ACL实验

1.定义

ACL：access control list 访问控制列表

2.功能

匹配感兴趣流，对其放行或者丢弃

编号ACL

编号ACL又分为标准ACL和扩展ACL:

标准ACL

查看的是IP包头
①只匹配源IP地址
②允许或者拒绝的是整个TCP/IP协议,对于源IP地址，所有流量都被拒绝掉了

标准ACL的编号：
1-99，1300-1999
格式：
access-list 1 deny x.x.x.x 反掩码
access-list 1 permit any //需要加这句话，因为最后隐藏这deny any

调用：
进接口，ip access-group 1 in/out

以上为实验拓扑图，R123均配置OSPF,R1可ping通3

在R2上配置ACL,在f0/0口调用

然后我们发现1和2之间的OSPF直接DOWN掉了

咦？为什么OSPF邻居直接DOWN掉了？从R1查看时发现Stata(状态)直接变为INIT初始化
因为因标准ACL是IP ACL，所以查看的是IP包头，允许或者拒绝的是整个TCP/IP协议，对于源IP地址，所有流量都被拒绝掉了，包括OSPF，所以你的路由直接没有了，邻居直接停在INIT状态

此时R1 PING不通3咯，也PING不通2

扩展ACL

1.配源IP，目的IP，源端口，目的端口
2.允许或者拒绝的是特定协议（icmp tcp） ，也就是说可以精确到一个小的协议

我们将调用直接NO掉，然后配置扩展ACL:

这条ACL语句的意思是，拒绝掉从1.1.1.0发送给3.3.3.0的icmp流量

然后就可以看见，带源ping直接ping不通啦~

但是直接ping是能通的哦，因为它匹配到的是第二条语句 permit ip any any

Telnet也能成功呀！因为它也是匹配到permit ip any any，它不会像标准ACL一样直接把整个IP流量都拒绝掉，而是可以精确匹配到一个小的协议。

命名ACL

命名ACL相对于编号ACL的特点：管理方便
能任意增加，删除或者修改特定语句

命名ACL同样分为标准和扩展

1.命名标准ACL

语句：
Ip access-list standard 名字
10 permit x.x.x.x
20 deny x.x.x.x

2.命名扩展ACL

语句：
Ip access-list extended 名字
10 permit tcp x.x.x.x y.y.y.y eq telnet
20 deny udp x.x.x.x y.y.y.y eq 520

我们可以直接创建一个extended列表

可以很方便地插入语句

命名ACL调用语句和编号ACL是一样的

ACL规则

1.编号ACL无法删除特定条目，只能删除整个ACL，命名ACL可以很方便的修改
2.ACL只能过滤通过路由器的流量，不能过滤自己产生的流量
3，ACL最后都有一句 deny any /deny ip any any ,所以需要加入permit any/ permit ip any any
4.一个接口只能有一个访问列表
5.流量从上到下进行匹配，找到匹配源直接执行，不再查看剩下的条目
6.一般越详细的语句放越前面

That’s all,3Q~