TCPIP路由交換技術(shù)-用訪問控制列表管理數(shù)據(jù)流

用訪問控制列表管理數(shù)據(jù)流課程議題經(jīng)過本章的學(xué)習(xí)，你可以獲得以下收獲：了解ACL的概念，及其作用了解ACL的工作原理和過程掌握ACL的基本配置，實(shí)現(xiàn)對(duì)數(shù)據(jù)流的控制學(xué)習(xí)目標(biāo)12.1

ACL基本原理Internet什么是ACL?ACL（訪問控制列表）定義：當(dāng)網(wǎng)絡(luò)流量不斷增長的時(shí)候，對(duì)數(shù)據(jù)流進(jìn)行管理和限制的方法作為通用判別標(biāo)準(zhǔn)應(yīng)用到不同場合ACL的使用場合哪些場合需要使用ACL？允許或禁止對(duì)路由器或來自路由器的telnet訪問QOS與隊(duì)列技術(shù)策略路由數(shù)據(jù)速率限制路由策略端口流鏡像NAT……

數(shù)據(jù)包出接口數(shù)據(jù)包入接口ACL處理過程允許?源地址、目的地址協(xié)議ACL的分類(1)標(biāo)準(zhǔn)ACL僅以源IP地址作為過濾標(biāo)準(zhǔn)只能粗略的限制某一大類協(xié)議擴(kuò)展ACL以源IP地址、目的IP地址、TCP/UDP源端口號(hào)、TCP/UDP目的端口號(hào)、ICMP類型、ICMPCode、DSCP（DiffServCodePoint）、ToS、Precedence作為過濾標(biāo)準(zhǔn)，可以精確的限制到某一種具體的協(xié)議

數(shù)據(jù)包出接口數(shù)據(jù)包入接口ACL處理過程允許?源地址、目的地址協(xié)議ACL的分類(２)二層ACL源MAC地址、目的MAC地址、源VLANID、二層以太網(wǎng)協(xié)議類型、802.1p優(yōu)先級(jí)值進(jìn)行匹配?；旌螦CL對(duì)源MAC地址、目的MAC地址、源VLANID、源IP地址、目的IP地址、TCP源端口號(hào)、TCP目的端口號(hào)、UDP源端口號(hào)、UDP目的端口號(hào)進(jìn)行匹配。12.2

ACL的工作流程否是丟棄處理選擇出接口

否ACL?路由表?數(shù)據(jù)包出接口ACL如何工作數(shù)據(jù)包入接口數(shù)據(jù)包出接口否是丟棄處理選擇接口

路由表?否ACL匹配控制允許?是ACL如何工作ACL?是數(shù)據(jù)包入接口數(shù)據(jù)包出接口否是丟棄處理選擇接口

路由表?否ACL匹配控制允許?是ACL如何工作ACL?是數(shù)據(jù)包入接口否ACL的匹配順序ACL內(nèi)部處理具體過程：丟棄處理是目的接口拒絕拒絕是匹配第一條規(guī)則?允許ACL的匹配順序ACL內(nèi)部處理具體過程：丟棄處理是目的接口是匹配第一條規(guī)則?否下一條?是是拒絕拒絕拒絕允許允許ACL的匹配順序ACL內(nèi)部處理具體過程：丟棄處理是目的接口是匹配第一條規(guī)則?否匹配下一條?匹配最后一條?是是否是是拒絕拒絕拒絕拒絕允許允許允許ACL的匹配順序ACL內(nèi)部處理具體過程：丟棄處理是目的接口是匹配第一條規(guī)則?否匹配下一條?匹配最后一條?是是否是是**說明：當(dāng)ACL的最后一條不匹配時(shí)，系統(tǒng)使用隱含的“丟棄全部”進(jìn)行處理！拒絕拒絕拒絕拒絕允許允許允許否目的IP地址源IP地址協(xié)議號(hào)目的端口段(如TCP報(bào)頭)數(shù)據(jù)數(shù)據(jù)包(IP報(bào)頭)幀報(bào)頭(如HDLC)

使用ACL檢測數(shù)據(jù)包拒絕允許ACL的判別依據(jù)－五元組源端口12.３在什么地方配置ACLACL的應(yīng)用對(duì)于標(biāo)準(zhǔn)ACL，由于它只能過濾源IP，為了不影響源主機(jī)的通信，一般我們將標(biāo)準(zhǔn)ACL放在離目的端比較近的地方；擴(kuò)展ACL可以精確的定位某一類的數(shù)據(jù)流，為了不讓無用的流量占據(jù)網(wǎng)絡(luò)帶寬，一般我們將擴(kuò)展ACL放在離源端比較近的地方。

ACL配置規(guī)則

1.ACL語句執(zhí)行順序2.隱含的拒絕所有的條目3.ACL可應(yīng)用于IP接口或某種服務(wù)4.ACL配置順序5.ACL的應(yīng)用6.ACL的方向反掩碼（通配符的作用）0代表對(duì)應(yīng)位必須與前面的地址相應(yīng)位一致1代表對(duì)應(yīng)位可以是任意值donotcheckaddress

(ignorebitsinoctet)=001111111286432168421=00000000=00001111=11111100=11111111ignorelast6addressbitscheckalladdressbits(matchall)ignorelast4addressbitschecklast2addressbitsExamples9

(匹配所有32位)Wildcardmask:匹配特定主機(jī)地址匹配條件:匹配所有32位地址----主機(jī)地址55意為接受所有地址可簡寫為any

55(忽略所有位的比較)AnyIPaddress通配符:匹配任意地址匹配條件:匹配任意地址（任意地址都被認(rèn)為符合條件）指定特定地址范圍172.30.16.0/24到172.30.31.0/24172.30.16.0

00010000通配符: 00001111 |<-------

匹配

------->|<-----忽略----->|

00010000 = 16

00010001 = 17

00010010 = 18 : :

00011111 = 31地址與通配符如下55匹配特定子網(wǎng)ACL的規(guī)則總結(jié)思考：我們應(yīng)該按照怎樣一個(gè)順序配置ACL按照由上到下的順序執(zhí)行，找到第一個(gè)匹配后既執(zhí)行相應(yīng)的操作（然后跳出ACL）每條ACL的末尾隱含一條denyany的規(guī)則ACL可應(yīng)用于某個(gè)具體的IP接口的出方向或入方向ACL可應(yīng)用于系統(tǒng)的某種特定的服務(wù)（如針對(duì)設(shè)備的TELNET）在引用ACL之前，要首先創(chuàng)建好ACL對(duì)于一個(gè)協(xié)議，一個(gè)接口的一個(gè)方向上同一時(shí)間內(nèi)只能設(shè)置一個(gè)ACL12.４ＡＣＬ配置步驟2:設(shè)置判斷標(biāo)準(zhǔn)語句(一個(gè)ACL可由多個(gè)語句組成){deny|permit}{source[source-wildcard]|any}Router(config-std-nacl)#ACL配置步驟(基本ACL)3:將ACL應(yīng)用到接口上ipaccess-group{<access-list-number>|<name>}in

Router(config-if)#IPaccess-list-number范圍1-991:進(jìn)入基本ACL配置模式

ip

access-list

standard

{<access-list-number>|<name>}Router(config)#2:設(shè)置判斷標(biāo)準(zhǔn)語句(一個(gè)ACL可由多個(gè)語句組成){permit|deny}協(xié)議類型

{<source><source-wildcard>|any}{<dest><dest-wildcard>|any}Router(config-ext-nacl)#ACL配置步驟(擴(kuò)展ACL)3:將ACL應(yīng)用到接口上ipaccess-group<access-list-number>in

Router(config-if)#IPaccess-list-number范圍100-1991:進(jìn)入擴(kuò)展

ACL配置模式

ipaccess-listextended{<access-list-number>|<name>}Router(config)#ACL的訪問表號(hào)每個(gè)ACL都有一個(gè)用以識(shí)別的訪問表號(hào)，它是一個(gè)數(shù)字，不同類型ACL的訪問表號(hào)范圍如下： 基本ACL：1~99 擴(kuò)展ACL：100~199 二層ACL：200~299 混合ACL：300~349每個(gè)ACL中的規(guī)則最多為100條，規(guī)則號(hào)范圍1~100。3Fei_3/1Fei_1/1非網(wǎng)段只允許兩邊的網(wǎng)絡(luò)互相訪問Router(config)#ipaccess-liststandard

1Router(config-std-nacl)#permit

55Router(config)#interfaceFei_1/1Router(config-if)#ipaccess-group

1

outFei_2/1標(biāo)準(zhǔn)ACL配置實(shí)例－－控制telnet訪問!!只允許

網(wǎng)段中的主機(jī)才能對(duì)路由器進(jìn)行telnet訪問Router(config)#ipaccess-liststandard

12Router(config-std-nacl)#permit

55Router(config)#linevty

04Router(config-line)#access-class

12

in/24網(wǎng)段我只接受來自/24的telnet訪問！/24網(wǎng)段telnet/24網(wǎng)段INTERNET2:設(shè)置判斷標(biāo)準(zhǔn)語句(一個(gè)ACL可由多個(gè)語句組成){permit|deny}協(xié)議類型

{<source><source-wildcard>|any}{<dest><dest-wildcard>|any}Router(config-ext-nacl)#ACL配置步驟(擴(kuò)展ACL)3:將ACL應(yīng)用到接口上ipaccess-group<access-list-number>in

Router(config-if)#IPaccess-list-number范圍100-1991:進(jìn)入擴(kuò)展

ACL配置模式

ipaccess-listextended{<access-list-number>|<name>}Router(config)#擴(kuò)展ACL的配置實(shí)例1拒絕從子網(wǎng)

到子網(wǎng)

通過fei_1/1口進(jìn)去的FTP訪問允許其他所有流量3Fei_3/1Router(config)#ipaccess-liststandard

101Router(config-ext-nacl)#denytcp

5555

Eq

ftpRouter(config-ext-nacl)#permit

ip

anyany

Router(config)#interface

fei_2/1Router(config-if)#ipaccess-group

101

out

非網(wǎng)段Fei_1/1Fei_2/1ACL配置原則ACL語句的順序很關(guān)鍵

ACL按照由上到下的順序執(zhí)行，找到一個(gè)匹配語句后既執(zhí)行相應(yīng)的操作，然后跳出ACL而不會(huì)繼續(xù)匹配下面的語句。所以配置ACL語句的順序非常關(guān)鍵！

自上到下的處理順序具體的判別條目應(yīng)放置在前面標(biāo)準(zhǔn)ACL可以自動(dòng)排序：主機(jī)網(wǎng)段any隱含的拒絕所有的條目除非最后有明確的允許語句，否則最終拒絕所有流量，所以ACL中必須有允許條目存在，否則一切流量被拒絕查看某物理端口是否應(yīng)用了ACL

：命令格式：showinterface<port-name>命令模式：特權(quán)模式命令功能：顯示以太網(wǎng)端口配置信息查看ACL的內(nèi)容顯示所有或指定表號(hào)的ACL的內(nèi)容：命令格式：showipaccess-lists[<

access-lists-number>|<name