思科课件访问控制列表ACL的配置
思科网络配置-ACL
思科⽹络配置-ACL1、标准ACL Router(config)# access-list access-list-number {permit | deny | remark} source [mask] Router(config-if)# ip access-group access-list-number {in | out} *表号------- 1 to 99 *缺省的通配符掩码 0.0.0.0 *no access-list access-list-number 移除整个ACL *remark 给访问列表添加功能注释 *mask 反掩码2.扩展ACL 扩展访问控制列表是⼀种⾼级的ACL，配置命令的具体格式如下： access-list ACL号 [permit|deny] [协议] [定义过滤源主机范围] [定义过滤源端⼝] [定义过滤⽬的主机访问] [定义过滤⽬的端⼝] 例如：access-list 101 deny tcp any host 192.168.1.1 eq www这句命令是将所有主机访问192.168.1.1这个地址⽹页服务（WWW）TCP连接的数据包丢弃。
⼩提⽰：同样在扩展访问控制列表中也可以定义过滤某个⽹段，当然和标准访问控制列表⼀样需要我们使⽤反向掩码定义IP地址后的⼦⽹掩码。
表号 100 to 199 3.命名访问控制列表 命名访问控制列表格式： ip access-list {standard/extended} <access-list-name>（可有字母，数字组合的字符串) 例如：ip access-list standard softer //建⽴⼀个名为softer的标准访问控制列表。
1. router（config）#ip access-list standard +⾃定义名2. router（config-std-nac1）#11 permit host +ip //默认情况下第⼀条为10,第⼆条为20.如果不指定序列号，则新添加的ACL被添加到列表的末尾3. router（config-std-nac1）#deny any4. router（config）#ip access-list standard benet5. router（config-std-nasl）#no 116. 使⽤show access-lists可查看配置的acl信息ACL的过滤流程： 1、按顺序的⽐较：先⽐较第⼀⾏，如果不匹配，再⽐较第⼆⾏，依次类推直到最后⼀⾏ 2、从第⼀⾏起，直到找到⼀个符合条件的⾏，符合以后就不再继续⽐较下去 3、默认在每个ACL中的最后⼀⾏为隐含的拒绝，最后要加pemint any,使其他的⽹络可通。
思科ACL访问控制列表常规配置操作详解
思科ACL访问控制列表常规配置操作详解本⽂实例讲述了思科ACL访问控制列表常规配置操作。
分享给⼤家供⼤家参考，具体如下：⼀、ACL概述ACL (Access Control List,访问控制列表）是⼀系列运⽤到路由器接⼝的指令列表。
这些指令告诉路由器接收哪些数据包、拒绝哪些数据包，接收或者拒绝根据⼀定的规则进⾏，如源地址、⽬标地址、端⼝号等。
ACL使得⽤户能够管理数据流，检测特定的数据包。
路由器将根据ACL中指定的条件，对经过路由器端⼝的数据包进⾏检査。
ACL可以基于所有的Routed Protocols (被路由协议，如IP、IPX等）对经过路由器的数据包进⾏过滤。
ACL在路由器的端⼝过滤数据流，决定是否转发或者阻⽌数据包。
ACL应该根据路由器的端⼝所允许的每个协议来制定，如果需要控制流经某个端⼝的所有数据流，就需要为该端⼝允许的每⼀个协议分别创建ACL。
例如，如果端⼝被配置为允许IP、AppleTalk和IPX协议的数据流，那么就需要创建⾄少3个ACL, 本⽂中仅讨论IP的访问控制列表。
针对IP协议，在路由器的每⼀个端⼝,可以创建两个ACL:—个⽤于过滤进⼊（inbound)端⼝的数据流，另⼀个⽤于过滤流出（outboimd)端⼝的数据流。
顺序执⾏：—个ACL列表中可以包含多个ACL指令，ACL指令的放置顺序很重要。
当路由器在决定是否转发或者阻⽌数据包的时候，Cisco的IOS软件，按照ACL中指令的顺序依次检査数据包是否满⾜某⼀个指令条件。
当检测到某个指令条件满⾜的时候，就执⾏该指令规定的动作，并且不会再检测后⾯的指令条件。
ACL作⽤： * 限制⽹络流量，提⾼⽹络性能。
* 提供数据流控制。
* 为⽹络访问提供基本的安全层。
⼆、ACL 类型1. 标准ACL: access-list-number编号1~99之间的整数，只针对源地址进⾏过滤。
2. 扩展ACL: access-list-number编号100~199之间的整数，可以同时使⽤源地址和⽬标地址作为过滤条件，还可以针对不同的协议、协议的特征、端⼝号、时间范围等过滤。
访问控制列表(ACL)配置
ACL（访问控制列表）一、基本：1、基本ACL表2、扩展ACL表3、基于时间的ACL表4、动态ACL表二、ACL工作过程1、自上而下处理1)、如果有一个匹配的ACL，后面的ACL表不再检查2)、如果所有的ACL都不匹配，禁止所有的操作（隐含）特例，创建一个空的ACL表，然后应用这个空的ACL表，产生禁止所有的操作。
3）、后添加的ACL表，放在尾部4)、ALC表放置的原则：如果是基本ACL表，尽量放在目的端，如果是扩展ACL表，尽量放在源端5)、语句的位置：一般具体ACL表放在模糊的ACL表前6)、3P原则：每一个协议每一个接口每一个方向只有一个ACL表。
（多个ACL表会引起干扰）7)、应用ACL的方向，入站和出站，应用在接口上三、基本ACL表(不具体)1、定义命令：access-list <</span>编号> permit/denny 源IP地址 [子网掩码反码]应用命令：ip access-group <</span>编号> in/out 查看命令：sh access-lists1）、编号：1-99和1300-19992）、可以控制一台计算机或控制一段网络3）、host:表示一台计算机4)、any:表示任何计算机四、ACL配置步骤：1、定义ACL表2、应用ACL表五、路由器在默认的情况下，对所有数据都是开放，而防火墙在默认情况下，对所有数据都禁止。
六：判断是流入还是流出，看路由器的数据流向七：注意：如果在写禁止，小心默认禁止所有1.控制一台计算机(禁止)Access-list 1 deny 172.16.2.100Access-list 1 permit anyInterface f0/0Ip access-group 1 out (应用到端口)2、控制一段网络（禁止）Access-list 1 deny 172.16.2.0 0.0.0.255Access-list 1 permit anyInterface f0/0Ip access-group 1 out(应用到端口)3、控制一台计算机（允许）Access-list 1 permit 172.16.1.1004、控制一个网段（允许）Access-list 1 permit 172.16.1.0 0.0.0.255telnet服务配置：1)、使能密码2)、登录密码控制telnet服务应用端口命令：access-class <</span>编号> in/out 实例：只允许172.16.1.100能够使用telnet服务access-list 1 permit 172.16.1.100 Line vty 0 4Access-class 1 in实例：。
访问控制列表ACL(1)
应用访问控制列表
❖使用命令ip access-group将ACL应用到某一个 接口上 Router(config-if)#ip access-group accesslist-number {in|out}
▪ 在接口的一个方向上，只能应用一个access-list
访问控制列表的种类
❖ 基本类型的访问控制列表
Router(config)#interface fastethernet 0/0 Router（config-if）#ip access-group 101 out
命名的访问控制列表9-1
❖ 标准ACL和扩展ACL中可以使用一个字母数字组 合的字符串（名字）代替来表示ACL的表号
❖ 命名IP访问列表允许从指定的访问列表删除单个 条目
Router(config)#access-list 1 deny 172.16.4.0 0.0.0.255 Router(config)#access—list 1 permit any
0.0.0.0 255.255.255.255 ❖ 第二步，应用到接口E0的出方向
Router(config)#interface fastethernet 0/0 Router（config-if）#ip access-group 1 out
❖第二步，使用ip access-group命令把访问控制列表 应用到某接口，access-class 命令把访问列表应用 到网络设备的线路上，允许或拒绝远程管理设备
Router(config-if)#ip access-group access-listnumber { in | out }
标准ACL应用1：允许特定源的流量6-1
Router(config)#interface fastthernet 0/0 Router（config-if）#ip access-group 101 out
思科路由器用自反访问控制列表(ACL)实现网段之间单向访问配置(设置)方法图解
思科路由器用自反访问控制列表（ACL）实现网段之间单向访问配置（设置）方法问题的提出：有二个网段，网络号分别为192.168.1.0与192.168.0.0，分别有主机192.168.1.2与192.168.0.2，开启了WWW服务和远程桌面。
要求只允许网络192.168.1.0访问192.168.0.0，而不允许反向访问，应该怎样用ACL解决？方案：首先会想到用ACL实现，或者用扩展ACL实现。
Router#conf tRouter(config)#acc 10 deny 192.168.0.0 0.0.0.255 //拒绝192.168.0.0网段Router(config)#acc 10 permit anyRouter(config)#int e0Router(config-if)#ip ace 10 in //ACL应用在流入方向Router(config)#endRouter#wri显示配置清单看上去拒绝了192.168.0.0网段发往192.168.1.0网段的数据流，但是，由192.168.1.0网段主动发起的发往192.168.0.0网段的回程数据也被挡住了。
两边无法通讯。
换扩展ACL试试Router#conf tRouter(config)#acc 110 deny tcp 192.168.0.0 0.0.0.255 192.168.1.0 0.0.0.255 eq 3389//拒绝192.168.0.0网段访问192.168.1.0网段远程桌面Router(config)#acc 110 permit ip any anyRouter(config)#int e0Router(config-if)#ip ace 110 inRouter(config)#endRouter#wri显示配置清单测试结果192.168.0.0网段不能访问192.168.1.0网段远程桌面，192.168.1.0网段可以访问192.168.0.0网段，与目标近了一步。
CISCO的ACL培训教程(精品PPT)
7
出站访问控制操作过程〔续〕
站接口(jiē kǒu)
数据包
选择(xuǎnzé) 网络接口
Y
路由表 是否存在
该路由
？
N
接口 N
是否使用
ACL
？
Y
数据包 S0
出站接口
数据包丢弃(diūqì)桶
第八页，共五十二页。
8
出站访问控制操作过程〔续〕
站接口(jiē kǒu)
数据包
Y
路由表
是否存在
该路由
？
N
选择
Router(config-if)#
ip access-group access-list-number { in | out }
– 在特定接口上启用ACL – 设置(shèzhì)测试为入站〔in〕控制还是出站〔out〕控制 – 缺省为出站〔out〕控制
– “no ip access-group access-list-number〞 命令在特定接口禁用ACL
26
标准 ACL例2 (biāozhǔn)
172.16.3.0 E0
Non172.16.0.0
172.16.4.0
S0
E1
172.16.4.13
access-list 1 deny 172.16.4.13 0.0.0.0
拒绝(jùjué)特定主机的访问
第二十七页，共五十二页。
27
标准 ACL例2 (biāozhǔn)
© 2002, Cisco Sy第ste一ms页, I，nc共. A五ll r十igh二ts页re。served.
第7章 访问控制列表(liè ACL biǎo)
• ACL概述(ɡài shù) • ACL的工作过程 • ACL分类
思科CISCO Acl访问控制详解
访问控制列表ACLACL简介ACL（Access Control List）是一个常用的用于流量匹配的工具，ACL通过对数据包中的源IP、目标IP、协议、源端口、目标端口这5元素进行匹配，然后对匹配的数据执行相应的策略（转发、丢弃、NAT 转换、限速）1.对访问网络的流量进行过滤，实现网络的安全访问；2. 网络地址转换(NAT)；3. QOS服务质量；4. 策略路由。
策略：要求1.1和1.2可以访问财务部(1.1和1.2 是销售部经理),其他不允许访问财务。
一、标准ACL:匹配条件较少，只能通过源IP地址和时间段进行流量匹配，在一些需要进行简单匹配的环境中使用。
R(config)# access-list 编号策略源地址编号：标准ACL范围1--- 99策略：permit允许 | deny 拒绝源地址：要严格检查的地址（ IP+通配符掩码）通配符掩码--- 是用来限定特定的地址范围（反掩码）用0 表示严格匹配用1 表示不检查例：主机 172.16.1.1 通配符掩码 0.0.0.0 32位都要检查主网 172.16.0.0/16 通配符掩码0.0.255.255 检查16位子网 172.16.1.0/24 通配符掩码0.0.0.255 24位要检查任意的 0.0.0.0 通配符掩码255.255.255.255不检查主机 ---- host 172.16.1.1 任意 ---- any练习：192.168.1.64/28子网掩码：255.255.255.240子网号： 192.168.1.64/28 (剩余4个主机位，网络号是16的倍数)广播地址： 192.168.1.79 (下一个网络号-1)通配符掩码 0.0.0.15 (比较前28位)通配符掩码 = 255.255.255.255 - 子网掩码也称为反掩码将ACL与接口关联：R(config-if)#ip access-group 编号 {in|out}{in|out} 表明在哪个方向上的数据进行控制策略：要求1.1和1.2可以访问财务部(1.1和1.2 是销售部经理)，其他不允许访问财务部。
cisco访问控制列表acl所有配置命令详解
cisco访问控制列表acl所有配置命令详解Cisco 路由ACL（访问控制列表）的配置标准ACL Router(config)#access-list 1-99 permit/deny 192.168.1.1（源IP）0.0.0.255（反码）Router(config)#interface f0/0 Router(config-if)#ip access-group 1-99 out/in 扩展ACL Router(config)#access-list 100-199 permit/deny tcp （协议类型）192.168.1.1（源IP） 0.标准ACLRouter(config)#access-list 1-99 permit/deny 192.168.1.1（源IP） 0.0.0.255（反码）Router(config)#interface f0/0Router(config-if)#ip access-group 1-99 out/in扩展ACLRouter(config)#access-list 100-199 permit/deny tcp（协议类型） 192.168.1.1（源IP） 0.0.0.255（源IP反码） 172.16.0.1（目标IP） 0.0.255.255（目标IP反码） eq ftp/23 端口号Router(config)#interface f0/0Router(config-if)#ip access-group 100-199 out/in基于时间的ACL设定路由器的时间:#clock set {hh:mm:ss} {data} {month} {year}Router(config)#time-range wangxin （定义时间名称）以下有两种：1.absouluterRouter(config-time-range)#absouluter指定绝对时间范围start hh:mm end hh:mm Day（日） MONTH(月份） YEAR（年份）end hh:mm end hh:mm Day（日） MONTH(月份） YEAR（年份）如果省略start及其后面的时间，则表示与之相联系的permit或deny语句立即生效，并一直作用到end处的时间为止。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
4.4 标准访问控制列表在路由接口应用 ACL的实例
如图8-4所示，某企业销售部、市场部的网络和财务部的网络通过路由器RTA 和RTB相连，整个网络配置RIPv2路由协议，保证网络正常通信。要求在RTB 上配置标准ACL，允许销售部的主机PC1访问路由器RTB，但拒绝销售部的其 他主机访问RTB，允许销售部、市场部网络上所有其他流量访问RTB。
Router( config ) # access-list 10 permit 0.0.0.0 255.255.255.255 等同于： Router ( config ) # access-list 10 permit any host表示一台主机，例如： Router ( config ) # access-list 10 permit 172. 16. 30.22 0.0.0.0 等同于： Router ( config ) # access-list 10 permit host 172. 16. 30.22 另外，可以通过在access-list命令前加no的形式，来删除一个已经建立的 标准ACL，使用语法格式如下： Router ( config ) # no access-list access-list-number 例如： Router ( config ) # no access-list 10
如果满足测试条件，则允许从该入口来的通信量 数据包的源地址，可以是网络地址或是主机IP地址 可选项）通配符掩码，又称反掩码，用来跟源地址一起决定哪些位需 要匹配 （可选项）生成相应的日志消息，用来记录经过ACL入口的数据包的 情况
三、在通配符掩码中有两种比较特殊，分别是any和host。 any可以表示任何IP地址，例如：
二、呼入Telnet会话管理
参 数
access-list-number Deny
Permit Source source-wildcard Log
描述Leabharlann 访问控制列表表号，用来指定入口属于哪一个访问控制列表。对于标 准ACL来说，是一个从1到99或1300到1999之间的数字 如果满足测试条件，则拒绝从该入口来的通信流量
4.2.1 标准ACL的工作过程
图4-2-1 标准ACL的工作过程
4.2.2 配置标准ACL
一、在路由器上RTB上配置如下： RTB(config)# access-list 1 permit host 172.16.10.10 RTB(config)# access-list 1 deny 172.16.10.0 0.0.0.255 RTB(config)# access-list 1 permit any RTB(config)# interface s0/0 RTB(config-if)# ip access-group 1 in
课题四 访问控制列表 （ACL）的配置
本课题主要内容
使用标准访问控制列表和扩展访问控制列表控 制网络流量的方法 标准访问控制列表和扩展访问控制列表以及在 路由接口应用ACL的实例。
4.1 访问控制列表 4.4.1访问控制列表概述
一、概念 访问控制列表简称 ACL( Access Control Lists），它使用包过滤技术，在路由器上读取 第3层或第4层包头中的信息，如源地址、目的 地址、源端口、目的端口以及上层协议等，根 据预先定义的规则决定哪些数据包可以接收、 哪些数据包需要拒绝，从而达到访问控制的目 的。配置路由器的访问控制列表是网络管理员 一件经常性的工作。
4.1.2
ACL的工作原理
二、ACL匹配性检查
到达访问控制组接 口的数据包 非 是 是
匹配第一步
非 匹配第二步
……
非 是 是
匹配最后一步 非
允许？ 非
目的接口
数据包垃圾桶
图4-1-2 ACL匹配性检查
4.2 配置标准访问控制列表
最广泛使用的访问控制列表是IP访问控制 列表，IP访问控制列表工作于TCP/IP协议组。 按照访问控制列表检查IP数据包参数的不同， 可以将其分成标准ACL和扩展ACL两种类型。 此外Cisco IOS 11.2版本中还引入了IP命名ACL 类型。从本节开始分别介绍各种ACL的配置方 法。
4.4 标准访问控制列表在路由接口应用 ACL的实例
1、配置标准ACL 在路由器上RTB上配置如下： RTB(config)# access-list 1 permit host 172.16.10.10 RTB(config)# access-list 1 deny 172.16.10.0 0.0.0.255 RTB(config)# access-list 1 permit any RTB(config)# interface s0/0/0 RTB(config-if)# ip access-group 1 in
4.3 配置扩展访问控制列表 4.3.1 扩展ACL的工作过程
图4-3-1
扩展ACL的工作过程
4.3.2 配置扩展ACL
Router(config)# access-list access-list-number {deny | permit} protocol source [source-wildcard destination destination-wildcard] [operator operand] [established] Router(config)# no access-list access-list-number
4.4.1访问控制列表概述
二、组成
访问控制列表 Internet
图4-1-1 网络中使用ACL
4.4.1访问控制列表概述
三、 ACL的作用
ACL的作用主要表现在两个方面：一方面保护资 源节点，阻止非法用户对资源节点的访问；另一 方面限制特定的用户节点所能具备的访问权限。 （1）检查和过滤数据包。
（2）限制网络流量，提高网络性能。
（3）限制或减少路由更新的内容。
（4）提供网络访问的基本安全级别。
4.1.2
ACL的工作原理
一、工作原理 当一个数据包进入路由器的某一个接口时，路由 器首先检查该数据包是否可路由或可桥接。然后路由 器检查是否在入站接口上应用了ACL。如果有ACL，就 将该数据包与ACL中的条件语句相比较。如果数据包被 允许通过，就继续检查路由器选择表条目以决定转发 到的目的接口。ACL不过滤由路由器本身发出的数据包， 只过滤经过路由器的数据包。下一步，路由器检查目 的接口是否应用了ACL。如果没有应用，数据包就被直 接送到目的接口输出。