讲课CCNA_访问控制列表ppt课件.ppt

《讲课CCNA_访问控制列表ppt课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、访问控制列表AccessingtheWAN–Chapter5目标在中型企业的分支机构网络中配置标准ACL.在中型企业的分支机构网络中配置扩展ACL.5.1使用ACLs保护网络5.1.1TCP会话ACL使您能够控制进出网络的流量.ACLs可以将ACL配置为根据使用的TCP和UDP端口来控制网络流量.5.1.1TCP会话PortNumbers5.1.2数据包过滤当数据包到达过滤数据包的路由器时，路由器会从数据包报头中提取某些信息，根据过滤规则决定该数据包是应该通过还是应该丢弃.ACL可以从数据包报头中提取以下信

2、息，根据规则进行测试，然后决定是“允许”还是“拒绝”：源IP地址目的IP地址ICMP消息类型ACL也可以提取上层信息并根据规则对其进行测试。上层信息包括：TCP/UDP源端口TCP/UDP目的端口5.1.2数据包过滤在本场景中，数据包过滤器按如下方式检查每个数据包：如果来自网络A的TCPSYN数据包使用端口80，则允许其通过。但会拒绝用户的所有其它访问。如果来自网络B的TCPSYN数据包使用端口80，则阻止该数据包。但会允许用户的所有其它访问。什么是ACL?ACL是一种路由器配置脚本，它根据从数据包报头中发

3、现的条件来控制路由器应该允许还是拒绝数据包通过.ACL执行以下任务:限制网络流量以提高网络性能.提供流量控制。ACL可以限制路由更新的传输.提供基本的网络访问安全性。ACL可以允许一台主机访问部分网络，同时阻止其它主机访问同一区域。决定在路由器接口上转发或阻止哪些类型的流量。控制客户端可以访问网络中的哪些区域。屏蔽主机以允许或拒绝对网络服务的访问。ACL可以允许或拒绝用户访问特定文件类型，例如FTP或HTTP.5.1.3什么是ACL?3P原则每种协议一个ACL要控制接口上的流量，必须为接口上启用的每种协议定

4、义相应的ACL。每个方向一个ACL一个ACL只能控制接口上一个方向的流量。要控制入站流量和出站流量，必须分别定义两个ACL。每个接口一个ACL一个ACL只能控制一个接口（例如快速以太网0/0）上的流量。5.1.4ACL工作原理ACL工作原理ACL要么配置用于入站流量，要么用于出站流量.入站ACL传入数据包经过处理之后才会被路由到出站接口。入站ACL非常高效，如果数据包被丢弃，则节省了执行路由查找的开销。当测试表明应允许该数据包后，路由器才会处理路由工作.出站ACL传入数据包路由到出站接口后，由出站ACL进行

5、处理.5.1.4ACL工作原理隐含的“拒绝所有流量”条件语句ACL及路由器上的路由和ACL过程5.1.5CiscoACLs的类型有两类CiscoACLs,标准的和扩展的.标准ACLs:标准ACL根据源IP地址允许或拒绝流量.扩展ACLs:扩展ACL根据多种属性.5.1.7编号ACL和命名ACLs从CiscoIOS11.2版开始，您可以使用名称来标识CiscoACL.编号200到1299已由其它协议使用.例如，AppleTalk使用编号600到699，而IPX使用编号800到899.5.1.8ACLs的放置位

6、置每个ACL都应该放置在最能发挥作用的位置。基本的规则是：将扩展ACL尽可能靠近要拒绝流量的源。这样，才能在不需要的流量流经网络之前将其过滤掉.因为标准ACL不会指定目的地址，所以其位置应该尽可能靠近目的地.5.2配置标准ACLs5.2.1输入条件语句值得注意:您应该将最频繁使用的ACL条目放在列表顶部.您必须在ACL中至少包含一条permit语句，否则所有流量都会被阻止.Forexample,图中的两个ACL（101和102）具有相同的效果.5.2.2配置标准ACL在图中，路由器会检查进入Fa0/0的数据

7、包的源地址:access-list2deny192.168.10.1access-list2permit192.168.10.00.0.0.255access-list2deny192.168.0.00.0.255.255access-list2permit192.0.0.00.255.255.2555.2.2配置标准ACL标准ACL命令的完整语法如下:Router(config)#access-listaccess-list-numberdeny/permitremarksource[source-wil

8、dcard][log]5.2.3ACL通配符掩码通配符掩码使用以下规则匹配二进制1和0:通配符掩码位0—匹配地址中对应位的值通配符掩码位1—忽略地址中对应位的值5.2.3ACL通配符掩码Wildcard和SubnetMask的关系：反掩码5.2.3ACL通配符掩码any和host关键字5.2.4将标准ACLs应用到接口配置标准ACL之后，可以使用ipaccess-group命令将其关联到接口:Router(con