标准访问控制列表
标准IP访问控制列表的配置及应用
标准IP访问控制列表的配置及应用一、拓扑结构图；二、访问控制列表的概念；1．访问控制列表(Access Control List，ACL)是应用在路由器（或三层交换机）端口上的控制列表。
ACL可以允许（permit）或拒绝（deny）进入或离开路由器的数据包（分组），通过设置可以允许或拒绝网络用户使用路由器的某些端口，对网络系统起到安全保护作用。
访问控制列表（ACL）实际上是一系列允许和拒绝匹配准则的集合。
2．IP访问控制列表可以分为两大类：标准IP访问控制列表，只对数据包的源IP地址进行检查。
其列表号为1~99或者1300~1999。
扩展IP访问控制列表，对数据包的源和目标IP地址、源和目标端口号等进行检查，可以允许或拒绝部分协议。
其列表号为100~199或2000~2699。
3．访问控制列表对每个数据包都以自上向下的顺序进行匹配。
如果数据包满足第一个匹配条件，那么路由器就按照该条语句所规定的动作决定是拒绝还是允许；如果数据包不满足第一个匹配条件，则继续检测列表的下一条语句，以此类推。
数据包在访问控制列表中一旦出现了匹配，那么相应的操作就会被执行，并且对此数据包的检测到此为止。
后面的语句不可能推翻前面的语句，因此访问控制列表的过滤规则的放置顺序是很讲究的，不同的放置顺序会带来不同的效果。
三、技术原理；假设某公司的经理部，销售部和财务部分别属于不同的网段，出于安全考虑，公司要求经理部的网络可以访问财务部，而销售部无法访问财务部的网络，其他网络之间都可以实现互访。
访问控制列表一般是布局于需要保护的网络与其他网络联接的路由器中，即为距离被保护网络最接近的路由器上。
配置标准IP访问控制列表：1.定义标准IP访问控制列表；Router (config)#access-list access-list-number deny/permit source-address source-wildcard/*source-wildcard为数据包源地址的通配符掩码。
访问控制列表AccessList
访问控制列表AccessList路由器使用访问控制列表（ACL）来识别数据流，然后对其进行过滤、加密、分类或转换，以更好地管理和控制网络的功能。
标准访问列表：编号1-99或1300-1999，只检查分组的源地址，允许或禁止整个协议簇的分组通过。
扩展访问列表：编号100-199或2000-2699，检查分组的源地址、目标地址、协议、端口号和其他参数。
重点：1、入站访问列表的效率比出站访问列表高；2、路由器按顺序自上而下地处理访问列表中的语句；3、将具体条件放在一般性条件前，将常发生的条件放在不常发生的条件前；4、访问列表的最后有一条隐式的deny语句（access-list 1 deny any），分组将被禁止通过；5、新添的语句总被放在访问列表末尾，隐式的前面；6、使用编号访问列表时不能有选择性的删除其中一条语句，但使用名称访问列表可以（IOS11.2以上）；7、在每个接口的每个方向上针对每种协议的访问列表只能有一个，同一个接口上可以有多个访问列表，但必须是针对不同协议的。
等价写法:access-list 1 deny 172.16.4.3 0.0.0.0 = access-list 1 deny host 172.16.4.3 access-list 1 permit 0.0.0.0 255.255.255.255 = access-list permit any拒绝172.16.1.1访问192.168.1.1上的telnet服务，其余主机可以：rt(config)#access-list 101 deny tcp host 172.16.1.1 host 192.168.1.1 eq telnet rt(config)#access-list 101 permit ip any any172.16.x.y,当x为偶数，y为奇数时允许，其他拒绝：rt(config)#access-list 1 permit 172.16.0.1 0.0.254.254rt(config)#access-list 1 deny 172.16.0.0 0.0.255.255命名列表：rt(config)#ip access-list standard list_namert(config-std-nacl)#permit 1.1.0.1 0.0.254.254rt(config-std-nacl)#deny 1.1.0.0 0.0.255.255access-list 有关收藏Chapter9 Managing Traffic with Access ListsIntroduction to Access Lists访问列表(access list,ACL)的主要作用是过滤你不想要的数据包.设置ACL的一些规则:1.按顺序的比较,先比较第一行,再比较第二行..直到最后1行2.从第一行起,直到找到1个符合条件的行;符合以后,其余的行就不再继续比较下去3.默认在每个ACL中最后1行为隐含的拒绝(deny),如果之前没找到1条许可(permit)语句,意味着包将被丢弃.所以每个ACL必须至少要有1行permit语句,除非你想想所有数据包丢弃2种主要的访问列表:1.标准访问列表(standard access lists):只使用源IP地址来做过滤决定2.扩展访问列表(extended access lists):它比较源IP地址和目标IP地址,层3的协议字段,层4端口号来做过滤决定利用ACL来过滤,必须把ACL应用到需要过滤的那个router的接口上,否则ACL是不会起到过滤作用的.而且你还要定义过滤的方向,比如是是想过滤从Internet到你企业网的数据包呢还是想过滤从企业网传出到Internet的数据包呢?方向分为下面2种:1.inbound ACL:先处理,再路由2.outbound ACL:先路由,再处理一些设置ACL的要点:1.每个接口,每个方向,每种协议,你只能设置1个ACL2.组织好你的ACL的顺序,比如测试性的最好放在ACL的最顶部3.你不可能从ACL从除去1行,除去1行意味你将除去整个ACL,命名访问列表(named access lists)例外(稍后介绍命名访问列表)4.默认ACL结尾语句是deny any,所以你要记住的是在ACL里至少要有1条permit语句5.记得创建了ACL后要把它应用在需要过滤的接口上6.ACL是用于过滤经过router的数据包,它并不会过滤router本身所产生的数据包7.尽可能的把IP标准ACL放置在离目标地址近的地方;尽可能的把IP扩展ACL放置在离源地址近的地方Standard Access Lists介绍ACL设置之前先介绍下通配符掩码(wildcard masking).它是由0和255的4个8位位组组成的.0代表必须精确匹配,255代表随意,比如:172.16.30.0 0.0.0.255,这个告诉router前3位的8位位组必须精确匹配,后1位8位位组的值可以为任意值.如果你想指定172.16.8.0到172.16.15.0,则通配符掩码为0.0.7.255(15-8=7)配置IP标准ACL,在特权模式下使用access-lists [范围数字] [permit/deny] [any/host]命令.范围数字为1到99和1300到1999;permit/deny分别为允许和拒绝;any为任何主机,host为具体某个主机(需要跟上IP地址)或某1段我们来看1个设置IP标准ACL的实例:router有3个LAN的连接1个Internet的连接.现在,销售部的用户不允许访问金融部的用户,但是允许他们访问市场部和Internet连接.配置如下:Router(config)#access-list 10 deny 172.16.40.0 0.0.0.255Router(config)#access-list 10 permit any注意隐含的deny any,所以末尾这里我们要加上permit any,any等同于0.0.0.0 255.255.255.255.接下来把ACL应用在接口上,之前说过了尽可能的把IP标准ACL放置在离目标地址近的地方,所以使用ip access-group命令把ACL 10放在E1接口,方向为出,即out.如下:Router(config)#int e1Router(config-if)#ip access-group 10 outControlling VTY(Telnet) Access使用IP标准ACL来控制VTY线路的访问.配置步骤如下:1.创建个IP标准ACL来允许某些主机可以telnet2.使用access-class命令来应用ACL到VTY线路上实例如下:Router(config)#access-list 50 permit 172.16.10.3Router(config)#line vty 0 4Router(config-line)#access-class 50 in如上,进入VTY线路模式,应用ACL,方向为进来,即in.因为默认隐含的deny any,所以上面的例子,只允许IP地址为172.16.10.3的主机telnet到router上Extended Access Lists扩展ACL:命令是access-list [ACL号] [permit/deny] [协议] [源地址] [目标地址] [操作符] [端口] [log].ACL号的范围是100到199和2000到2699;协议为TCP,UDP等,操作符号有eq(表等于),gt(大于),lt(小于)和neq(非等于)等等;log为可选,表示符合这个ACL,就记录下这些日志来看1个配置扩展ACL的实例:假如要拒telnet和FTP到绝位于金融部的主机172.16.30.5,配置如下:Router(config)#access-list 110 deny tcp any host 172.16.30.5 eq 21Router(config)#access-list 110 deny tcp any host 172.16.30.5 eq 23Router(config)#access-list 110 permit ip any any记住默认隐含的deny all.应用到E1接口,注意方向为out,如下:Router(config)#int e1Router(config-if)#ip access-group 110 outNamed Access Lists命名访问列表是创建标准和扩展访问列表的另外1种方法.它允许你使用命名的方法来创建和应用标准或者扩展访问列表.使用ip access-list命令来创建,如下:Router(config)#ip access-list ?extended Extended Acclogging Control access list loggingstandard Standard Access ListRouter(config)#ip access-list standard ?<1-99> Standard IP access-list numberWORD Access-list nameRouter(config)#ip access-list standard BlockSalesRouter(config-std-nacl)#?Standard Access List configuration commands:default Set a command to its defaultsdeny Specify packets to rejectexit Exit from access-list configuration modeno Negate a command or set its defaultpermit Specify packets to forwardRouter(config-std-nacl)#deny 172.16.40.0 0.0.0.255Router(config-std-nacl)#permit anyRouter(config-std-nacl)#exitRouter(config)#^ZRouter#sh run(略)!ip access-list standard BlockSalesdeny 172.16.40.0 0.0.0.255permit any!(略)接下来应用到接口上,如下:Router(config)#int 1Router(config-if)#ip access-group BlockSales outRouter(config-if)#^ZRouter#Monitoring Access Lists一些验证ACL的命令,如下:1.show access-list:显示router上配置了的所有的ACL信息,但是不显示哪个接口应用了哪个ACL的信息2.show access-list [number]:显示具体第几号ACL信息,也不显示哪个接口应用了这个ACL3.show ip interface:只显示IP访问列表信息4.show ip interface:显示所有接口的信息和配置的ACL信息5.show ip interface [接口号]:显示具体某个接口的信息和配置的ACL信息6.show running-config:显示DRAM信息和ACL信息,以及接口对ACL的应用信息.关于RIP路由选择信息协议（Routing Information Protocol）是一种距离矢量路由选择协议，使用跳数作为度量值来选择路径，最大跳数15跳，最多6条路径间负载均衡。
ip标准访问控制列表的规则序号范围
ip标准访问控制列表的规则序号范围IP标准访问控制列表（StandardAccessControlList，简称SACL）是一种按照特定格式编制的访问控制规则，可以实施不同程度的访问控制方案。
SACL的核心在于按照规则序号进行序列化编码，从而将访问控制规则的设置一步步的添加、修改、删除进行有序的操作。
规则序号是访问控制规则的主要分类标准。
IP标准访问控制列表规则序号范围是0-99，每条规则最多可以有99条。
每条规则序号代表一个确切的意义，每条规则序号的设置及其排列顺序决定了访问控制规则的最终形成，是进行访问控制的核心依据。
在IP标准访问控制列表规则数量上，SACL一般可以设置接近100条规则，但是有时候当用户尝试设置规则超过99条时，系统会出现错误。
这是因为SACL规则序号范围是0-99，用户最多只能设置99条规则，而超过99条则会超出序号范围，导致系统报错。
IP标准访问控制列表规则序号设置范围一定要严格遵守，以避免不必要的错误发生，特别是当用户尝试设置规则超过99条时，要特别注意不要超出序号范围，以免出现意料之外的系统错误。
同时，用户在设置SACL时，应当特别注意规则序号的顺序，以免出现访问控制规则实现时规则未正确生效的情况。
SACL的规则及其序号设置是路由网络中最重要的一项功能，它控制了数据包的流向，能够有效的实施网络的安全管理，有效的提升网络的安全性。
因此，设置SACL时，一定要严格按照规则序号范围，其范围为0-99，每条规则最多可以设置99条，使用者一定要注意规则序号的设置顺序，以免出现访问控制规则未正确生效等情况。
同时，当用户尝试设置规则超过99条时，一定要注意不要超出序号范围，以免出现意料之外的系统错误。
访问控制列表(ACL)总结配置与应用
Router（config）#no access-list access-list-number 注意：对于扩展 ACL 来说，不能删除单条 ACL 语法，只能删除整个 ACL，这 意味着如果要改变一条或多条 ACL 语句，必须删除整个 ACL，然后输入所要的 ACL。
5
标准 ACL 配置实例
如图：要求配置标准 ACL 实现禁止主机 PC1 访问主机 PC2，而允许其他所有流量
3
1、 分析哪个接口应用标准 ACL
应用在入站还是出站接口。 路由器对进入的数据包先检查入访问控制列表，对允许传输的数据包才查询路由
表，而对于外出的数据包先查询路由表，确定目标后才查看出访问控制列表。因此应该 尽量把访问控制列表应用入站方向，因为它比应用到出站接口效率更高：将要丢弃的数 据包在路由器进行路由表查询处理之前就拒绝掉。 应用在哪台路由器上。
R1#show access-lists
Extended IP access list 101 10 permit tcp host 192.168.1.2 host 192.168.4.2 eq www 20 deny ip host 192.168.1.2 host 192.168.4.2
6
R1#show running-config
由于标准 ACL 只能根据源地址过滤数据包，如果应用在路由器 R1 或 R2 的入站 接口，那 PC1 不仅不能访问 PC2，而且不能访问 192.168.4.0，二应用在 R3 的入接口 接可以实现。
2、 配置标准 ACL 并应用到接口上
R3(config)#access-list 1 deny host 192.168.1.2 R3(config)#access-list 1 permit any R3(config)#interface fastEthernet0/0 R3(config-if)#ip access-group 1 in
8 标准访问控制列表
Router(config-if)#
ip access-group access-list-number { in | out }
– – – –
在端口上应用访问列表 指明是进方向还是出方向 缺省 = 出方向 “no ip access-group access-list-number” 命令在端口上删除访问列表
访问列表的其它应用
优先级判断
Queue List
基于数据包检测的特殊数据通讯应用
访问列表的其它应用
优先级判断
Queue List
按需拨号
基于数据包检测的特殊数据通讯应用
访问列表的其它应用
优先级判断
Queue List
按需拨号
路由表过滤 Routing Table
基于数据包检测的特殊数据通讯应用
access-list 1 deny 172.16.4.13 0.0.0.0
拒绝一个特殊的主机
标准访问列表举例 2
172.16.3.0
Non172.16.0.0 S0 E0 E1 172.16.4.0 172.16.4.13
access-list 1 deny 172.16.4.13 0.0.0.0 access-list 1 permit 0.0.0.0 255.255.255.255 (implicit deny all) (access-list 1 deny 0.0.0.0 255.255.255.255)
例3：拒绝一个特定子网的通信流量 设计一个ACL，拒绝来自子网172.16.4.0的数据通过f0/0接 口转出，允许来自网络211.81.192.0的数据从f0/0接口 转出。禁止其他数据从该接口转出。 Router（config）# access-list 1 deny 172.16.4.0 0.0.0.255 Router（config）# access-list 1 permit 211.81.192.0 0.0.0.255 Router（config）# access-list 1 deny 0.0.0.0 255.255.255.255 =any Router（config）#interface Fastethernet 0/0 Router（config-if）#ip access-group 1 out
第2章-访问控制列表(一)
第2章访问控制列表（一）➢TCP和UDP协议TCP/IP协议族的传输层协议主要有两个：TCP（Transmission ，传输控制协议）和UDP（User Datagram Protocol，用户数据抱协议）。
➢TCP协议TCP是面向连接的、可靠的进程到进程通信的协议。
TCP提供全双工服务，即数据可在同一时间双向传输，每一个TCP都有发送缓存和接受缓存，用来临时存储数据。
1.TCP报文段TCP将若干个字节构成一个分组，叫做报文段（Segment）。
TCP报文段封装在IP数据段中。
首部长度为20-60字节，以下是各个字段的含义：➢源端口：它是16位字段，为发送方进程对应的端口号➢目标端口号：它是16位字段，对应的是接收端的进程，接收端收到数据段后，根据这个端口号来确定把数据送给哪个应用程序的进程。
➢序号：当TCP从进程接收数据字节时，就把它们存储在发送缓存中，并对每一个字节进行编号。
编号的特点如下所述：◆编号不一定从0开始，一般会产尘一个随机数作为第1个字节的编号，称为初始序号（ISN），范围是0~232-1。
◆TCP每一个方向的编号是互相独立的。
◆当字节都被编上号后，TCP就给每一个报文段指派一个序号，序号就是该报文段中第1个字节的编号。
当数据到达目的地后，接收端会按照这个序号把数据重新排列，保证数据的正确性。
➢确认号：确认号是对发送端的确认信息，用它来告诉发送端这个序号之前的数据段都已经收到，比如确认号是X，就是表示前X-1个数据段都已经收到。
➢首部长度：用它可以确定首部数据结构的字节长度。
一般情况下TCP首部是20字节，但首部长度最大可以扩展为60字节。
➢保留：这部分保留位作为今后扩展功能用，现在还没有使用到。
➢控制位：这六位有很重要的作用，TCP的连接、传输和断开都是受六个控制为的指挥。
各位含义如下：◆URG：紧急指针有效位。
（指定一个包快速传送（重要数据优先传送））◆ACK：只有当ACK=1时，确认序列号字段才有效。
ACL访问控制
ACL访问控制1. 什么是访问控制列表指根据事先设定好的一系列的规则，对进出路由器或者三层交换机的数据包进行检测，实现对网络的访问控制管理、流量管理等。
访问控制列表的种类2. 目前主要有三种访问控制列表（ACL）：标准ACL扩展ACL命名ACL主要动作为允许（Permit）和拒绝（deny）。
主要应用方法：入栈（In）和出栈（Out）应用。
2.1 标准ACL标准访问控制列表匹配IP包中的源地址或源地址中的一部分，可对匹配的包采取拒绝或允许两个操作。
编号范围是从1到99。
Route(config)#access-list 1 deny 192.168.1.0 0.0.0.2552.2 扩展ACL扩展IP访问控制列表比标准IP访问控制列表具有更多的匹配项，包括协议类型、源地址、目的地址、源端口、目的端口、建立连接的和IP优先级等。
编号范围是从100到199。
Route(config)#access-list 101 deny 192.168.1.0 0.0.0.255 202.114.254.0 0.0.0.2552.3 命名的访问控制列表所谓命名的访问控制列表是以列表名代替列表编号来定义IP访问控制列表。
(1). 标准的命名访问控制列表Route(config)#ip access-list standard list-nameRoute(config-std-nacl)#(2). 扩展的命名访问控制列表route(config)ip access-list extended list-nameroute(config-ext-nacl)#2.4 基于时间的访问控制列表基于时间的访问控制列表由两部分组成，第一部分是定义时间段，第二部分是用扩展访问控制列表定义规则。
这里我们主要讲解下定义时间段，具体格式如下：time-range 时间段名称absolute start [小时：分钟] [日月年] [end] [小时：分钟] [日月年] 例如：time-range softerabsolute start 0:00 1 may 2005 end 12:00 1 june 2005 意思是定义了一个时间段，名称为softer，并且设置了这个时间段的起始时间为2005年5月1日零点,结束时间为2005年6月1日中午12点。
ACL 和 Iptabless
ACL1.访问控制列表的类型标准访问控制列表：根据数据包的源IP地址来允许或拒绝。
（标号1—99）扩展访问控制列表：根据数据包的源IP地址、目的IP地址、指定协议、端口和标志（100-199）命名访问控制列表：允许在标准和扩展访问控制列表中使用命名来代替标号定时访问控制列表：提供基于时间的附加访问控制。
2.标准的ACL配置语法：Router（config）#access-list （1—99） {permit|deny} 源ip的网段反掩码1.允许192.168.1.0/24和192.168.1.2 的流量通过Router（config）#access-list 1 permit 192.168.1.0 0.0.0.255Router（config）#access-list 1 permit 192.168.1.2 0.0.0.0.0或Router（config）#access-list 1 host 192.168.1.12.拒绝访问任何网段 Router（config）#access-list 2 deny any3.删除以建立的ACL Router（config）# no access-list 14.将ACl应用到端口 Router（config-if）#ip access-group （1——99）{in | out }3.扩展访问ACL 配置Router（config）#access-list （100-199）{permit | deny} protocol {原地址反掩码目标地址反掩码} [operator operan ]Operator:lt-小于；gt—大于；eq—等于；neq-不等于Protocol：TCP;UDP;IP;ICMP1.允许网络192.168.1.0/24访问网络192.168.2.0/24的ip流量通过。
而拒绝其他的任何流量Router（config）#access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 Router（config）#access-list 100 deny ip any any2. 拒绝网络192.168.1.0/24访问FTP服务器192.168.2.2。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
No
Deny 匹配最后一条规则
Permit
通过
No
Default Deny
Default Permit
检查默认规则设定
数据包出站ACL的概念ACL的分类 标准ACL的配置
过渡页
Transition Page
标准访问控制列表的配置
• 创建标准ACL • 在接口上应用访问列表 • 标准IP ACL应用
18
创建标准ACL
ACL的概念 ACL的分类 标标准准AACCLL的的配配置置
• 创建标准ACL • 全局视图
Router(config)#access-list access-list-number deny/permit remark source-address [source-wildcard] [log]
• 通过分析IP数据包包头信息，进行判断（这里IP所承载的 上层协议为TCP）
IP报头
TCP报头
数据
源地址 目的地址
源端口 目的端口
访问控制列表利用这4个元素 定义的规则
基于ACL的包过滤技术
ACL的概念 ACL的分类 标准ACL的配置
• 对进出的数据包逐个过滤，丢弃或允许通过 • ACL应用于接口上，每个接口的出入双向分别过滤 • 仅当数据包经过一个接口时，才能被此接口的此方向的ACL过滤
主机A
人力资源网络
使用ACL阻止某指定网络访问另一指定网络
主机B 研发网络
访问控制列表工作原理2-1
ACL的概念 ACL的分类 标准ACL的配置
• 实现访问控制列表的核心技术是包过滤
内部网络
访问控制列表 Internet
办事处
公司总部
未授权用户
访问控制列表工作原理2-2
ACL的概念 ACL的分类 标准ACL的配置
ACL执行时从上往下依次执行 因此最精确的条目放在最前面！！！
入站包过滤工作流程
数据包入站
ACL的概念 ACL的分类 标准ACL的配置
是否配置 入方向ACL
No
包过滤
Yes
Deny 匹配第一条规则 Permit
No Deny 匹配第二条规则 Permit
丢弃
No
Deny 匹配最后一条规则
Permit
通过
No
Default Deny
Default Permit
检查默认规则设定
数据包进入 转发流程
出站包过滤工作流程
ACL的概念 ACL的分类 标准ACL的配置
数据包到达 出接口
是否配置
出方向ACL
No
包过滤
Yes
Deny 匹配第一条规则 Permit
No Deny 匹配第二条规则 Permit
丢弃
入方向过滤 接口 出方向过滤
路由转发 进程
出方向过滤 接口
入方向过滤
ACL的概念
ACL的分类 标准ACL的配置
过渡页
Transition Page
ACL的分类
• 标准访问控制列表 • 扩展访问控制列表
9
ACL的概念 ACL的分类 标准ACL的配置
标准
根据源地址
控制数据包的生死
扩展
根据源、目的地址；端口号；协议
标准访问控制列表
ACL的概念 ACL的分类 标准ACL的配置
从202.110.10.0/24来 的数据包可以通过！
从192.110.10.0/24来 的数据包不能通过！
路由器
扩展访问控制列表
ACL的概念 ACL的分类 标准ACL的配置
根据源地址、目的地址； 端口号；协议
控制数据包的生死
从192.16.1.0/24来的,到 192.16.4.13的， 使用TCP协议， 利用FTP访问的 数据包可以通过！
A组： 规则1 下课不允许1522221班的同学离开教室 规则2 下课允许1522221班的男生离开教室 规则3 下课不允许1522221班的王五离开教室 规则4 下课允许1522221班的李四离开教室 规则5 下课不允许1522221班的张三离开教室
B组： 规则1 下课不允许1522221班的王五离开教室 规则2 下课不允许1522221班的男生离开教室 规则3 下课允许1522221班的李四离开教室 规则4 下课不允许1522221班的张三离开教室 规则5 下课不允许1522221班的同学离开教室
你觉得哪种规则最合理呢？
标准访问控制列表-规则举例
ACL的概念 ACL的分类 标准ACL的配置
这样的规则你觉得合理吗？
规则1 下课不允许1522221班的王五离开教室 规则2 下课允许1522221班的李四离开教室 规则3 下课不允许1522221班的张三离开教室 规则4 下课允许1522221班的男生离开教室 规则5 下课不允许1522221班的同学离开教室
控制数据包的生死
其他的还有命名ACL、标准MAC ACL、时间控制ACL、以太协 议 ACL 、IPv6 ACL等
ACL的概念 ACL的分类 标准ACL的配置
• 利用数字标识访问控制列表 • 利用数字范围标识访问控制列表的种类
列表的种类 标准访问控制列表 扩展访问控制列表
数字标识的范围 1-99, 1300-1999 100-199,2000-2699
标准访问控制列表
访问控制列表的概念
• 访问控制列表的概念 • 访问控制列表的作用 • 访问控制列表工作原理 • 包过滤工作流程
过渡页
Transition Page
2
什么是访问控制列表
ACL的概念 ACL的分类 标准ACL的配置
• 访问控制列表（ACL）
– 应用于路由器接口的指令列表 ，用于指定哪些数据包可以接 收转发，哪些数据包需要拒绝
从172.16.3.0/24来的,到 172.16.4.13的， 使用TCP协议， 利用HTTP访问的 数据包不能通过！
路由器
标准访问控制列表-规则举例
ACL的概念 ACL的分类 标准ACL的配置
请查看A组规则和B组规则，并告诉说出两组规则到底谁能离开教室： 注意必须按照从上往下执行，匹配后则执行。
• ACL的工作原理
– 读取第三层及第四层包头中的信息 – 根据预先定义好的规则对包进行过滤
访问控制列表的作用2-1
ACL的概念 ACL的分类 标准ACL的配置
• 提供网络访问的基本安全手段 • 可用于QoS，控制数据流量 • 控制通信量
访问控制列表的作用2-2
ACL的概念 ACL的分类 标准ACL的配置