標準ACL和擴展ACL的應用實例

1、標準ACL和擴展ACL的應用實例 配置實例文章出處：佃原創(chuàng)訪問控制列表簡稱為 ACL，訪問控制列表使用包過濾技術，在路由器上讀取第三層及 第四層包頭中的信息如源地址，目的地址，源端口，目的端口等，根據預先定義好的規(guī)則對包進行過濾，從而達到訪問控制的目的。該技術初期僅在路由器上支持，近些年來已經擴展到三層交換機。本文通過2個實例，介紹標準 ACL和擴展ACL的使用方法。在介紹案例之前，我們先來了解一下什么是標準訪問控制列表和擴展訪問控制列表：標準訪問控制列表比較簡單，標準訪問控制列表是通過使用IP包中的源IP地址進行過濾，在思科的路由器里使用的訪問控制列表號1到99以及1300到1999來創(chuàng)建相

2、應的ACL。擴展訪問控制列表功能很強大，他可以控制源IP,目的IP,源端口，目的端口等，能實現相當精細的控制，擴展ACL不僅讀取IP包頭的源地址/目的地址，還要讀取第四層包頭中的源端口和目的端口的IP。不過他存在一個缺點，那就是在沒有硬件ACL加速的情況下，擴展ACL會消耗大量的路由器 CPU資源。所以當使用中低檔路由器時應盡量減少擴展 ACL的條目數。在思科路由器里，擴展訪問控制列表使用的 ACL號為100到199以及2000 到 2699。案例一：標準 ACL應用實例一、組網結構及需求某企業(yè)總部在北京， 廣州有一分公司，通過專線連接到北京總部。廣州分公司有管理者和普通員工兩個網段，要求在路

3、由器的接口上通過ACL進行控制，讓管理者網段可以訪問北京公司的數據庫，但普通員工禁止訪問北京公司數據庫。普i員工地址段10,10.10.0/24丿7據庫丄，(172.16. L 0/24I? ihx.i.i in曾理者地址段20. 20. 20. Q/24廣州分工司192縱 1,2 30tl9S0(comr數據庫二172,16 2. 0/24北京總公司二、配置方法1、廣州公司路由器的數據配置in terface FastEthernetO/O ip address 10.10.10.1 255.255.255.0 duplex autospeed autoin terface Serial0/

4、0descripti on to beij ingip address 192.168.1.1 255.255.255.252en capsulati on pppin terface FastEthernet0/1ip address 20.20.20.1 255.255.255.0 duplex autospeed autoip route 0.0.0.0 0.0.0.0 192.168.1.22、北京公司路由器的數據配置in terface FastEthernet0/0 ip address 172.16.1.1 255.255.255.0duplex auto speed autoi

5、nterface Serial0/0description to Guangzhouip address 192.168.1.2 255.255.255.252ip access-group 10 in /* 與廣州互連接口的入方向上，應用標準訪問控制列表10 */encapsulation pppinterface FastEthernet0/1ip address 172.16.2.1 255.255.255.0duplex autospeed autoip route 0.0.0.0 0.0.0.0 192.168.1.1access-list 10 permit 20.20.20.0

6、0.0.0.255 /* 標準訪問控制列表 10，允許源地址為 20.20.20.0 網段的數據包通過 */案例二：擴展 ACL 應用實例一、組網結構及需求 組網機構與案例一相同，要求廣州分公司的管理者網段可以訪問北京公司的數據庫 1 和數據庫 2；普通員工可以訪問數據庫一，但禁止訪問數據庫二。二、配置方法1、廣州公司路由器的數據配置interface FastEthernet0/0ip address 10.10.10.1 255.255.255.0duplex autospeed autointerface Serial0/0description to beijingip address

7、 192.168.1.1 255.255.255.252encapsulation pppinterface FastEthernet0/1ip address 20.20.20.1 255.255.255.0duplex autospeed autoip route 0.0.0.0 0.0.0.0 192.168.1.22、北京公司路由器的數據配置interface FastEthernet0/0ip address 172.16.1.1 255.255.255.0duplex autospeed autointerface Serial0/0description to Guangzhou

8、ip address 192.168.1.2 255.255.255.252ip access-group 100 in /* 與廣州互連接口的入方向上，應用擴展訪問控制列表 100 */ encapsulation pppinterface FastEthernet0/1ip address 172.16.2.1 255.255.255.0duplex autospeed autoip route 0.0.0.0 0.0.0.0 192.168.1.1access-list 100 permit ip 20.20.20.0 0.0.0.255 any /* 允許源地址 “ 20.20.20.0/24訪問”任何網絡 */access-list 100 permit ip 10.10.10.0 0.0.0.255 172.16