ACL訪問控制列表

1. ACL概述

（1）、ACL全稱訪問控制列表（Access Control List）。

成都創(chuàng)新互聯(lián)專注于潘集網(wǎng)站建設(shè)服務(wù)及定制，我們擁有豐富的企業(yè)做網(wǎng)站經(jīng)驗。 熱誠為您提供潘集營銷型網(wǎng)站建設(shè)，潘集網(wǎng)站制作、潘集網(wǎng)頁設(shè)計、潘集網(wǎng)站官網(wǎng)定制、成都微信小程序服務(wù)，打造潘集網(wǎng)絡(luò)公司原創(chuàng)品牌,更為您提供潘集網(wǎng)站排名全網(wǎng)營銷落地服務(wù)。

（2）、基本原理：ACL使用包過濾技術(shù)，在路由器上讀取第三層及第四層包頭中的信息（如源地址、目的地址、協(xié)議口、端口號等），根據(jù)預(yù)先定義好的規(guī)則對包進行過濾，從而達到控制的目的。

（3）ACL目的：限制網(wǎng)絡(luò)流量、提高網(wǎng)絡(luò)性能；提供對通信流量的控制手段；提供網(wǎng)絡(luò)訪問的基本安全手段。

（4）、功能：網(wǎng)絡(luò)中的結(jié)點分為資源結(jié)點和用戶結(jié)點兩大類，其中資源結(jié)點提供服務(wù)或數(shù)據(jù)，而用戶結(jié)點訪問資源結(jié)點所提供的服務(wù)與數(shù)據(jù)。ACL的主要功能就是一方面保護資源結(jié)點，阻止非法用戶對資源結(jié)點的訪問；另一方面限制特定的用戶結(jié)點對資源結(jié)點的訪問權(quán)限

（5）、ACL的訪問順序
a、按照各語句在訪問列表的順序，順序查找，一旦找到了某一匹配條件，就結(jié)束匹配，不再檢查后面的語句。

b、如果所有語句都沒有匹配，在默認情況下，雖然看不到最后一行，但最后總是拒絕全部流量的。

常用的端口號及其功能

訪問控制列表（ACL）

（1）讀取第三層、第四層包頭信息
（2）根據(jù)預(yù)先定義好的規(guī)則對包進行過濾
（3）訪問控制列表利用（源地址、目的地址、源端口、目的端口）這4個元素定義的規(guī)則。

訪問控制列表在接口應(yīng)用的方向

（1）出：已經(jīng)過路由器的處理，正離開路由器接口的數(shù)據(jù)包
（2）入：已經(jīng)達到路由器接口的數(shù)據(jù)包，將被路由器處理。

列表應(yīng)用到接口的方向與數(shù)據(jù)方向有關(guān)。

訪問控制列表的處理過程

標準訪問控制列表

（1）基于源IP地址過濾數(shù)據(jù)包
（2）標準訪問控制列表的訪問控制列表號是1~99

創(chuàng)建ACL

Router(config)#access-list access-list-number {permint(允許數(shù)據(jù)包通過) | deny(拒絕數(shù)據(jù)包通過)} source [source-wildcard]

刪除ACL

Router(config)# no access-list access-list-number

應(yīng)用實例

允許192.168.1.0/24和主機192.168.2.2的流量通過

Router(config)#access-list 1 permit 192.168.1.0 0.0.0.255
Router(config)#access-list 1 permit 192.168.2.2 0.0.0.0

隱含的拒絕語句

Router(config)#access-list 1 deny 0.0.0.0 255.255.255.255

關(guān)鍵字

host ：固定地址
any ：所有地址

將ACL應(yīng)用于接口

Router(config)# ip access-group access-list-number {in | out}

在接口上取消ACL的應(yīng)用

Router(config)# no ip access-group access-list-number {in | out }

擴展訪問控制列表

（1）基于源IP地址、目標IP地址、指定協(xié)議、端口和標志來過濾數(shù)據(jù)包
（2）擴展訪問控制列表的訪問控制列表號是100~199

創(chuàng)建ACL

Router(config)#access-list access-list-number { permit | deny } protocol { source source-wildcard destination destination-wildcard } [ operator operan ]

刪除ACL

Router(config)# no access-list access-list-number

將ACL應(yīng)用于接口

Router(config-if)# ip access-group access-list-number { in | out }

在接口上取消ACL的應(yīng)用

Router(config-if)# no ip access-group access-list-number { in | out }

應(yīng)用實例

Router(config-if)# access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
Router(config-if)# access-list 101 deny ip any any

Rouer(config-if)# access-list 101 deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.2 eq 21
Router(config-if)# access-list 101 permit ip any any

Router(config-if)# access-list 101 deny icmp 192.168.1.0 0.0.0.255 host 192.168.2.2 echo
Router(config-if)# access-list 101 permit ip any any

命名訪問控制列表

（1）命名訪問控制列表允許在標準和擴展訪問控制列表中使用名稱代替表號

創(chuàng)建ACL

Router(config-if)#  ip access-list { standard(標準命名ACL) | extended(擴展命名ACL)} access-list-name

配置標準命名ACL

Router(config-std-nacl)# [ Sequence-Number ] { permit | deny } source [source-wildcard ]

配置標準命名ACL實例

只允許來自主機192.168.1.1/24的流量通過

Router(config)# ip access-list standard cisco
Router(config-stdnacl)# permit host 192.168.1.1
Router(config-stdnacl)#  deny any

更改ACL、又允許來自主機192.168.2.1/24的流量通過

Router(config)# ip access-list standard cisco
Router(config-stdnacl)# 15 permit host 192.168.1.1   //添加序列號為15的ACL語句

配置擴展命名ACL

Router(config-ext-nacl)# [ Sequence-Number ]  { permit | deny } protocol { source source-wildcard destination destination-wildcard } [ operator operan ]

配置擴展命名ACL

Router(config)# ip access-list extandard cisco
Router(config-ext-nacl)# deny  tcp 192.168.1.0 0.0.0.255 host 192.168.2.2 eq  21
Router(config-ext-nacl)#permit ip any any

Sequence-Number 決定ACL語句在ACL列表中的位置

刪除整組ACL

Router(config)# no ip access-list { standard | extended ] access-list-name

刪除組中單一ACL語句

no Sequence-Number
no ACL 語句

創(chuàng)建ACL

Router(config)# ip access-list standard cisco
Router(config-stdnacl)# permit host 192.168.1.1
Router(config-stdnacl)#  end

刪除組中單一ACL語句

Router(config-stdnacl)#  no 10
或
Router(config-stdnacl)#  no permit host 192.168.1.1

將ACL應(yīng)用于接口

Router(config-if)# ip  access-group access-list-name {in | out}

在接口上取消ACL的應(yīng)用

Router(config-if)# no ip  access-group access-list-name {in | out}