標(biāo)準(zhǔn)ACL和擴(kuò)展ACL

1、5.2.3 標(biāo)準(zhǔn)標(biāo)準(zhǔn)ACL和擴(kuò)展和擴(kuò)展ACL深圳職業(yè)技術(shù)學(xué)院深圳職業(yè)技術(shù)學(xué)院梁廣民（梁廣民（CCIE#14496）國家精品課程國家精品課程國家精品資源共享課程國家精品資源共享課程教育部網(wǎng)絡(luò)技術(shù)專業(yè)教學(xué)資源庫課程教育部網(wǎng)絡(luò)技術(shù)專業(yè)教學(xué)資源庫課程“十二五十二五”職業(yè)教育國家規(guī)劃教材職業(yè)教育國家規(guī)劃教材2Cisco ACLs的類型的類型有兩類有兩類 Cisco ACLs, 標(biāo)準(zhǔn)和擴(kuò)展標(biāo)準(zhǔn)和擴(kuò)展. 標(biāo)準(zhǔn)標(biāo)準(zhǔn) ACLs:標(biāo)準(zhǔn)標(biāo)準(zhǔn) ACL 根據(jù)源根據(jù)源 IP 地址允許或拒絕流量地址允許或拒絕流量. 擴(kuò)展擴(kuò)展 ACLs:擴(kuò)展擴(kuò)展 ACL 根據(jù)多種屬性允許或拒絕流量根據(jù)多種屬性允許或拒絕流量.使用使用 ACL

2、 時(shí)主要涉及以下兩項(xiàng)任務(wù)時(shí)主要涉及以下兩項(xiàng)任務(wù):1.通過指定訪問列表編號(hào)或名稱以及訪問條件來創(chuàng)建訪問列表通過指定訪問列表編號(hào)或名稱以及訪問條件來創(chuàng)建訪問列表.2.將將 ACL 應(yīng)用到接口或終端線路應(yīng)用到接口或終端線路.3編編號(hào)號(hào)ACL和命名和命名ACL4輸入條件語句輸入條件語句注意注意: 應(yīng)該將最頻繁使用的應(yīng)該將最頻繁使用的 ACL 條目放在列表頂部條目放在列表頂部. 您必須在您必須在 ACL 中至少包含一條中至少包含一條 permit 語句，語句，否則所有流量都會(huì)被阻止否則所有流量都會(huì)被阻止.圖中的兩個(gè)圖中的兩個(gè) ACL（101 和和 102）具有相同的效果）具有相同的效果. 5配置標(biāo)準(zhǔn)配置

3、標(biāo)準(zhǔn) ACLRouter(config)#access-list access-list-number deny/permit remark source source-wildcard log配置標(biāo)準(zhǔn)配置標(biāo)準(zhǔn) ACL 之后，可以使用之后，可以使用 ip access-group 命令將其關(guān)聯(lián)到接口命令將其關(guān)聯(lián)到接口: Router(config-if)#ip access-group access-list-number | access-list-name in | out6標(biāo)準(zhǔn)標(biāo)準(zhǔn) ACL配置舉例配置舉例7將標(biāo)準(zhǔn)將標(biāo)準(zhǔn) ACLs 應(yīng)用到線路應(yīng)用到線路使用使用 ACL 控制控制 VTY 訪

4、問：訪問：access-class 命令的語法是命令的語法是:access-class access-list-number in vrf-also | out8創(chuàng)建標(biāo)準(zhǔn)命名創(chuàng)建標(biāo)準(zhǔn)命名 ACLs1.進(jìn)入全局配置模式，使用進(jìn)入全局配置模式，使用 ip access-list 命令創(chuàng)建命名命令創(chuàng)建命名 ACL。ACL 名稱是字母數(shù)字，必須唯一而且不能以數(shù)字開頭名稱是字母數(shù)字，必須唯一而且不能以數(shù)字開頭.2.在命名在命名 ACL 配置模式下，使用配置模式下，使用 permit 或或 deny 語句指定一語句指定一個(gè)或多個(gè)條件，以確定數(shù)據(jù)包應(yīng)該轉(zhuǎn)發(fā)還是丟棄個(gè)或多個(gè)條件，以確定數(shù)據(jù)包應(yīng)該轉(zhuǎn)發(fā)還是丟棄.

5、3. 應(yīng)用應(yīng)用ACL若以若以ACL規(guī)定的表號(hào)范圍的數(shù)字命名，則自動(dòng)轉(zhuǎn)為表號(hào)命名方式規(guī)定的表號(hào)范圍的數(shù)字命名，則自動(dòng)轉(zhuǎn)為表號(hào)命名方式9監(jiān)控和檢驗(yàn)監(jiān)控和檢驗(yàn) ACLsshow access-lists10編輯編輯命名命名 ACLs命名命名 IP ACL 允許您刪除指定允許您刪除指定 ACL 中的具體條目中的具體條目. 可以使用序列號(hào)將語句插入命名可以使用序列號(hào)將語句插入命名 ACL 中的任何位置。中的任何位置。 11擴(kuò)展擴(kuò)展 ACLs為了更加精確地控制流量過濾，可以使用編號(hào)在為了更加精確地控制流量過濾，可以使用編號(hào)在 100 到到 199 之間以及之間以及 2000 到到 2699 之之間的擴(kuò)展間

6、的擴(kuò)展 ACL（最多可使用（最多可使用 800 個(gè)擴(kuò)展個(gè)擴(kuò)展 ACL）。可以對(duì)擴(kuò)展）?？梢詫?duì)擴(kuò)展 ACL 命名命名. 12配置擴(kuò)展配置擴(kuò)展 ACLs配置擴(kuò)展配置擴(kuò)展 ACL 的操作步驟與配置標(biāo)準(zhǔn)的操作步驟與配置標(biāo)準(zhǔn) ACL 的步驟相同的步驟相同 首先創(chuàng)建擴(kuò)展首先創(chuàng)建擴(kuò)展 ACL，然后在接口上，然后在接口上應(yīng)用應(yīng)用它它. 13配置擴(kuò)展配置擴(kuò)展 ACLs14創(chuàng)建命名擴(kuò)展創(chuàng)建命名擴(kuò)展 ACLs1.進(jìn)入全局配置模式，使用進(jìn)入全局配置模式，使用 ip access-list extendedname 命令創(chuàng)建命名命令創(chuàng)建命名 ACL. 2.在命名在命名 ACL 配置模式中，指定您望允許或配置模式中，指定

7、您望允許或拒絕的條件拒絕的條件.3.應(yīng)用應(yīng)用ACL. 4.返回特權(quán)執(zhí)行模式，并使用返回特權(quán)執(zhí)行模式，并使用 show access-lists number | name 命令檢驗(yàn)命令檢驗(yàn) ACL.15每個(gè)每個(gè) ACL 都應(yīng)該放置在最能發(fā)揮作用的位置。基本的規(guī)則是：都應(yīng)該放置在最能發(fā)揮作用的位置?；镜囊?guī)則是： 將擴(kuò)展將擴(kuò)展 ACL 盡可能靠近要拒絕流量的源。這樣，才能在不需要的流量盡可能靠近要拒絕流量的源。這樣，才能在不需要的流量流經(jīng)網(wǎng)絡(luò)之前將其過濾掉流經(jīng)網(wǎng)絡(luò)之前將其過濾掉. 因?yàn)闃?biāo)準(zhǔn)因?yàn)闃?biāo)準(zhǔn) ACL 不會(huì)指定目的地址，所以其位置應(yīng)該盡可能靠近目的地不會(huì)指定目的地址，所以其位置應(yīng)該盡可能靠近目的地. E0E0E1S0S1S0S1E0E0放置放置ACL位置位置16ACL 3P原則原則 每種協(xié)議一個(gè) ACL - 要控制接口上的流量，必須為接口上啟用的每種協(xié)議定義相應(yīng)的 ACL。 每個(gè)方向一個(gè) ACL - 一個(gè) ACL 只能控制接口上一個(gè)方向的流量。要控制入站流量和出站流量，必須分別定義兩個(gè) ACL。 每個(gè)接口一個(gè) ACL - 一個(gè) ACL 只能控制一個(gè)接口（例如 GigabitEthernet 0/0）上的流量。17標(biāo)準(zhǔn)標(biāo)準(zhǔn)ACL與擴(kuò)展與擴(kuò)展ACL比較比較標(biāo)準(zhǔn)（標(biāo)準(zhǔn)（Standard）擴(kuò)展（擴(kuò)展（Extend