使用访问控制列表.ppt

《使用访问控制列表.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第7章使用访问控制列表实现IP信息管理本章目标了解访问控制列表的基本知识计算通配符掩码配置IP标准访问控制列表配置IP扩展访问控制列表控制VTY访问控制用NAT和PAT扩展网络7.1访问控制列表7.1.1什么是访问列表OutgoingPacketE0S0IncomingPacketAccessListProcessesPermit?SourceandDestinationProtocol标准的检验源地址一般允许或者禁止整个协议栈扩展的检查源和目的地址通常允许或者禁止某个具体的协议访问控制列表要绑定到路由器的接口的输入或输出方向上7.1.2为什么使用访问列表1

2、72.16.0.0172.17.0.0Internet管理IP网络资源过滤通过路由器的数据包7.1.3访问控制列表的类型标准型访问控制列表扩展型访问控制列表7.2如何操作访问控制列表7.2.1访问列表作用方向入站访问列表出站访问列表7.2.2访问控制列表的作用允许或者阻止某些通过路由器的包允许或禁止远程登录到路由器没有访问控制列表所有的包将通过路由器Virtualterminallineaccess(IP)Transmissionofpacketsonaninterface7.2.2访问控制列表的作用（续）路由过滤RoutingTableQueueList优

3、先极和定制队列的应用按需拨号路由访问控制列表的应用很广7.2.3出站访问列表NotifySender如果没有匹配的访问控制列表，将丢弃这个包NY包丢弃桶ChooseInterfaceRoutingTableEntry?NYTestAccessListStatementsPermit?YAccessList?DiscardPacketNOutboundInterfacesPacketPacketS0E0InboundInterfacePackets7.2.4测试清单：拒绝或允许进入端口的包包丢弃桶Y接口目的地DenyYMatchFirstTest?Per

4、mitNDenyPermitMatchNextTest(s)?DenyMatchLastTest?YYNYYPermitImplicitDeny如果不匹配所有的规则，则丢弃DenyN7.3访问列表配置指南访问控制列表的编号标明哪个协议是被过滤的每个接口，每个协议，每个方向上可以有一个访问控制列表访问控制列表的顺序决定被检验的顺序最特殊的规则应该被放到访问控制列表的前面在访问控制列表的最后有隐含的规则“禁止所有的”访问控制列表应绑定到端口上访问控制列表过滤通过路由器的包；但是不能过滤由路由器自身产生的包7.3.1如何标识访问列表号码范围/标志IP1-99100-

5、199Name(CiscoIOS11.2andlater)800-899900-9991000-1099Name(CiscoIOS11.2.Fandlater)标准的扩展的SAP过滤的名字的标准的扩展的名字的访问控制列表类型IPX标准的访问控制列表(1to99)检验所有从源地址产生的IP包扩展访问控制列表(100to199)检验源和目的地址，具体的TCP/IP协议和目的端口其他的访问控制列表检验其他的网络协议7.3.2配置IP访问控制列表7.3.2.1访问列表命令概述第一步：设置访问控制列表测试语句（一个列表可以由一条或多条语句组成）Router(config)

6、#第二步：在接口上启用特定的访问控制列表{protocol}access-groupaccess-list-number{in

7、out}Router(config-if)#access-listaccess-list-number{permit

8、deny}{testconditions}7.3.2.2配置标准IP访问列表access-listaccess-list-number{permit

9、deny}source[mask]Router(config)#把列表应用到端口上设置进入方向还是出去方向的检验默认的是出去方向的检验“noipaccess-groupac

10、cess-list-number”将从端口上删除这个访问控制列表Router(config-if)#ipaccess-groupaccess-list-number{in

11、out}标准的访问控制列表用1to99默认的通配符=0.0.0.0“noaccess-listaccess-list-number”删除整个访问控制列表7.3.2.2标准IP访问列表示例1只允许访问一个网段access-list1permit172.16.0.00.0.255.255(implicitdenyall-notvisibleinthelist)(access-list1deny0.

12、0.0.0255.255