標(biāo)準(zhǔn)ACL和擴(kuò)展ACL的應(yīng)用實(shí)例

1、標(biāo)準(zhǔn)ACL和擴(kuò)展ACL的應(yīng)用實(shí)例 配置實(shí)例文章出處：佃原創(chuàng)訪問(wèn)控制列表簡(jiǎn)稱為 ACL，訪問(wèn)控制列表使用包過(guò)濾技術(shù)，在路由器上讀取第三層及 第四層包頭中的信息如源地址，目的地址，源端口，目的端口等，根據(jù)預(yù)先定義好的規(guī)則對(duì)包進(jìn)行過(guò)濾，從而達(dá)到訪問(wèn)控制的目的。該技術(shù)初期僅在路由器上支持，近些年來(lái)已經(jīng)擴(kuò)展到三層交換機(jī)。本文通過(guò)2個(gè)實(shí)例，介紹標(biāo)準(zhǔn) ACL和擴(kuò)展ACL的使用方法。在介紹案例之前，我們先來(lái)了解一下什么是標(biāo)準(zhǔn)訪問(wèn)控制列表和擴(kuò)展訪問(wèn)控制列表：標(biāo)準(zhǔn)訪問(wèn)控制列表比較簡(jiǎn)單，標(biāo)準(zhǔn)訪問(wèn)控制列表是通過(guò)使用IP包中的源IP地址進(jìn)行過(guò)濾，在思科的路由器里使用的訪問(wèn)控制列表號(hào)1到99以及1300到1999來(lái)創(chuàng)建相

2、應(yīng)的ACL。擴(kuò)展訪問(wèn)控制列表功能很強(qiáng)大，他可以控制源IP,目的IP,源端口，目的端口等，能實(shí)現(xiàn)相當(dāng)精細(xì)的控制，擴(kuò)展ACL不僅讀取IP包頭的源地址/目的地址，還要讀取第四層包頭中的源端口和目的端口的IP。不過(guò)他存在一個(gè)缺點(diǎn)，那就是在沒(méi)有硬件ACL加速的情況下，擴(kuò)展ACL會(huì)消耗大量的路由器 CPU資源。所以當(dāng)使用中低檔路由器時(shí)應(yīng)盡量減少擴(kuò)展 ACL的條目數(shù)。在思科路由器里，擴(kuò)展訪問(wèn)控制列表使用的 ACL號(hào)為100到199以及2000 到 2699。案例一：標(biāo)準(zhǔn) ACL應(yīng)用實(shí)例一、組網(wǎng)結(jié)構(gòu)及需求某企業(yè)總部在北京， 廣州有一分公司，通過(guò)專線連接到北京總部。廣州分公司有管理者和普通員工兩個(gè)網(wǎng)段，要求在路

3、由器的接口上通過(guò)ACL進(jìn)行控制，讓管理者網(wǎng)段可以訪問(wèn)北京公司的數(shù)據(jù)庫(kù)，但普通員工禁止訪問(wèn)北京公司數(shù)據(jù)庫(kù)。普i員工地址段10,10.10.0/24丿7據(jù)庫(kù)丄，(172.16. L 0/24I? ihx.i.i in曾理者地址段20. 20. 20. Q/24廣州分工司192縱 1,2 30tl9S0(comr數(shù)據(jù)庫(kù)二172,16 2. 0/24北京總公司二、配置方法1、廣州公司路由器的數(shù)據(jù)配置in terface FastEthernetO/O ip address 10.10.10.1 255.255.255.0 duplex autospeed autoin terface Serial0/

4、0descripti on to beij ingip address 192.168.1.1 255.255.255.252en capsulati on pppin terface FastEthernet0/1ip address 20.20.20.1 255.255.255.0 duplex autospeed autoip route 0.0.0.0 0.0.0.0 192.168.1.22、北京公司路由器的數(shù)據(jù)配置in terface FastEthernet0/0 ip address 172.16.1.1 255.255.255.0duplex auto speed autoi

5、nterface Serial0/0description to Guangzhouip address 192.168.1.2 255.255.255.252ip access-group 10 in /* 與廣州互連接口的入方向上，應(yīng)用標(biāo)準(zhǔn)訪問(wèn)控制列表10 */encapsulation pppinterface FastEthernet0/1ip address 172.16.2.1 255.255.255.0duplex autospeed autoip route 0.0.0.0 0.0.0.0 192.168.1.1access-list 10 permit 20.20.20.0

6、0.0.0.255 /* 標(biāo)準(zhǔn)訪問(wèn)控制列表 10，允許源地址為 20.20.20.0 網(wǎng)段的數(shù)據(jù)包通過(guò) */案例二：擴(kuò)展 ACL 應(yīng)用實(shí)例一、組網(wǎng)結(jié)構(gòu)及需求 組網(wǎng)機(jī)構(gòu)與案例一相同，要求廣州分公司的管理者網(wǎng)段可以訪問(wèn)北京公司的數(shù)據(jù)庫(kù) 1 和數(shù)據(jù)庫(kù) 2；普通員工可以訪問(wèn)數(shù)據(jù)庫(kù)一，但禁止訪問(wèn)數(shù)據(jù)庫(kù)二。二、配置方法1、廣州公司路由器的數(shù)據(jù)配置interface FastEthernet0/0ip address 10.10.10.1 255.255.255.0duplex autospeed autointerface Serial0/0description to beijingip address

7、 192.168.1.1 255.255.255.252encapsulation pppinterface FastEthernet0/1ip address 20.20.20.1 255.255.255.0duplex autospeed autoip route 0.0.0.0 0.0.0.0 192.168.1.22、北京公司路由器的數(shù)據(jù)配置interface FastEthernet0/0ip address 172.16.1.1 255.255.255.0duplex autospeed autointerface Serial0/0description to Guangzhou

8、ip address 192.168.1.2 255.255.255.252ip access-group 100 in /* 與廣州互連接口的入方向上，應(yīng)用擴(kuò)展訪問(wèn)控制列表 100 */ encapsulation pppinterface FastEthernet0/1ip address 172.16.2.1 255.255.255.0duplex autospeed autoip route 0.0.0.0 0.0.0.0 192.168.1.1access-list 100 permit ip 20.20.20.0 0.0.0.255 any /* 允許源地址 “ 20.20.20.0/24訪問(wèn)”任何網(wǎng)絡(luò) */access-list 100 permit ip 10.10.10.0 0.0.0.255 172.16