CCNA2010 IP访问控制列表ACL

《CCNA2010 IP访问控制列表ACL》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、用访问列表初步管理IP流量合理的矛盾:在网络设计中，如何为用户合理分配流量，又能提供安全有效的网络管理，是一个具有挑战性的难题！172.16.0.0172.17.0.0Internet管理网络中逐步增长的IP数据当数据通过路由器时进行过滤为什么要使用访问列表访问列表的应用允许、拒绝数据包通过路由器允许、拒绝Telnet会话的建立虚拟会话(IP)端口上的数据传输标准检查源地址通常允许、拒绝的是完整的协议扩展检查源地址和目的地址通常允许、拒绝的是某个特定的协议进方向和出方向OutgoingPacketE0S0Inc

2、omingPacketAccessListProcessesPermit?SourceandDestinationProtocol什么是访问列表NotifySender出端口方向上的访问列表如果没有匹配的ACL就丢弃数据包NY垃圾桶ChooseInterfaceRoutingTableEntry?没有ACL有ACLTestAccessListStatementsPermit?YAccessList?DiscardPacketNOutboundInterfacesPacketPacketS0E0Inbo

3、undInterfacePackets访问列表的测试：允许和拒绝PacketstoInterface(s)intheAccessGroup垃圾桶Y目的端口DenyYMatchFirstTest?PermitNDenyPermitMatchNextTest(s)?DenyMatchLastTest?YYNYYPermitImplicitDenyIfnomatchdenyallDenyNStep1:设置访问列表测试语句的参数Router(config)#Step2:在端口上应用访问列表{protocol}acc

4、ess-group标号{in

5、out}Router(config-if)#访问列表设置命令IP访问列表的标号为1-99和100-199access-list标号{permit

6、deny}{testconditions}编号范围IP1-99100-199Name(CiscoIOS11.2andlater)800-899900-9991000-1099Name(CiscoIOS11.2.Fandlater)StandardExtendedSAPfiltersNamedStandardExtendedNamed访问列

7、表类型IPX如何识别访问列表标准访问列表(1to99)检查IP数据包的源地址扩展访问列表(100to199)检查源地址和目的地址、具体的TCP/IP协议和目的端口其它访问列表编号范围表示不同协议的访问列表例如172.30.16.290.0.0.0检查所有的地址位可以简写为host(host172.30.16.29)Testconditions:Checkalltheaddressbits(matchall)172.30.16.290.0.0.0(checksallbits)AnIPhostaddress,for

8、example:Wildcardmask:通配符掩码指明特定的主机0表示检查与之对应的地址位的值1表示忽略与之对应的地址位的值donotcheckaddress(ignorebitsinoctet)=001111111286432168421=00000000=00001111=11111100=11111111Octetbitpositionandaddressvalueforbitignorelast6addressbitscheckalladdressbits(matchall)ignorelast4a

9、ddressbitschecklast2addressbitsExamples通配符：如何检查相应的地址位所有主机:0.0.0.0255.255.255.255可以用any简写Testconditions:Ignorealltheaddressbits(matchany)0.0.0.0255.255.255.255(ignoreall)AnyIPaddressWildcardmask:通配符掩码指明所有主机CheckforIPsubnets172.30.16.0/24to172.30.31.0/24Networ

10、k.host172.30.16.000010000Wildcardmask:00001111

11、<----匹配---->

12、<-----忽略----->

13、00010000=1600010001=1700010010=18::00011111=31Addressandwildcardmask:172.30.16.00.0.15.255通配符掩码和IP子网的对应access-listacces