16.路由器的高级功能-访问控制列表配置
标准IP访问控制列表的配置及应用
标准IP访问控制列表的配置及应用一、拓扑结构图；二、访问控制列表的概念；1．访问控制列表(Access Control List，ACL)是应用在路由器（或三层交换机）端口上的控制列表。
ACL可以允许（permit）或拒绝（deny）进入或离开路由器的数据包（分组），通过设置可以允许或拒绝网络用户使用路由器的某些端口，对网络系统起到安全保护作用。
访问控制列表（ACL）实际上是一系列允许和拒绝匹配准则的集合。
2．IP访问控制列表可以分为两大类：标准IP访问控制列表，只对数据包的源IP地址进行检查。
其列表号为1~99或者1300~1999。
扩展IP访问控制列表，对数据包的源和目标IP地址、源和目标端口号等进行检查，可以允许或拒绝部分协议。
其列表号为100~199或2000~2699。
3．访问控制列表对每个数据包都以自上向下的顺序进行匹配。
如果数据包满足第一个匹配条件，那么路由器就按照该条语句所规定的动作决定是拒绝还是允许；如果数据包不满足第一个匹配条件，则继续检测列表的下一条语句，以此类推。
数据包在访问控制列表中一旦出现了匹配，那么相应的操作就会被执行，并且对此数据包的检测到此为止。
后面的语句不可能推翻前面的语句，因此访问控制列表的过滤规则的放置顺序是很讲究的，不同的放置顺序会带来不同的效果。
三、技术原理；假设某公司的经理部，销售部和财务部分别属于不同的网段，出于安全考虑，公司要求经理部的网络可以访问财务部，而销售部无法访问财务部的网络，其他网络之间都可以实现互访。
访问控制列表一般是布局于需要保护的网络与其他网络联接的路由器中，即为距离被保护网络最接近的路由器上。
配置标准IP访问控制列表：1.定义标准IP访问控制列表；Router (config)#access-list access-list-number deny/permit source-address source-wildcard/*source-wildcard为数据包源地址的通配符掩码。
如何设置路由器的访问控制
如何设置路由器的访问控制路由器的访问控制是一种网络安全技术，可用于管理网络中的设备和用户的访问权限。
对于拥有多台设备和家庭网络的用户来说，设置访问控制是很重要的，因为它可以保护用户隐私和安全。
本文将介绍路由器的访问控制，并指导您如何设置路由器的访问控制。
第一部分：什么是路由器的访问控制路由器的访问控制是一种网络安全技术，可以控制设备和用户在网络中的访问权限。
它可以保护用户免受网络攻击和黑客的侵害。
通过设置访问控制列表，可以防止未经授权的用户访问网络，从而保护您的机密信息和数据。
此外，访问控制还可以管理网络中各种设备的流量，优化网络性能。
第二部分：为什么需要路由器的访问控制在家庭网络中，通常有多个设备需要连接到网络，包括智能手机、平板电脑、电视、音乐播放器等等。
如果不禁止未授权的用户访问网络，黑客和其他恶意用户可能会利用这些漏洞入侵网络，盗取您的私人信息和数据。
访问控制可以确保只有授权用户可以访问网络，保护您的网络不受攻击和侵入。
第三部分：如何设置路由器的访问控制要设置路由器的访问控制，您需要按照以下步骤操作：1. 打开您的网络浏览器，并在地址栏中输入您的路由器的IP 地址。
2. 输入您的路由器的用户名和密码。
如果您还没有更改过默认密码，则可以在路由器的手册中找到它们。
3. 找到“访问控制”选项，并单击它。
4. 启用访问控制。
5. 创建访问控制列表。
6. 添加您的设备和用户，并分配必要的权限。
7. 保存设置并退出。
第四部分：如何管理访问控制在启用访问控制后，您需要进行管理以确保网络的安全。
以下是一些推荐的管理步骤：1. 周期性地检查您的访问控制列表，确保只有授权用户可以连接到网络。
2. 增加访问控制列表中的用户或设备，并在需要时分配访问权限。
3. 修改访问控制列表中的权限，以确保特定用户只能访问必要的网络资源。
4. 确保您的路由器软件保持更新，以防止潜在的漏洞和网络攻击。
第五部分：如何保护您的网络除了启用访问控制之外，还有其他一些措施可以保护您的网络：1. 使用强密码来保护您的路由器和其他网络设备。
路由器访问控制列表(ACL)
从PC0访问服务器210.31.224.11上运行的Telnet服务，无法访问
从PC2访问服务器210.31.224.11上运行的Telnet服务
从PC0访问服务器210.31.224.11上运行的WWW服务，结果正常
从PC2访问服务器210.31.224.11上运行的WWW服务，结果正常
access-list 101 deny ip any any
除以上语句规定外的所有数据包都被被禁止（丢弃）。
interface FastEthernet0/0
进入接口配置模式。
ip access-group 101 out
定义访问控制组命令，将定义好的101号访问控制列表应用到路由器Router1的以太网接口FastEthernet0/0，对输出的数据包进行过滤。
允许源自210.31.255.0／24网段的、以TCP协议方式访问服务器210.31.224.11上运行的Telnet服务。
access-list 101 permit tcp 210.31.226.00.0.0.255 host 210.31.224.11 eq WWW
或：access-list 101 permit tcp 210.31.255.00.0.0.255 host 210.31.224.11 eq 80
8、在Router0的全局配置模式下输入访问控制列表命令：access-list 1 deny any，禁止所有其他主机。
9、在Router0的全局配置模式下输入命令：int f0/0，进入接口配置模式下。
10、在Router0的接口配置模式下输入访问控制组命令：ip access-group1 in，设置在接口FastEthernet0/0的入站方向按1号访问控制列表对数据包进行过滤。
如何设置路由器访问控制
如何设置路由器访问控制路由器访问控制指的是一种通过控制设备与网络之间的访问来保护网络安全的技术。
在安装和配置路由器后，为了保护网络免受潜在威胁，管理员应启用访问控制。
在本文中，我们将介绍如何设置路由器的访问控制。
第一步：登陆路由器要使用路由器的访问控制功能，首先需要登录路由器的控制面板。
路由器的管理界面通常可以通过在浏览器中输入路由器的IP地址进行访问。
找到路由器IP地址的方法是查看路由器文档中的配置说明或在计算机中执行ipconfig命令。
第二步：打开访问控制面板登录路由器控制面板后，找到访问控制选项。
通常可以在“高级设置”或“安全性”等菜单下找到访问控制选项。
根据路由器型号和版本，具体名称可能会有所不同。
鼠标单击该选项以打开访问控制面板。
第三步：启用访问控制在访问控制面板中，启用访问控制。
该选项通常可以通过设置移动到“开”位置来启用。
要启用访问控制，还需要设置白名单或黑名单。
第四步：设置白名单或黑名单如果要设置白名单，只有列出的设备才能访问路由器和网络。
要设置黑名单，则列出的设备将被禁止访问路由器和网络。
根据需求选择白名单或黑名单，并在设置列表中添加设备。
可以按设备到达时间、IP地址或MAC地址来添加设备。
第五步：保存设置完成名单的设置后，单击“保存”以应用更改。
此时，访问控制已设置完成，路由器将按白名单或黑名单控制网络设备的访问。
总结通过启用访问控制并设置白名单或黑名单，可以提高家庭和企业网络的安全性。
使用路由器的访问控制功能，可以很容易地控制设备的访问，确保网络只受信任设备连接。
通过上述步骤，您可以在几分钟内轻松完成访问控制设置。
访问控制列表(ACL)总结配置与应用
三、 命名访问控制列表
命名访问控制列表允许在标准和扩展访问控制列表中使用名称代替表号。 1、 命名访问控制列表的配置 Router(config)#ip access-list {standard | extended} access-list-name
扩展 ACL 配置实例
如图：配置允许主机 PC 访问 WEB 服务的 WWW 服务，而禁止主机 PC 访问 WEB 的其他 服务。
1、 分析哪个接口应用标准 ACL
应用在入站还是出站接口。 与标准 ACL 一样，应该尽量把 ACl 应用到入站方向
应用在哪台路由器上。 由于扩展 ACL 可以根据源 IP 地址。目的 IP 地址、指定协议、端口等过滤数据包，
3、 将 ACL 应用于接口
创建 ACL 后，只有将 ACL 应用于接口，ACL 才会生效。 Router(config)#ip access-group access-list-number {in | out }
参数 in|out 用来指示该 ACL 是应用到入站接口（in），还是初战接口（out）。 在接口上取消 ACL 的应用 Router（config）#no ip access-group acess-list-number (in | out)
access-llist-number：访问控制列表表号，对于扩展 ACL 来书是 100-199； permit | deny：如果满足条件，则允许|拒绝该流量； protocol：用于指定协议类型，如 IP、TCP、UDP、ICMP 等； source、destination：源和目的，分别用来表示源地址和目的地址； source-wildcard、destination-wildcard：反码。源地址和目标地址的反码； operator operan：lt（小于）、gt（大于）、eq（等于）、neq（不等于）和一个 端口。
在路由器上配置访问控制列表
络 系 统 的 运 行 情 况 而 自动 调 整 的 路 径 表 。 路 由 器 根 据 路 表 由选 择 协 议 （ ｏ ｔ ｎ Ｐ ｏ Ｏ ０ ） 提 供 功 能 ， 自动 学 Ｒ ｕ ｉｇ ｒ ｔ Ｃ １ 习 和 记 忆 网 络 运 行 情 况 ， 在 需 要 时 自动 计 算 数 据 传 输 的 最 佳 路 径 。 主 要 的 动 态 路 由选 择 协 议 有 Ｒ Ｐ （ ｏ ｔ ｎ Ｉ Ｒ ｕ ｇ ｉ
的 条 件 来 决 定 、 控 制 数 据 包 的 输 入 与输 出 。 匹 配 准 则 的
路 ， 能 大 大 提 高 通 信 速 度 ， 减 轻 网 络 系 统 通 信 负 荷 ， 节 种 类 繁 多 ， 可 以 是 简 单 的 数 据 包 目标 地 址 的 单 项 目 匹 约 网 络 系 统 资 源 ，提 高 网 络 系 统 畅 通 率 ，从 而 让 网 络 系 配 ， 也 可 以 是 数 据 包 目标 地 址 、 源 地 址 、 端 口等 多 项 目
１ 访 问 控 制 列 表 （ Ｌ） ． ＡＣ 访 问控 制列 表 实际上 就是 一系 列允 许和 拒绝 匹配准 则 的集 合 。 简 单 地 说 ，就 是 利 用 这 些 准 则 来 告 诉 路 由器 哪 些 数 据 包 可 以 接 收 、哪 些 数 据 包 需 要 拒 绝 。 至 于 数 据
路 由器 来 完 成 。
路 由器 的 主 要 工 作 就 是 为 经 过 路 由器 的 每 个 数 据 帧 被 非 法 使 用 和 访 问 ， 其 次 还 可 以用 来 限制 网络 流 量 ， 提 寻 找 一 条 最 佳 传 输 路 径 ， 并 将 该 数 据 有 效 地 传 送 到 目的 高 网 络 性 能 ， 对 通 信 流 量 起 到 控 制 的 手 段 ，这 些 都 是 对
访问控制列表
访问控制列表1、访问控制列表的概念访问控制列表（Access Control List，ACL) 是路由器接口的指令列表，用来控制端口进出的数据包。
访问列表（access-list）就是一系列允许和拒绝条件的集合，通过访问列表可以过滤发进和发出的信息包的请求，实现对路由器和网络的安全控制。
路由器一个一个地检测包与访问列表的条件，在满足第一个匹配条件后，就可以决定路由器接收或拒收该包。
2、ACL的作用1）ACL可以限制网络流量、提高网络性能。
2）ACL提供对通信流量的控制手段。
3）ACL是提供网络安全访问的基本手段。
4）ACL可以在路由器端口处决定哪种类型的通信流量被转发或被阻塞。
3、ACL的分类ACL包括两种类型:1)标准访问列表：只检查包的源地址。
2)扩展访问列表：既检查包的源地址，也检查包的目的地址，也可以检查特殊的协议类型、端口以及其他参数，具有更大的自由度。
4、ACL的执行过程一个端口执行哪条ACL，这需要按照列表中的条件语句执行顺序来判断。
如果一个数据包的报头跟表中某个条件判断语句相匹配，那么后面的语句就将被忽略，不再进行检查。
数据包只有在跟第一个判断条件不匹配时，它才被交给ACL中的下一个条件判断语句进行比较。
如果匹配（假设为允许发送），则不管是第一条还是最后一条语句，数据都会立即发送到目的接口。
如果所有的ACL判断语句都检测完毕，仍没有匹配的语句出口，则该数据包将视为被拒绝而被丢弃。
5、ACL的取值范围在路由器配置中，标准ACL和扩展ACL的区别是由ACL的表号来体现的，下表指出了每种协议所允许的合法表号的取值范围。
6、正确放置ACLACL通过过滤数据包并且丢弃不希望抵达目的地的数据包来控制通信流量。
然而，网络能否有效地减少不必要的通信流量，这还要取决于网络管理员把ACL放置在哪个地方。
1）标准ACL要尽量靠近目的端。
2）扩展ACL要尽量靠近源端。
7、ACL的配置ACL的配置分为两个步骤：1）第一步:在全局配置模式下，使用下列命令创建ACL：Router (config)# access-list access-list-number {permit | deny } {test-conditions}其中，access-list-number为ACL的表号。
如何设置路由器的网络访问控制功能
如何设置路由器的网络访问控制功能随着互联网的普及和发展，路由器作为上网的入口设备已经成为家庭和办公环境中必备的设备。
为了保障网络的安全和稳定，设置路由器的网络访问控制功能是非常重要的。
本文将介绍如何设置路由器的网络访问控制功能，以帮助用户有效管理和控制网络访问。
1. 登录路由器管理界面首先，需要通过浏览器登录路由器的管理界面。
在浏览器的地址栏中输入路由器的IP地址，然后按下回车键。
输入正确的用户名和密码后，即可成功登录路由器管理界面。
2. 查找并选择网络访问控制设置在路由器管理界面上找到“网络设置”或“安全设置”等相关选项，然后点击进入网络访问控制设置页面。
不同品牌的路由器管理界面可能略有不同，但一般都会有类似的设置选项。
3. 启用网络访问控制功能在网络访问控制设置页面中，找到“开启”或“启用”网络访问控制功能的选项，并勾选相应的复选框。
有些路由器可能会将网络访问控制功能分为“启用”和“禁用”两个选项，需选择“启用”以开启该功能。
4. 添加设备或IP地址完成前述步骤后，就可以开始设置具体的访问控制规则了。
首先要确定需要进行访问控制的设备或IP地址。
可以选择手动添加设备或IP地址，也可以从已连接设备列表中选取。
5. 设置访问控制规则在添加设备或IP地址后，可以设置具体的访问控制规则。
常见的访问控制规则包括：禁止特定网站的访问、限制特定时间段的访问、限制特定端口的访问等。
根据个人需求，设置相应的规则。
可以添加多个规则，并对其进行优先级排序，以确保访问控制的灵活与准确。
6. 保存并应用设置在完成所有的访问控制规则设置后，务必点击“保存”或“应用”按钮，将设置的规则保存到路由器中。
有些路由器可能需要重启才能使访问控制规则生效，因此需要耐心等待。
7. 测试访问控制功能设置完毕后，建议进行测试以确保访问控制功能正常工作。
可以尝试访问被限制的网站或端口，检查是否被成功禁止访问。
若测试结果不符合预期，可以返回设置页面进行检查和调整。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
TCP报文 报文
18
如何使用访问控制列表
Internet
公司总部网络
启用防火墙
ACL 配 置
Rules of ACL
将访问控制列表应用到接 口上
用 访问控制列表 访问控制列表 用
19
防火墙的属性配置命令 打开或者关闭防火墙 firewall { enable | disable } 设置防火墙的缺省过滤模式 firewall defa l { er i |den } 防火墙的 dis la firewall
24
ACL 配 置
本 课 总 结
路由器的高 级功能－ 级功能－访 问控制列表 配置
ACL概述 概述
ACL配置 配置
25
谢 谢
动 态 路 由 OSPF 协 议 在 华 为 路 由 器 上 配 置
大 家 ！
3
7.1.1 ACL概述 概述
ACL 概 述
4
7.1.1 ACL概述 概述
ACL 概 述
5
7.1.1 ACL概述 概述
ACL 概 述
6
IP包过滤技术介绍 IP包过滤技术介绍
对路由器需要转发的数据包， 对路由器需要转发的数据包，先获取包头信 然后和设定的规则进行比较， 息，然后和设定的规则进行比较，根据比较 的结果对数据包进行转发或者丢弃。 的结果对数据包进行转发或者丢弃。而实现 包过滤的核心技术是访问控制列表。 包过滤的核心技术是访问控制列表。
能 －
第 七 章 路 由 器 的 高 级 功
主 讲
访 问 控 制 列 表 配 置 路 由 器 的 高 级 功 能
访 问 控 制 列 表 配 置
: : : : : : : :
本 课 目
路由器的高 级功能－ 级功能－访 问控制列表 配置
ACL概述 概述
ACL配置 配置
2
7.1.1 ACL概述 概述
ACL 概 述
23
ACL 配 置
访问控制列表的组合
一条访问列表可以由多条规则组成,对于这些规则， 一条访问列表可以由多条规则组成,对于这些规则，有 两种匹配顺序：auto和config。 两种匹配顺序：auto和config。 规则冲突时，若匹配顺序为auto 深度优先）， auto（ ），描述的 规则冲突时，若匹配顺序为auto（深度优先），描述的 地址范围越小的规则，将会优先考虑。 地址范围越小的规则，将会优先考虑。 深度的判断要依靠通配比较位和IP地址结合比较 深度的判断要依靠通配比较位和IP地址结合比较 IP u n u it 两条规则结合则表 一 （ ） 的 的一小 的访问。 （ ）的访问。 规则冲突时，若匹配顺序为config config， 规则冲突时，若匹配顺序为config，先配 的规则会 优先考虑。 优先考虑。
配置
协议的扩展访问列表： 协议的扩展访问列表：
{ ip | sourcesourcere } [source source-addr sourcein ]
16
rule { normal | special }{ permit | deny } osp | i mp |
destdestwildcard | any ] [ destination dest-addr destwildcard | any ] [lo
ACL 配 置
129.9.0.0/16
ICMP主机重定向报文 主机重定向报文 10.1.0.0/16
rule deny tcp source 12 . .0.0 0.0.255.255 destination 202. .1 0.0 0.0.0.255 destinationdestination-port e ual lo in
比较 比较 比较
13
ACL 配 置
扩展访问控制列表
扩展访问控制列表使用除源地址外更多的信 息描述数据包，表明是允许还是拒绝。 息描述数据包，表明是允许还是拒绝。
ACL 配 置
202.110.10.0/24 的 的, 179.100.17.10的， 的 使用TCP 使用 ， 用HTTP访问的 用 访问的 数据包
ACL 配 置
IP wildcard-mask ?
表
12
如何使用反掩码
反掩码和子网掩码相似，但写法不同： 反掩码和子网掩码相似，但写法不同： 0表示需要比较 1表示忽略比较 反掩码和IP地址结合使用， IP地址结合使用 反掩码和IP地址结合使用，可以描述一个地 址范围。 址范围。 0 0 0 0 0 0
ACL 概 述
8
访问控制列表是什么？ 访问控制列表是什么？
一个IP数据包如下图所示（图中IP所承载的 一个IP数据包如下图所示（图中IP所承载的 IP数据包如下图所示 IP 上层协议为TCP/UDP TCP/UDP）： 上层协议为TCP/UDP）：
IP报头 报头 TCP/UDP报 报 头 数据
ACL 概 述
扩展访问控制列表操作符的含义
操作符及语法 意义 等于端口号 portnumber 大于端口号portnumber 大于端口号portnumber 于端口号portnumber 于端口号portnumber 等于端口号portnumber 等于端口号portnumber 于端口号portnumber 于端口号portnumber portnumber
15
扩展访问控制列表的配置命令
配置ICMP协议的扩展访问列表： 配置ICMP协议的扩展访问列表： ICMP协议的扩展访问列表
ACL 配 置
rule { normal | special }{ permit | deny } icmp sourcesource[source source-addr source-wildcard | any ] destdest[icmp[ destination dest-addr dest- wildcard | any ] [icmpicmpicmptype icmp-type icmp-code] [lo in ]
访问控制列表101 访问控制列表 用在Ethernet0 用在 接口 在out方向 方向 Ethernet0 Serial0 访问控制列表3 访问控制列表 用在Serial0接口 用在 接口 上 在in方向上 方向上
ACL 配 置
21
基于时间段的包过滤
“特殊时间段内应用特殊的规则” 特殊时间段内应用特殊的规则”
source-wildcard | any ] [source-port [sourcesourceoperator port [ port ] ] [ destination dest-addr dest- wildcard | any ] destdest[destination[destination-port operator port [ port ] ] [lo in ]
R
ACL 概 述
内部网络 Internet
部
7
访问控制列表的作用
访问控制列表可以用于防火墙； 访问控制列表可以用于防火墙； 访问控制列表可以用于Qos（Quality of Qos（ 访问控制列表可以用于Qos Service），对数据流量进行控制； Service），对数据流量进行控制； ），对数据流量进行控制 DCC中 在DCC中，访问控制列表还可用来规定触发拨 的 ； 访问控制列表还可以用于 ； 在 ，可以 用访问
portnumber
greatergreater-than portnumber le -than portnumber portnumber
notnot-equal
range portnumber portnumber
17
扩展访问控制列表举例
rule deny icmp source 10.1.0.0 0.0.255.255 icmphostdestination any icmp-type host-redirect
14
扩展访问控制列表的配置命令
配置TCP/UDP协议的扩展访问列表： 配置TCP/UDP协议的扩展访问列表： TCP/UDP协议的扩展访问列表
ACL 配 置
rule { normal | special }{ permit | deny } { tcp | udp } [source
source-addr source-
20
ACL 配 置
在接口上应用访问控制列表
将访问控制列表应用到接口上 指明在接口上是OUT还是IN OUT还是IN方向 指明在接口上是OUT还是IN方向 在接口视图下配置： 在接口视图下配置： packetaclfirewall packet-filter acl-number [inbound | outbound]
ACL 配 置
Rules of ACL
Internet
时间 8 00 特 的 时间
5
00
22
时间段的配置命令
time range 命令 timerange { enable | disable } settr 命令 beginendbeginsettr begin-time end-time [ beginendtime end-time ...... ] nd settr isintr 命令 dis la isintr timerange 命令 dis la timerange
协议 的 的
TCP/UDP 5 个 一个 TCP/UDP 访问控制 列表 是 的
9
如何标识访问控制列表？ 如何标识访问控制列表？
利用数字标识访问控制列表 利用数字范围标识访问控制列表的种类
ACL 概 述
列表的种类
IP standard list IP extended list
数字标识的范围