访问控制列表详解

 

1. 什么是访问控制列表

指根据事先设定好的一系列的规则，对进出路由器或者三层交换机的数据包进行检测，实现对网络的访问控制管理、流量管理等。

访问控制列表的种类

2. 目前主要有三种访问控制列表（ACL）：

标准ACL

扩展ACL

命名ACL

主要动作为允许（Permit）和拒绝（deny）。

主要应用方法：入栈（In）和出栈（Out）应用。

2.1 标准ACL

标准访问控制列表匹配IP包中的源地址或源地址中的一部分，可对匹配的包采取拒绝或允许两个操作。编号范围是从1到99。

 

Route(config)#access-list 1 deny 192.168.1.0 0.0.0.255

 

2.2 扩展ACL

扩展IP访问控制列表比标准IP访问控制列表具有更多的匹配项，包括协议类型、源地址、目的地址、源端口、目的端口、建立连接的和IP优先级等。编号范围是从100到199。

Route(config)#access-list 101 deny 192.168.1.0 0.0.0.255 202.114.254.0 0.0.0.255

 

2.3 命名的访问控制列表

所谓命名的访问控制列表是以列表名代替列表编号来定义IP访问控制列表。

(1). 标准的命名访问控制列表

Route(config)#ip access-list standard list-name

Route(config-std-nacl)#

(2). 扩展的命名访问控制列表

route(config)ip access-list extended list-name

route(config-ext-nacl)#

2.4 基于时间的访问控制列表

基于时间的访问控制列表由两部分组成，第一部分是定义时间段，第二部分是用扩展访问控制列表定义规则。这里我们主要讲解下定义时间段，

具体格式如下：

    time-range    时间段名称
    absolute start [小时：分钟] [日 月 年] [end] [小时：分钟] [日 月 年]

    例如：time-range softer
             absolute start 0:00 1 may 2005 end 12:00 1 june 2005

    意思是定义了一个时间段，名称为softer，并且设置了这个时间段的起始时间为2005年5月1日零点,结束时间为2005年6月1日中午12点。我们通过这个时间段和扩展ACL的规则结合就可以指定出针对自己公司时间段开放的基于时间的访问控制列表了。当然我们也可以定义工作日和周末，具体要使用periodic命令。

 

 

 

 

 

3. ACL的作用

ACL可以限制网络流量、提高网络性能。例如，ACL可以根据数据包的协议，指定数据包的优先级。

ACL提供对通信流量的控制手段。例如，ACL可以限定或简化路由更新信息的长度，从而限制通过路由器某一网段的通信流量。

ACL是提供网络安全访问的基本手段。

ACL可以在路由器端口处决定哪种类型的通信流量被转发或被阻塞。例如，用户可以允许E-mail通信流量被路由，拒绝所有的Telnet通信流量。

 

4. ACL执行过程

一个端口执行哪条ACL，这需要按照列表中的条件语句执行顺序来判断。如果一个数据包的报头跟表中某个条件判断语句相匹配，那么后面的语句就将被忽略，不再进行检查。数据包只有在跟第一个判断条件不匹配时，它才被交给ACL中的下一个条件判断语句进行比较。如果匹配（假设为允许发送），则不管是第一条还是最后一条语句，数据都会立即发送到目的接口。如果所有的ACL判断语句都检测完毕，仍没有匹配的语句出口，则该数据包将视为被拒绝而被丢弃。

　　

　　这里要注意，ACL不能对本路由器产生的数据包进行控制。