第五讲 访问控制列表
第五讲访问控制列表的功能与基本配置
访问控制列表（Access Control List，ACL) 是路由器接 口的指令列表，用来控制端口进出的数据包。
ACL的作用
• ACL可以限制网络流量、提高网络性能。例如，ACL 可以根据数据包的协议，指定数据包的优先级。 ACL提供对通信流量的控制手段。例如，ACL可以限 定或简化路由更新信息的长度，从而限制通过路由器某一 网段的通信流量。 ACL是提供网络安全访问的基本手段。如图所示， ACL允许主机A访问人力资源网络，而拒绝主机B访问。 ACL可以在路由器端口处决定哪种类型的通信流量被 转发或被阻塞。例如，用户可以允许E-mail通信流量被路 由，拒绝所有的Telnet通信流量。
验证访问控制列表的命令
• 1、show access-list
• 2、show access-list number 显示特定列表 • 3、show ip access-list 只显示路由器上配 置的IP访问控制列表 • 4、show ip interface (显示哪些接口配置了 访问控制列表) • 5、show running-config （显示访问列表和 哪些接口设置了访问列表）
正确放置ACL的位置
• 根据减少不必要通信流量的通行准则，网管员应该尽可 能地把ACL放置在靠近被拒绝的通信流量的来源处，即 RouterA上。如果网管员使用标准ACL来进行网络流量限制， 因为标准ACL只能检查源IP地址，所以实际执行情况为：凡 是检查到源IP地址和网络1匹配的数据包将会被丢掉，即网 络1到网络2、网络3和网络4的访问都将被禁止。由此可见， 这个ACL控制方法不能达到网管员的目的。同理，将ACL放 在RouterB和RouterC上也存在同样的问题。只有将ACL放 在连接目标网络的RouterD上（E0接口），网络才能准确实 现网管员的目标。由此可以得出一个结论: 标准ACL要尽量 靠近目的端。
访问控制列表
第十章访问控制列表配置教学目的：1.了解访问控制列表的作用2.了解标准访问控制列表与扩展访问列表的异同3.掌握访问控制列表的原理4.掌握访问列表的配置方法知识点：1.访问列表2.包过滤3.流量控制4.通配掩码10.1 访问控制列表(access-list)一、访问列表的作用访问控制列表是在使用路由技术的网络中，识别和过滤进入到网络或发出去的符合规定条件的数据流量，以决定是否允许发送或丢弃数据流量。
访问控制是控制流量的一种方法，是实现防火墙的重要手段。
二、访问列表的应用1.在物理接口上应用访问控制列表实现流量控制。
2.在虚拟终端线路接口(vty)应用访问控制列表，实现对登录用户的控制。
3.还可以应用到队列技术、按需拨号、VPN、NA T等。
三、访问列表的工作流程1.进方向上的工作流程：2.出方向上的工作流程：四、访问列表的控制条件根据IP数据包中包含的信息，可以对数据包的源IP地址、目的IP地址、被路由的协议类型、数据要访问的端口等作为判断条件。
五、访问列表执行流程访问控制列表实际上是一些列判断语句，被过滤的数据包会一个个和这些条件语句进行比较，当符合条件则执行操作(permit或deny )；否则进行下一条件判断。
六、注意事项1.访问控制列表的列表号指出是哪种协议的访问控制列表。
即每种协议(IP、IPX等)定义一个访问控制列表。
2.一个访问控制列表的配置是每协议、每接口、每方向的。
每种协议可以定义进出两个控制访问控制列表。
3.访问控制列表的顺序决定了对数据包控制顺序。
4.在访问控制列表最后，有一条隐含的“全部拒绝”命令，因此在控制列表里至少有一条“允许”语句。
5.访问控制列表只能过滤穿过路由器的数据流量，不能过滤路由器本身发出的数据包。
10.2 访问控制列表分类访问控制列表有两种类型：标准访问控制列表、扩展访问控制列表。
✓标准访问控制列表判断条件是数据包的源IP地址，只能过滤来自某个网络或主机的数据包。
访问控制列表说课PPT课件
核养训岗、于技职配交 心的练位网网术业置换 课一、进络络专院》机 程门能行管工业校是路 。专力职理程针网高由
络网 设 养 维 的 掌 管络 备 学 护 配 握 课 理搭 的 生 技 置 网 程 能建 装 的 术 、 络 目 力、 配 网 ， 管 设 标 。网 、 络 培 理 备
、
课 程 性 质 和 目 标 要 求
，；题，例兴能 教 ，解启趣力 学 突决发；强 做 出懂式 和 合 重原展 贪 一 点理开 玩
，
设设计计 依依据据
16
怎么
教
教 能 技技 原内
力 能能 理容
学 实 施 具
考 训培 讲导
体 过
核 练养 解入
程
5‘
20‘
30‘
20‘
5‘
17
怎么
内
教 设问情景导入
容 导
入
玩游戏时常 见情景
迫切想解决
某日自己正在玩游戏，同学A因看电影，
3
学什
么
影响 因素
教
课
专
学
程
业
内
性
岗
容
质
位
作
和
群
用
目
能
要
标
力
求
要
要
求
求
4
学什
么
影响 因素
网络设计师 网络管理员 布线工程师 网络工程师 系统工程师 网页设计师
网络设备配置与网络管理 网络访问控制能力
专 业 岗 位 群 能 力 要 求
能懂 力理
论 有
5
学什
么
影响 因素
业培业员师对络等器《
课 程 性 质
，
项目五、访问控制列表
2. 选择合适的控制方式
根据需求选择合适的控制方式，如IP地址、 端口、协议或用户角色。
4. 测试与验证
测试配置是否正确，确保访问控制列表按预 期工作。
配置示例
```
零信任网络架构
零信任网络架构强调对任何用户和设备的不信任，需要持续验证和授权。这种架构有助于降低内 部攻击风险，提高网络整体安全性。
应用拓展
物联网安全
金融行业应用
医疗保健行业应用
随着物联网设备的普及，访问 控制列表在物联网安全领域的 应用逐渐增多。通过为物联网 设备实施适当的访问控制策略 ，可以有效保护数据和设备安 全。
性能影响
虽然访问控制列表本身对网络性能的影响较小， 但是在大型网络中，过多的规则可能会导致路由 器的处理性能下降。
维护困难
随着网络的变化和安全需求的调整，访问控制列 表的规则可能需要经常修改和维护，增加了管理 员的工作量。
适用场景
安全需求较高的场景
对于对安全性要求较高的场景，如政府机构、金融行业等，访问控 制列表是一个很好的选择。
access-list 10 permit 192.168.1.0 0.0.0.255
配置示例
access-list 10 deny any interface GigabitEthernet0/0 ip access-group 10 in
配置示例
01
```
02
```
access-list 20 permit tcp any port 22
项目五：访问控制列表
目录
CONTENTS
• 访问控制列表简介 • 访问控制列表的配置 • 访问控制列表的优缺点 • 访问控制列表的安全性 • 访问控制列表的发展趋势
访问控制列表(ACL)配置
ACL（访问控制列表）一、基本：1、基本ACL表2、扩展ACL表3、基于时间的ACL表4、动态ACL表二、ACL工作过程1、自上而下处理1)、如果有一个匹配的ACL，后面的ACL表不再检查2)、如果所有的ACL都不匹配，禁止所有的操作（隐含）特例，创建一个空的ACL表，然后应用这个空的ACL表，产生禁止所有的操作。
3）、后添加的ACL表，放在尾部4)、ALC表放置的原则：如果是基本ACL表，尽量放在目的端，如果是扩展ACL表，尽量放在源端5)、语句的位置：一般具体ACL表放在模糊的ACL表前6)、3P原则：每一个协议每一个接口每一个方向只有一个ACL表。
（多个ACL表会引起干扰）7)、应用ACL的方向，入站和出站，应用在接口上三、基本ACL表(不具体)1、定义命令：access-list <</span>编号> permit/denny 源IP地址 [子网掩码反码]应用命令：ip access-group <</span>编号> in/out 查看命令：sh access-lists1）、编号：1-99和1300-19992）、可以控制一台计算机或控制一段网络3）、host:表示一台计算机4)、any:表示任何计算机四、ACL配置步骤：1、定义ACL表2、应用ACL表五、路由器在默认的情况下，对所有数据都是开放，而防火墙在默认情况下，对所有数据都禁止。
六：判断是流入还是流出，看路由器的数据流向七：注意：如果在写禁止，小心默认禁止所有1.控制一台计算机(禁止)Access-list 1 deny 172.16.2.100Access-list 1 permit anyInterface f0/0Ip access-group 1 out (应用到端口)2、控制一段网络（禁止）Access-list 1 deny 172.16.2.0 0.0.0.255Access-list 1 permit anyInterface f0/0Ip access-group 1 out(应用到端口)3、控制一台计算机（允许）Access-list 1 permit 172.16.1.1004、控制一个网段（允许）Access-list 1 permit 172.16.1.0 0.0.0.255telnet服务配置：1)、使能密码2)、登录密码控制telnet服务应用端口命令：access-class <</span>编号> in/out 实例：只允许172.16.1.100能够使用telnet服务access-list 1 permit 172.16.1.100 Line vty 0 4Access-class 1 in实例：。
05访问控制
第五讲访问控制罗守山北京邮电大学计算机学院内容提要♦1. 概述♦2. 自主型安全（访问控制）模型♦3 强制访问控制模型♦4 基于角色的访问控制模型♦5 访问控制中的安全策略与信任机制♦访问控制是安全服务的一个重要组成部分。
–所谓访问控制，就是通过某种途径显式地准许或限制访问能力及范围，从而限制对关键资源的访问，防止非法用户的侵入或者合法用户的不慎操作造成破坏。
–国际标准化组织（ISO）在网络安全标准ISO7498-2中定义了5种层次型安全服务，即：身份认证服务、访问控制服务、数据保密服务、数据完整性服务和不可否认服务，因此，访问控制是信息安全的一个重要组成部分。
1.概述访问控制系统一般包括：1)主体(Subject)：是可以对其它实体施加动作的主动实体，简记为S。
有时我们也称为用户（User）或访问者（被授权使用计算机的人员），记为U。
主体的含义是广泛的，可以是用户所在的组织（称为用户组）、用户本身，也可是用户使用的计算机终端、卡机、手持终端（无线）等，甚至可以是应用服务程序程序或进程；2)客体(Object)：被调用的程序或欲存取的数据访问,是接受其他实体访问的被动实体, 简记为O。
客体的概念也很广泛，凡是可以被操作的信息、资源、对象都可以认为是客体。
在信息社会中，客体可以是信息、文件、记录等的集合体，也可以是网路上的硬件设施，无线通信中的终端，甚至一个客体可以包含另外一个客体；3)安全访问规则：用以确定一个主体是否对某个客体拥有访问权力。
是主体对客体的操作行为集和约束条件集, 简记为KS。
简单讲，控制策略是主体对客体的访问规则集，这个规则集直接定义了主体对可以的作用行为和客体对主体的条件约束。
访问策略体现了一种授权行为，也就是客体对主体的权限允许，这种允许不超越规则集，由其给出。
访问控制系统三个要素之间的行为关系见下图。
♦可以使用三元组（S，O，P）来表示，其中S表示主体，O表示客体，P表示许可。
访问控制列表
l number acl-number：定义一个数字型的ACL。
l acl-number：访问控制规则序号。1000～1999是基于接口的访问控制列表，2000～2999范围的数字型访问控制列表是基本的访问控制列表，3000～3999范围的数字型访问控制列表是高级的访问控制列表，4000～4999是基于MAC地址的访问控制列表。
[Quidway-acl-adv-3000]
进入了ACL视图之后，就可以配置ACL的规则了。对于不同的ACL，其规则是不一样的，具体的各种ACL的规则的配置方法将在后面小节分别介绍。
5.1.5 基本访问控制列表
基本访问控制列表只能使用源地址信息，做为定义访问控制列表的规则的元素。通过上面小节介绍的acl命令，可以创建一个基本的访问控制列表，同时进入基本访问控制列表视图，在基本访问控制列表视图下，可以创建基本访问控制列表的规则。
undo rule rule-id [ comment text ] [ source ] [ time-range ] [ logging ] [ fragment ] [ vpn-instance vpn-instance-name ]
参数说明：
l rule-id：ACL规则编号，必须是一个已经存在的ACL规则编号。如果后面不指定参数，则将这个ACL规则完全删除。否则只是删除对应ACL规则的部分信息。
参数说明：
l rule-id：可选参数，ACL规则编号，范围为0～65534。当指定了编号，如果与编号对应的ACL规则已经存在，则会部分覆盖旧的规格，相当于编辑一个已经存在的ACL的规则。故建议用户在编辑一个已存在编号的规则前，先将旧的规则删除，再创建新的规则，否则配置结果可能与预期的效果不同。如果与编号对应的ACL规则不存在，则使用指定的编号创建一个新的规则。如果不指定编号，表示增加一个新规则，系统自动会为这个ACL规则分配一个编号，并增加新规则。
访问控制列表
• 设备从某接口向外发送数据时进行安全规则过滤
• 一个接口在一个方向只能应用一组访问控制列表
IN F1/0
OUT F1/1
访问列表的入栈应用
查找路由表 进行选路转发 是否应用 访问列表 ?
Y N
是否送方
平顶山学院
平顶山学院
软件学院
反掩码（通配符） 反掩码（通配符）
128 64 32 16 8 4 2 1
0 0 0 1
0 0 0 1
0 1 0 1
0 1 0 1
0 1 1 1
0 1 1 1
0 1 1 1
0 1 1 1
0表示检查相应的地址比特 表示检查相应的地址比特 1表示不检查相应的地址比特 表示不检查相应的地址比特
• 规则匹配原则
– 从头到尾，自顶向下的匹配方式 – 匹配成功马上停止 – 立刻使用该规则的“允许/拒绝……”
9.3.5访问列表规则的定义
• 标准访问列表
– 根据数据包源IP地址进行规则定义
• 扩展访问列表
– 根据数据包中源IP、目的IP、源端口、目的端 口、协议进行规则定义
IP标准访问列表 标准访问列表
平顶山学院 软件学院
标准访问列表配置实例(二)
• 需求：
– 你是某校园网络管理员，领导要你对网络的数据 流量进行控制,要求校长可以访问财务的主机，但 教师机不可以访问。
• 配置：
– ip access-list standard abc – permit host 192.168.2.8 – deny 192.168.2.0 0.0.0.255 F0/2 – ip access-group abc in
F0/1 财务 192.168.1.0 F0/6 F0/8 F0/10 教师 192.168.2.0
项目五、访问控制列表
整理ppt
12
入到达访问控制 组接口的数据包 站接口
Y
拒绝
Y 拒绝
拒绝 Y
匹配 第一 步
N
匹配 第二 步
N
Y 允许
Y 允许
匹配 第三 步
拒绝
访问控制列表（Access control list，缩写ACL，以下简写）通 过在路由器接口处控制路由数据包是被转发还是被阻塞来 过滤网络通信流量。路由器根据ACL中指定的条件来检测 通过路由器的每个数据包，从而决定是转发还是丢弃该数 据包。
ACL的定义是基于所有协议的，如IP、IPX等，换言之，如 果想控制某种协议的通信数据流，那么必须要对该接口处 的这种协议定义单独的ACL。例如，路由器接口配置成3 种协议，那么至少要定义3个访问控制列表（ACL）。如 图9.1所示。IP ACL只过滤IP报文；同样，IPX ACL只过滤 IPX报文。
允许 Y
在路由器接口上使用ACL有进和出两个方向。
被丢弃没有相应的路由，被丢弃数据包从F0/0接口 被转发图
9.2 进方向上的ACL的工作流程
ACL的工作流程如图12.2和12.3所示。
整理ppt
6
进入S0/0 接
口的数据 包
进方向 的ACL
允许通过 路由表
数据包从 F0/0 接 口被转发
不允许通过， 被丢弃
整理ppt
9
进入S0/0接 口的数据包
路由表
找到路由，数据 包送往F0/0接口
接口上是 否有出方 向的ACL
没有相应的路 由，被丢弃
访问控制列表
1、什么是访问控制列表？访问控制列表在Cisco IOS软件中是一个可选机制，可以配置成过滤器来控制数据包，以决定该数据包是继续向前传递到它的目的地还是丢弃。
2、为什么要使用访问控制列表？最初的网络只是连接有限的LAN和主机，随着路由器连接内部和外部的网络，加上互联网的普及，控制访问成为新的挑战，网络管理员面临两难的局面：如何拒绝不期望的访问而允许需要的访问？访问控制列表增加了在路由器接口上过滤数据包出入的灵活性，可以帮助管理员限制网络流量，也可以控制用户和设备对网络的使用，它根据网络中每个数据包所包含的信息内容决定是否允许该信息包通过接口。
3、访问控制列表有哪些类型？访问控制列表主要可以分为以下两种：A、标准访问控制列表：标准访问控制列表只能够检查可被路由的数据包的源地址，根据源网络、子网、主机IP地址来决定对数据包的拒绝或允许，使用的局限性大，其序列号范围是1-99。
B、扩展访问控制列表：扩展访问控制列表能够检查可被路由的数据包的源地址和目的地址，同时还可以检查指定的协议、端口号和其他参数，具有配置灵活、精确控制的特点，其序列号的范围是100-199。
以上两种类型都可以基于序列号和命名来配置，我们建议使用命名来配置访问控制列表，这样在以后的修改中也是很方便的。
4、访问控制列表具有什么样的特点？A、它是判断语句，只有两种结果，要么是拒绝(deny),要么是允许(permit)；B、它按照由上而下的顺序处理列表中的语句；C、处理时，不匹配规则就一直向下查找，一旦找到匹配的语句就不再继续向下执行；D、在思科中默认隐藏有一条拒绝所有的语句，也就默认拒绝所有(any);由上面的特点可以总结出，访问控制列表中语句的顺序也是非常重要的，另外就是所配置的列表中必须有一条允许语句。
5、配置访问控制列表需要注意什么？A、访问控制列表只能过滤流经路由器的流量，对路由器自身发出的数据包不起作用。
B、一个访问控制列表中至少有一条允许语句。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
《网络技术实验》
实验报告
姓名：王楚楚
学号： 1025812027 班级： B1002 成绩：
第五讲访问控制列表实验目的
理解ACL工作原理，熟悉配置ACL的基本步骤。
（1）普通ACL列表
（2）扩展访问控制列表
（3）名称ACL列表
实验拓扑
实验内容
给R0配置IP地址：
接口Fa0/0IP地址为219.247.64.1，接口Fa0/1IP地址为219.247.64.33，接口Fa1/0IP地址为219.247.64.65，no shutdown 启用端口。
为R0配置动态路由：
为R1配置IP地址：
接口Fa0/0IP地址为219.247.64.2，接口Fa0/1IP地址为219.247.64.97。
为R1配置动态路由：
为R2配置IP地址：
接口Fa0/0IP地址为219.247.64.98，接口Fa0/1IP地址为219.247.64.34，接口Fa1/0IP地址为
219.247.64.219，no shutdown启用端口。
为R2配置动态路由：
给服务器配置IP地址：
服务器IP地址为219.247.64.66，下一跳为219.247.64.1 IP地址………………………………：219.247.64.66
子网掩码……………………………：255.255.255.224
为PC0配置IP地址并进行Ping测试连通性：
PC0IP地址为219.247.64.130，下一跳219.247.64.129 IP地址………………………………：219.247.64.130
子网掩码……………………………；255.255.255.224
统计Ping结果
数据报：发送4个，接收3个，丢失1个。
连通率85% 为PC1配置IP地址并进行Ping测试连通性：
PC1IP地址为219.247.64.131，下一跳为219.247.64.129 IP地址………………………………：219.247.64.131
子网掩码……………………………：255.255.255.224
统计Ping结果
数据报：发送4个，接收4个，丢失0个。
连通率100% 为PC2配置IP地址并进行Ping测试连通性：
PC2IP地址为219.247.64.132，下一跳为219.247.64.129 IP地址………………………………：219.247.64.132
子网掩码……………………………：255.255.255.224
统计Ping结果
数据报：发送4个，接收4个，丢失0个。
连通率100% 建立标准IP访问控制列表
从接口Fa1/0流出控制列表20
观察PC0、PC1、PC2与服务器连通性：
统计Ping结果
数据报：发送4个，接收0个，丢失4个。
连通率0
PC1
统计Ping结果
数据报：发送4个，接收4个，丢失0个。
连通率100% PC2
统计Ping结果
数据报：发送4个，接收4个，丢失0个。
连通率100%
取消标准IP访问控制列表
可知，IP地址为219.247.64.130的PC0主机访问被拒绝，IP地址为219.247.64.131的PC1和IP地址为219.247.64.132的PC2主机访问允许
扩展IP访问控制列表：
从接口Fa1/0流出控制列表120
观察PC0、PC1、PC2与服务器连通性
PC0
统计Ping结果
数据报：发送4个，接收4个，丢失0个。
连通率100%
PC1
统计Ping结果
数据报：发送4个，接收0个，丢失4个。
连通率0
PC2
统计Ping结果
数据报：发送4个，接收4个，丢失0个。
连通率100%
取消扩展IP控制列表
可知，IP地址为219.247.64.131的PC0主机访问被拒绝，IP地址为219.247.64.130的PC1和IP地址为219.247.64.132的PC2主机访问允许
建立IP控制列表，拒绝PC2访问服务器www服务
从接口Fa1/0流出控制列表120
观察PC0、PC1、PC2与服务器连通性
PC0
统计Ping结果
数据报：发送4个，接收4个，丢失0个。
连通率100%
PC1
统计Ping结果
数据报：发送4个，接收4个，丢失0个。
连通率100%
PC2
统计Ping结果
数据报：发送4个，接收4个，丢失0个。
连通率100%
可知，IP地址为219.247.64.131的PC0和IP地址为219.247.64.130的PC1和IP地址为219.247.64.132的PC2主机访问允许，但是PC2主机访问http://219.247.64.66时延时，即拒绝访问
实验总结：通过此次试验，我学会了建立标准访问控制列表和扩展访问控制列表，以及如何拒绝使用www服务，此次试验同时也使我温习了前面所学的大部分知识，但还是不是很熟练，所以后面我还需多加练习。