ACL访问控制列表.ppt

《ACL访问控制列表.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、访问控制列表目标了解如何使用ACL来保护中型企业的分支机构网络.在中型企业的分支机构网络中配置标准ACL.在中型企业的分支机构网络中配置扩展ACL.描述中型企业的分支机构网络中复杂ACL.ACLs在中型企业的分支机构网络中的应用检测及故障排除.目录使用ACLs保护网络配置标准ACLs配置扩展ACLs配置复杂ACLs使用ACLs保护网络TCP会话ACL使您能够控制进出网络的流量.ACLs可以将ACL配置为根据使用的TCP和UDP端口来控制网络流量.TCP会话PortNumbers数据包过滤当数据包到达过滤数据包的

2、路由器时，路由器会从数据包报头中提取某些信息，根据过滤规则决定该数据包是应该通过还是应该丢弃.ACL可以从数据包报头中提取以下信息，根据规则进行测试，然后决定是“允许”还是“拒绝”：源IP地址目的IP地址ICMP消息类型ACL也可以提取上层信息并根据规则对其进行测试。上层信息包括：TCP/UDP源端口TCP/UDP目的端口数据包过滤在本场景中，数据包过滤器按如下方式检查每个数据包：如果来自网络A的TCPSYN数据包使用端口80，则允许其通过。但会拒绝用户的所有其它访问。如果来自网络B的TCPSYN数据包使用端口

3、80，则阻止该数据包。但会允许用户的所有其它访问。什么是ACL?ACL是一种路由器配置脚本，它根据从数据包报头中发现的条件来控制应该允许还是拒绝数据包通过.ACL执行以下任务:限制网络流量以提高网络性能.提供流量控制。ACL可以限制路由更新的传输.提供基本的网络访问安全性。ACL可以允许一台主机访问部分网络，同时阻止其它主机访问同一区域。决定在路由器接口上转发或阻止哪些类型流量。控制客户端可以访问网络中的哪些区域。屏蔽主机以允许或拒绝对网络服务的访问。ACL可以允许或拒绝用户访问特定文件类型，例如FTP或HTT

4、P.什么是ACL?三种原则每种协议一个ACL要控制接口上的流量，必须为接口上启用的每种协议定义相应的ACL。每个方向一个ACL一个ACL只能控制接口上一个方向的流量。要控制入站流量和出站流量，必须分别定义两个ACL。每个接口一个ACL一个ACL只能控制一个接口（例如快速以太网0/0）上的流量。ACL可实现：限制网络流量以提高网络性能。例如，如果公司政策不允许在网络中传输视频流量，那么就应该配置和应用ACL以阻止视频流量。提供流量控制。ACL可以限制路由更新的传输。如果网络状况不需要更新，便可从中节约带宽。提供基

5、本的网络访问安全性。ACL可以允许一台主机访问部分网络，同时阻止其它主机访问同一区域。例如，“人力资源”网络仅限选定用户进行访问。ACL可实现：决定在路由器接口上转发或阻止哪些类型的流量。例如，ACL可以允许电子邮件流量，但阻止所有Telnet流量。控制客户端可以访问网络中的哪些区域。屏蔽主机以允许或拒绝对网络服务的访问。ACL可以允许或拒绝用户访问特定文件类型，例如FTP或HTTP。ACL工作原理入站ACL传入数据包经过处理之后才会被路由到出站接口。入站ACL非常高效，如果数据包被丢弃，则节省了执行路由查找的

6、开销。当测试表明应允许该数据包后，路由器才会处理路由工作.ACL工作原理出站ACL传入数据包路由到出站接口后，由出站ACL进行处理.ACL工作原理隐含的“拒绝所有流量”条件语句ACL及路由器上的路由和ACL过程ACLs的类型有两类CiscoACLs,标准的和扩展的.标准ACLs:标准ACL根据源IP地址允许或拒绝流量.扩展ACLs:扩展ACL根据多种属性.标准ACL的工作原理使用ACL时主要涉及以下两项任务:Step1.通过指定访问列表编号或名称以及访问条件来创建访问列表.Step2.将ACL应用到接口或终端线

7、路.编号ACL和命名ACLs编号200到1299已由其它协议使用.例如，AppleTalk使用编号600到699，而IPX使用编号800到899.ACLs的放置位置每个ACL都应该放置在最能发挥作用的位置。基本的规则是：将扩展ACL尽可能靠近要拒绝流量的源。这样，才能在不需要的流量流经网络之前将其过滤掉.因为标准ACL不会指定目的地址，所以其位置应该尽可能靠近目的地.创建ACLs的一般指导原则ACL的最佳做法配置标准ACLs输入条件语句值得注意:您应该将最频繁使用的ACL条目放在列表顶部.您必须在ACL中至少包

8、含一条permit语句，否则所有流量都会被阻止.Forexample,图中的两个ACL（101和102）具有相同的效果.配置标准ACL在图中，路由器会检查进入Fa0/0的数据包的源地址:access-list2deny192.168.10.1access-list2permit192.168.10.00.0.0.255access-list2deny192.168.0.00.0.255