建拒絕來自 172.16.4.0 去往 172.16.3.0 的 telnet 流量的 ACLRouter(config)# access-list 101 deny tcp 172.16.4.0 0.0.0.255 172.16.3.0 0.0.0.255 eq 23Router(config)# access-list 101 permit ip any any第二步，應(yīng)用到接口 E0 的出方向上Router(config)# interface Ethernet 0Router ( config-if )# ip access-group 101 out命名訪問控制列表的配置(config)# ip acce