标准访问控制列表的配置
访问控制列表
access-list 101 permit tcp 172.16.2.0 0.0.0.255 host 172.16.4.44 eq www interface f1/0 ip access-group 101 in
例2
access-list 102 deny tcp 172.16.1.0 0.0.0.255 host 172.16.4.44 eq www 要求：对如下网络进行数据流量控制，要求销售部仅能访 access-list 102 permit ip any any 问财务部的web服务器的www服务，但经理部不能访问财 interface f0/0 务部web服务器的www服务，其他服务能够访问。 ip access-group 102 in
选择离开接口
路由器取出外向ACL的第一条语句 取出外向ACL 下一条语句 匹配项与数据包中的各项进行比较
是否匹配？
最后一条？
允许还是拒绝？
拒绝
允许
数据包从离开接口送出
丢弃
结束
通配符掩码
通配符掩码 0.0.0.0 0.0.0.255 0.0.255.255 0.255.255.255 255.255.255.255 0.0.15.255 0.0.3.255 掩码的二进制形式 00000000.00000000.00000000.00000000 00000000.00000000.00000000.11111111 00000000.00000000.11111111.11111111 00000000.11111111.11111111.11111111 11111111.11111111.11111111.11111111 00000000.00000000.00001111.11111111 00000000.00000000.00000011.11111111 描 述 整个lP地址必须匹配 只有前24位需要匹配 只有前16位需要匹配 只有前8位需要匹配 全部不需要匹配 只有前20位需要匹配 只有前22位需要匹配
原程序(标准IP访问控制列表配置)
ROUTER0配置：Router>enRouter#conf tRouter(config)#int f0/0Router(config-if)#ip address 192.168.10.1 255.255.255.0 Router(config-if)#no shutdownRouter(config-if)#exitRouter(config)#int f0/1Router(config-if)#ip address 192.168.20.1 255.255.255.0 Router(config-if)#no shutdownRouter(config-if)#exitRouter(config)#int s0/0/0Router(config-if)#ip address 192.168.30.1 255.255.255.0 Router(config-if)#no shutdownRouter(config-if)#clock rate 64000Router(config-if)#exitRouter(config)#router ripRouter(config-router)#version 2Router(config-router)#network 192.168.10.0Router(config-router)#network 192.168.20.0Router(config-router)#network 192.168.30.0Router(config-router)#no auto-summaryRouter(config-router)#ROUTER1配置：Router>enRouter#conf tRouter(config)#int f0/0Router(config-if)#ip address 192.168.40.1 255.255.255.0 Router(config-if)#no shutdownRouter(config-if)#exitRouter(config)#int s0/0/0Router(config-if)#ip address 192.168.30.2 255.255.255.0Router(config-if)#no shutdownRouter(config-if)#exitRouter(config)#route ripRouter(config-router)#version 2Router(config-router)#network 192.168.30.0Router(config-router)#network 192.168.40.0Router(config-router)#no auto-summaryRouter(config-router)#exitRouter(config)#ip access-list standard aa //关于配置标准IP 访问控制列表，采用命名的标准ACL（命名为aa）Router(config-std-nacl)#permit 192.168.10.0 0.0.0.255 //允许来自198.162.10.0 网段的流量通过Router(config-std-nacl)#deny 192.168.20.0 0.0.0.255 //拒绝来自198.162.20.0 网段的流量通过Router(config-std-nacl)#exitRouter(config)#int f0/0Router(config-if)#ip access-group aa out //在接口下访问控制列表出栈流量调用interface fa 0/0Router(config-if)#end测试：。
ACL规则设置
ACL规则设置：ACL 配置【网讯网络通信学院】定义选择标准acl 规则中的选择标准描述了分组的特性。
我们可以定义一个基于源地址过滤的acl，也可以定义一个基于源和目的的特定流的acl。
通常使用下列标准来定义一个acl 语句：源ip 地址目的ip 地址源端口号目的端口号协议类型这些选择标准被指定为acl 规则的域。
在定义acl 时，编号在1~99 之间的acl称为标准acl，在标准acl 中仅对源地址进行定义。
编号在100~199 之间的acl 称为扩展acl，在扩展acl 中我们可以对源地址、目的地址、源端口号、目的端口号、协议号进行定义。
定义acl 规则的操作如下：1．定义标准访问控制列表（1）在全局配置模式下定义一个标准访问控制列表ip access-list standard {[access-list-number] | alias [acl-alias] | name [acl-name]} [match-order {auto|config}]（2）为标准访问控制列表设置条件{permit|deny} {{[source] [[source-wildcard]]} | any} [log]2．定义扩展访问控制列表（1）在全局配置模式下定义一个扩展访问控制列表ip access-list extended {[access-list-number] | alias [acl-alias] | name [acl-name]} [match-order {auto|config}]（2）为扩展访问控制列表设置条件{permit|deny} {[protocol number] | [protocol keyword]} {{[source address][source-wildcard]} | any}[[source port]]{{[destination address][destination-wildcard]} | any}[[destination port]][log]acl 规则的每个域都对位置敏感。
标准acl的工作原理
标准acl的工作原理一、什么是ACL（访问控制列表）访问控制列表（Access Control Lists，ACL）是一种广泛应用于网络设备（如路由器和交换机）的配置工具，用于控制网络流量和权限。
它们在许多网络环境中起着至关重要的作用，包括网络安全、流量管理、设备访问控制等。
标准ACL（Standard ACL）是一种基本的ACL配置，用于定义一系列规则，这些规则定义了哪些数据包可以或不可以通过设备。
这些规则基于源地址、目标地址、端口号、协议类型等因素进行匹配，并根据匹配结果进行相应的动作（如允许、拒绝、重定向等）设置。
标准ACL的工作原理可以概括为以下几个步骤：1. 匹配规则：标准ACL首先根据规则中的条件（如源地址、目标地址、端口号等）对进入和出站的流量进行匹配。
只有当数据包符合所有规则的条件时，才会进一步评估下一个步骤。
2. 动作设置：一旦数据包被匹配，ACL会根据规则设置相应的动作。
这些动作可以是允许通过（允许进入或出站流量）、拒绝通过（阻止进入或出站流量）或重定向到其他网络。
3. 规则的优先级：在标准ACL中，规则的优先级决定了数据包的处理顺序。
一般而言，较新的规则具有更高的优先级，当多个规则匹配同一个数据包时，优先级高的规则会优先处理。
4. 匹配失败的处理：如果数据包无法匹配任何ACL规则，那么通常会根据设备的默认策略进行处理，如丢弃数据包或将其发送到其他网络。
三、标准ACL的配置示例以下是一个简单的标准ACL配置示例，用于限制特定IP地址的访问：```yamlaccess-list 10 deny 192.168.0.1 anyaccess-list 10 permit any any```在这个例子中，规则10定义了两个动作：禁止IP地址为192.168.0.1的数据包进入或离开网络，同时允许所有其他数据包通过。
这个规则的优先级高于其他未定义的规则。
四、标准ACL的优点和缺点标准ACL的主要优点是可以灵活地控制网络流量，通过定义各种规则来满足特定的安全需求。
ACL配置
第1章ACL简介1.1 ACL概述网络设备为了过滤数据，需要设置一系列匹配规则，以识别需要过滤的对象。
在识别出特定的对象之后，根据预先设定的策略允许或禁止相应的数据包通过。
ACL（Access Control List）可用于实现这些功能。
ACL（访问控制列表）是一种对经过网络设备的数据流进行判断、分类和过滤的方法。
通常我们使用ACL实现对数据报文的过滤、策略路由以及特殊流量的控制。
一个ACL中可以包含一条或多条针对特定类型数据包的规则，这些规则告诉网络设备，对于与规则中规定的选择标准相匹配的数据包是允许还是拒绝通过。
由ACL定义的数据包匹配规则，还可以被其它需要对流量进行区分的场合引用，如防火墙、QOS与队列技术、策略路由、数据速率限制、路由策略、NAT等。
1.2 ACL分类访问控制列表分为多种类型：1．基本ACL：只对源IP地址进行匹配。
2．扩展ACL：对源IP地址、目的IP地址、IP协议类型、TCP源端口号、TCP目的端口号、UDP源端口号、UDP目的端口号、ICMP类型、ICMP Code、DSCP（DiffServ CodePoint）、ToS、Precedence进行匹配。
3．二层ACL：对源MAC地址、目的MAC地址、源VLAN ID、二层以太网协议类型、802.1p 优先级值进行匹配。
4．混合ACL：对源MAC地址、目的MAC地址、源VLAN ID、源IP地址、目的IP地址、TCP源端口号、TCP目的端口号、UDP源端口号、UDP目的端口号进行匹配。
5．用户自定义ACL：对VLAN TAG的个数和偏移字节进行匹配。
1.3 ACL工作流程下面以路由器为例说明ACL的基本工作过程。
制定的，则图1.3-2 应用于入接口的ACL当ACL应用在入接口上时，工作流程如下：当路由器的接口接收到一个数据包时，首先会检查访问控制列表，如果执行控制列表中有拒绝和允许的操作，则被拒绝的数据包将会被丢弃，允许的数据包进入路由选择状态。
访问控制列表实验报告
访问控制列表实验报告介绍访问控制列表（Access Control List）是一种用于网络安全的重要工具。
它用于限制用户或设备对网络资源的访问权限，以保护网络的安全和保密性。
在本实验中，我们将学习如何配置和管理访问控制列表，并通过实际的示例来演示ACL的工作原理和应用。
实验目标本实验的目标是帮助学生理解访问控制列表的基本概念和配置方法。
具体而言，我们将关注以下方面：1.访问控制列表的作用和用途；2.如何配置和管理访问控制列表；3.不同类型的访问控制列表及其应用场景。
实验步骤步骤一：了解访问控制列表访问控制列表是一种在路由器或交换机上配置的规则集合，用于控制网络流量的访问权限。
它基于源地址、目的地址、协议类型等条件来限制特定用户或设备对网络资源的访问权限。
ACL可以分为两种类型：标准ACL和扩展ACL。
标准ACL仅使用源地址作为匹配条件，而扩展ACL可以使用更多的条件来进行匹配，例如源地址、目的地址、协议类型、端口号等。
步骤二：配置访问控制列表在这个实验中，我们将使用一台路由器进行ACL的配置示例。
以下是一些基本的ACL配置命令：Router(config)# access-list 1 permit 192.168.0.0 0.0.255.255上述命令创建了一个标准ACL，允许所有源地址为192.168.0.0/16的流量通过。
Router(config)# access-list 2 permit tcp any host 192.168.1.1 eq 80上述命令创建了一个扩展ACL，允许任何源地址的TCP流量通过到目的地址为192.168.1.1、目的端口号为80的主机。
步骤三：应用访问控制列表完成ACL的配置后，我们需要将其应用到实际的接口或接口组上。
以下是一些基本的ACL应用命令：Router(config-if)# ip access-group 1 in上述命令将ACL 1应用到接口的入方向，用于限制进入该接口的流量。
访问控制列表
• 设备从某接口向外发送数据时进行安全规则过滤
• 一个接口在一个方向只能应用一组访问控制列表
IN F1/0
OUT F1/1
访问列表的入栈应用
查找路由表 进行选路转发 是否应用 访问列表 ?
Y N
是否送方
平顶山学院
平顶山学院
软件学院
反掩码（通配符） 反掩码（通配符）
128 64 32 16 8 4 2 1
0 0 0 1
0 0 0 1
0 1 0 1
0 1 0 1
0 1 1 1
0 1 1 1
0 1 1 1
0 1 1 1
0表示检查相应的地址比特 表示检查相应的地址比特 1表示不检查相应的地址比特 表示不检查相应的地址比特
• 规则匹配原则
– 从头到尾，自顶向下的匹配方式 – 匹配成功马上停止 – 立刻使用该规则的“允许/拒绝……”
9.3.5访问列表规则的定义
• 标准访问列表
– 根据数据包源IP地址进行规则定义
• 扩展访问列表
– 根据数据包中源IP、目的IP、源端口、目的端 口、协议进行规则定义
IP标准访问列表 标准访问列表
平顶山学院 软件学院
标准访问列表配置实例(二)
• 需求：
– 你是某校园网络管理员，领导要你对网络的数据 流量进行控制,要求校长可以访问财务的主机，但 教师机不可以访问。
• 配置：
– ip access-list standard abc – permit host 192.168.2.8 – deny 192.168.2.0 0.0.0.255 F0/2 – ip access-group abc in
F0/1 财务 192.168.1.0 F0/6 F0/8 F0/10 教师 192.168.2.0
赫思曼交换机访问控制列表配置
赫思曼交换机访问控制列表配置准备工作：1．按照网络拓扑图为PC A、PC B、PC C和PC D及 Power MICE交换机配置相应的IP地址。
2．PC A、PC B分别连接交换机的2/1、2/2端口；PC C、PC D分别连接交换机的2/3、2/4端口。
实验任务：通过在交换机上配置扩展访问控制列表使PC A可以和另外3台PC通信，但PC B只能和PCA、 PC C通信，无法与PC D通信。
注意：扩展访问控制列表不仅能够实现对终端访问权限的设置，而且还可以通过对通信协议（如ICMP TCP/UDP等）和通信端口（如ftp:20/21 telnet:23 smtp:25 http:80等）的限制实现更高级的访问控制功能，本次操作仅对Ping（基于ICMP）进行测试。
实验步骤：将调试所用的笔记本电脑的串口与交换机的V.24口相连，通过超级终端访问交换机选择“还原为默认设置”(Hirschmann PowerMICE) //蓝色表示输入字符，回车略去User:admin//输入用户名称Password:*******//输入密码private将交换机切换到配置模式(Hirschmann PowerMICE) >enable// 由用户模式“>”进入特权模式“#”(Hirschmann PowerMICE) #configure// 由特权模式“#”进入配置模式“（config）”(Hirschmann PowerMICE) (Config)#设置访问控制列表条件语句(Hirschmann PowerMICE) (Config)#access-list 100 deny icmp 10.0.0.2 0.0.0.0 10.0.0.4 255.255.255.0//创建表号为100的扩展访问控制列表，拒绝源地址为10.0.0.2向10.0.0.4发送ICMP数据包注意：10.0.0.2后面的0.0.0.0不是子网掩码，而是反向掩码，代表精确匹配。
网络控制协议配置与访问控制列表
网络控制协议配置与访问控制列表网络控制协议（Network Control Protocol，简称NCP）是一种用于配置和管理计算机网络设备的通信协议。
它定义了设备之间进行通信和数据传输的规范，帮助网络管理员实现网络流量的控制和管理。
与此同时，访问控制列表（Access Control List，简称ACL）是一种配置表，用于限制网络通信中的访问权限。
在本文中，我们将重点讨论网络控制协议的配置和访问控制列表的使用。
1.网络控制协议的配置网络控制协议的配置是网络管理的重要一环。
通过合理配置网络控制协议，我们能够实现网络设备的良好运行和管理。
下面介绍几种常见的网络控制协议及其配置方法：- 路由协议配置：路由协议用于决定网络中数据包的转发路径。
常见的路由协议有RIP（Routing Information Protocol）和OSPF（Open Shortest Path First）。
在配置过程中，需要设置协议的参数，如路由器之间的相邻关系、网络的距离等。
- VLAN配置：虚拟局域网（Virtual LAN，简称VLAN）是一种通过逻辑方式将不同物理局域网划分为虚拟子网的技术。
通过配置网络控制协议，可以将不同的端口划分为不同的VLAN，并通过VLAN间的路由器进行通信。
- NAT配置：网络地址转换（Network Address Translation，简称NAT）是一种将私有IP地址转换为公有IP地址的技术。
在进行NAT配置时，需要指定内部网络和外部网络的接口、IP地址映射规则等。
2.访问控制列表的使用访问控制列表是一种用于限制网络通信中的访问权限的配置表。
通过配置访问控制列表，我们能够实现对网络中特定主机或服务的访问控制。
下面介绍几种常见的访问控制列表及其使用方法：- 标准访问控制列表：标准访问控制列表（Standard ACL）是一种基于源IP地址进行过滤的访问控制列表。
通过配置标准访问控制列表，可以实现对特定源IP地址或地址范围的访问控制。
标准IP访问控制列表ACL
Tutorial 07: 标准IP访问控制列表ACL【实验名称】标准IP访问控制列表ACL【实验目的与要求】目的：掌握路由器上编号的标准IP访问列表规则及配置。
要求：用交换机模拟公司的经理部，财务部门和销售部门，他们分属不同的3个网段，三部门之间用路由器进行信息传递，为了安全起见，要求销售部门不能对财务部门进行访问，但经理部可以对财务部门进行访问。
PCA代表经理部的主机，PCB代表销售部门的主机、PCC代表财务部门的主机。
【实现功能】实现网段间互相访问的安全控制。
【实验设备及台套数】每组试验需要以下器材：PC机六台、锐捷路由器(R1762)2台、V35线缆1条、双绞线若干【实验原理】IP ACL（IP访问控制列表或IP访问列表）是实现对流经路由器或交换机的数据包根据一定的规则进行过滤，从而提高网络可管理性和安全性。
IP ACL分为两种：标准IP访问列表和扩展IP访问列表。
标准IP访问列表可以根据数据包的源IP定义规则，进行数据包的过滤。
扩展IP访问列表可以根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，进行数据包的过滤。
IP ACL的配置有两种方式：按照编号的访问列表，按照命名的访问列表。
标准IP访问列表编号范围是1～99、1300～1999，扩展IP访问列表编号范围是100～199、2000～2699.【实验拓扑】【实验步骤】一、路由器的基本配置1、路由器A的基本配置RouterA(config)#interface fastEthernet 1/0RouterA(config-if)#ip address 172.16.1.1 255.255.255.0RouterA(config-if)#no shutdownRouterA(config)#interface fastEthernet 1/1RouterA(config-if)#ip address 172.16.2.1 255.255.255.0RouterA(config-if)#no shutdownRouterA(config)#interface serial 1/2RouterA(config-if)#ip address 172.16.3.1 255.255.255.0RouterA(config-if)#clock rate 64000RouterA(config-if)#no shutdown验证测试：RouterA#show ip interface briefInterface IP-Address(Pri) OK? Status serial 1/2 172.16.3.1/24 YES UP serial 1/3 no address YES DOWN FastEthernet 1/0 172.16.1.1/24 YES UP FastEthernet 1/1 172.16.2.1/24 YES UPNull 0 no address YES UP2、路由器B的基本配置RouterB(config)#interface fastEthernet 1/0RouterB(config-if)#ip address 172.16.4.1 255.255.255.0RouterB(config-if)#no shutdownRouterB(config)#interface serial 1/2RouterB(config-if)#ip address 172.16.3.2 255.255.255.0RouterB(config-if)#no shutdown验证测试：RouterB#show ip interface briefInterface IP-Address(Pri) OK? Status serial 1/2 172.16.3.2/24 YES UPserial 1/3 no address YES DOWN FastEthernet 1/0 172.16.4.1/24 YES UP FastEthernet 1/1 no address YES DOWN Null 0 no address YES UP二、配置静态路由RouterA(config)#ip route 172.16.4.0 255.255.255.0 172.16.3.2RouterB(config)#ip route 172.16.1.0 255.255.255.0 172.16.3.1RouterB(config)#ip route 172.16.2.0 255.255.255.0 172.16.3.1验证测试：RouterA#show ip routeCodes: C – connected, S – static, R – RIPO – OSPF, IA – OSPF inter areaN1 – OSPF NSSA external type 1, N2 – OSPF NSSA external type 2 E1 – OSPF external type 1, E2 – OSPF external type 2* - candidate defaultGateway of last resort is no setC 172.16.1.0/24 is directly connected, FastEthernet 1/0C 172.16.1.1/32 is local host.C 172.16.2.0/24 is directly connected, FastEthernet 1/1C 172.16.2.1/32 is local host.C 172.16.3.0/24 is directly connected, serial 1/2C 172.16.3.1/32 is local host.S 172.16.4.0/24 is directly connected, serial 1/2RouterB#show ip routeCodes: C – connected, S – static, R – RIPO – OSPF, IA – OSPF inter areaN1 – OSPF NSSA external type 1, N2 – OSPF NSSA external type 2E1 – OSPF external type 1, E2 – OSPF external type 2* - candidate defaultGateway of last resort is no setS 172.16.1.0/24 is directly connected, serial 1/2S 172.16.2.0/24 is directly connected, serial 1/2C 172.16.3.0/24 is directly connected, serial 1/2C 172.16.3.2/32 is local host.C 172.16.4.0/24 is directly connected, FastEthernet 1/0C 172.16.4.1/32 is local host.三、配置标准IP访问控制列表RouterB(config)#access-list 1 deny 172.16.2.0 0.0.0.255!拒绝来自172.16.2.0网段的流量通过RouterB(config)#access-list 1 permit 172.16.1.0 0.0.0.255!允许来自172.16.1.0网段的流量通过验证测试：RouterB#show access-lists 1Standard IP access-list 1 includes 2 items：deny 172.16.2.0，wildcard bits 0.0.0.255permit 172.16.1.0，wildcard bits 0.0.0.255四、把访问控制列表在接口下应用RouterB(config)#interface f1/0RouterB(config-if)#ip access-group 1 out !在接口下访问控制列表出栈流量调用验证测试：RouterB#show ip interface fastEthernet 1/0FastEthernet 1/0IP interface state is：UPIP interface type is：BROADCASTIP interface MTU is：1500IP address is:172.16.4.1/24（primary）IP address negotiate is ：OFFForward direct-boardcast is：ONICMP mask reply is：ONSend ICMP redirect is：ONSend ICMP unreachabled is：ONDHCP relay is：OFFFast switch is：ONRoute horizontal-split is：ONHelpaddress is：0.0.0.0Proxy ARP is：ONOutgoing access list is 1. ！查看访问列表在接口上的应用Inbound access list not set。