访问控制列表ppt课件.ppt

《访问控制列表ppt课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、访问控制列表AccessingtheWAN–Chapter5目标了解如何使用ACL来保护中型企业的分支机构网络.在中型企业的分支机构网络中配置标准ACL.在中型企业的分支机构网络中配置扩展ACL.描述中型企业的分支机构网络中复杂ACL.ACLs在中型企业的分支机构网络中的应用检测及故障排除.目录5.1使用ACLs保护网络5.2配置标准ACLs5.3配置扩展ACLs5.4配置复杂ACLs5.5章节实验5.1使用ACLs保护网络什么是ACL?ACL是一种路由器配置脚本，它根据从数据包报头中发现的条件来控制路由器应该允许还是拒绝数据包通过.5.1

2、.2数据包过滤当数据包到达过滤数据包的路由器时，路由器会从数据包报头中提取某些信息，根据过滤规则决定该数据包是应该通过还是应该丢弃.ACL可以从数据包报头中提取以下信息，根据规则进行测试，然后决定是“允许”还是“拒绝”：源IP地址目的IP地址ACL也可以提取上层信息并根据规则对其进行测试。上层信息包括：TCP/UDP源端口TCP/UDP目的端口5.1.2数据包过滤在本场景中，数据包过滤器按如下方式检查每个数据包：如果来自网络A的TCPSYN数据包使用端口80，则允许其通过。但会拒绝用户的所有其它访问。如果来自网络B的TCPSYN数据包使用端

3、口80，则阻止该数据包。但会允许用户的所有其它访问。5.1.3什么是ACL?3P原则每种协议一个ACL要控制接口上的流量，必须为接口上启用的每种协议定义相应的ACL。每个方向一个ACL一个ACL只能控制接口上一个方向的流量。要控制入站流量和出站流量，必须分别定义两个ACL。每个接口一个ACL一个ACL只能控制一个接口（例如快速以太网0/0）上的流量。5.1.4ACL工作原理隐含的“拒绝所有流量”条件语句ACL及路由器上的路由和ACL过程5.1.5CiscoACLs的类型有两类CiscoACLs,标准的和扩展的.标准ACLs:标准ACL根据源

4、IP地址允许或拒绝流量.扩展ACLs:扩展ACL根据多种属性.5.1.7编号ACL和命名ACLs从CiscoIOS11.2版开始，您可以使用名称来标识CiscoACL.编号200到1299已由其它协议使用.例如，AppleTalk使用编号600到699，而IPX使用编号800到899.5.2配置标准ACLs5.2.1配置标准ACL标准ACL命令的完整语法如下:Router(config)#access-listaccess-list-numberdeny/permitremarksource[source-wildcard][log]5.2

5、.1配置标准ACL在图中，路由器会检查进入Fa0/0的数据包的源地址:access-list2deny192.168.10.1access-list2permit192.168.10.00.0.0.255access-list2deny192.168.0.00.0.255.255access-list2permit192.0.0.00.255.255.2555.2.2输入条件语句值得注意:您应该将最频繁使用的ACL条目放在列表顶部.您必须在ACL中至少包含一条permit语句，否则所有流量都会被阻止.Forexample,图中的两个ACL（

6、101和102）具有相同的效果.5.2.3ACL通配符掩码通配符掩码使用以下规则匹配二进制1和0:通配符掩码位0—匹配地址中对应位的值通配符掩码位1—忽略地址中对应位的值5.2.3ACL通配符掩码Wildcard和SubnetMask的关系：反掩码5.2.3ACL通配符掩码any和host关键字5.2.4将标准ACLs应用到接口配置标准ACL之后，可以使用ipaccess-group命令将其关联到接口:Router(config-if)#ipaccess-group{access-list-number

7、access-list-name}{

8、in

9、out}5.2.4将标准ACLs应用到接口Example1:允许单个网络的ACL示例.Example2:查看拒绝特定主机的ACL示例.Example3:查看拒绝特定子网的ACL示例.5.2.4将标准ACLs应用到接口使用ACL控制VTY访问：access-class命令的语法是:access-classaccess-list-number{in[vrf-also]

10、out}5.2.5编辑编号ACLs您无法选择性地插入或删除语句行.强烈推荐您在文本编辑器（例如，Microsoft记事本）中创建ACL.5.2.5编辑编号ACLs对ACL添

11、加注释：5.2.6创见标准命名ACLs图中显示了创建标准命名ACL的步骤.Step1.进入全局配置模式，使用ipaccess-list命令创建命名ACL。ACL名称是字母数字，必