(以下所有内容为本手纯手打,有纰漏的地方,也请大家多多包含可发小猪消息赐教交流!)

(本文所有内容及批注呈内收递归的架构显示,因格式显示不懂之处望谅解!)

(本文手打之,命令关键字大多使用简写,如有不明最好是键入命令时惯用tab补全!)


访问控制列表ACL-小猪详谈:


简单总结:

(接口启用应用acl后,所有acl只有应用到接口上才起作用,执行出入规则允许或拒绝,默认为丢弃!)

        (包过滤技术,过滤三四层包头信息,网络层和会话层)

        (标准访问控制列表,扩展访问控制列表,命名访问控制列表、动态acl-通过定义时间段-这里不做详解)

        (标准和扩展都无法随意更改编辑规则,命名的则可)

        (标准和扩展acl删除是只能删除真个表,而不能只删除其中的一个规则语句)

        (标准acl规则一般应用到离目标地址较近的路由口上,扩展acl则一般应用在离源地址较劲的路由口上)


1、标准访问控制列表配置:

(只根据数据包的源ip地址进行执行规则允许或拒绝)

router(config)#access-list access-list-number {permit |deny } source [souce-wildcard]

        access-list-number:acl表号,标准acl表号范围:1-99

        permit | deny :允许或拒绝规则命令关键字

        source:数据包源ip地址,可以是网段也可以是主机地址

        source-wildcard:反码(通配符掩码)

        举例配置如下:

            access-list 1 permit 192.168.1.0 0.0.0.255    (表示允许此网段通过)

            access-list 1 deny 192.168.1.1 0.0.0.0  (表示拒绝192.168.1.1这个ip主机出入)

            access-list 1 deny 0.0.0.0 255.255.255.255 (此为默认隐藏的拒绝所有语句置于每个acl最后)

            access-list 1 permit host 192.168.1.100 (这里host为主机关键字,当配置单个ip时使用)

            access-list 1 deny any  (这里any为所有关键字,当配置针对所有ip规则时使用)

            no access-list access-list-number   (此为删除某个acl表)

                (标准acl中,使用host命令时,可以省略)

router(config)#int f*/*

router(config-if)#ip access-group access-list-number {in | out}

(将acl策略应用到接口上使用并开始执行工作,no则取消工作)

(每个方向上只能有一个acl,每个接口最多两个acl,一个入方向,一个出方向,不可重叠)



2、扩展访问控制列表配置:

(可根据源ip、目标ip、指定协议、端口号以及标志来定义允许拒绝规则)

router(config)#access-list access-list-number {permit|deny} protocol {source source-wildcard destination destination-wildcard} [operator operan]

        access-list-number :表号100-199

        protocol:定义协议类型,如ip、icmp、tcp、udp

        destination:目的地址,同理,后面的为目的地址的反掩码

        operator operan:lt小于、gt大于、eq等于、neq不等于一个端口号,用于定义协议端口

        举例配置如下:

            access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255

            (允许192.168.1.0 访问192.168.2.0)

            access-list 100 deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.1 eq 21

            (拒绝192.168.1.0的主机访问192.168.2.1的ftp服务)

            access-list 100 deny icmp 192.168.1.0 0.0.0.255 host 192.168.2.1 echo

            (拒绝192.168.1.0的主机ping192.168.2.1的icmp请求)

            no access-list access-list-number  (删除已经创建的acl规则表)

router(config)#int f*/*

router(config-if)#ip access-group access-list-number {in | out}

(将acl策略应用到接口上使用并开始执行工作,no则取消工作)



3、命名访问控制列表配置:

(过滤规则允许可以在标准和扩展规则中使用名称代替表号)

router(config)#ip access-list {standard|extended} access-list-name  (创建acl)

        standard|extended:表示创建标准还是扩展acl关键字

        access-list-name :由字母数字组成的字符串,为acl表名

        举例配置如下:

            router(config)#ip access-list standard test1   (创建标准命名acl表)

            router(config-std-nacl)#[sequence-number] {permit|deny} source [source wildcard]

                    (sequence-number:此为命名acl语句在acl表中的位置序号,默认是10,20,依次类推)

                    (sequence-number对acl作用可随意修改编辑删除命名acl表中的任意语句)

            router(conifg)#ip access-list extended test2   (创建扩展命名acl表)

            router(config-ext-nacl)#[sequence-number] {permit|deny} protocol {source s-wildcard distination d-wildcard } [operator operan]

            router(config-std-nacl)#no 10   (在标准命名acl子模式下,可以直接编辑删除其语句)

            router(config)#no ip access-list standard test1  (删除整条acl表)

            详细举例配置如下:

                router(config)#ip acc stan test3

                router(config-sta-nacl)#permit 192.168.1.0

                router(config-sta-nacl)#deny any

                router(config)#ip acc ext test4

                router(config-ext-nacl)#deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.1 eq 21

                router(config-ext-nacl)#15 deny ip host 192.168.1.1 host 192.168.2.1

                router(config-ext-nacl)#16 permit any any

                router(config)#int f*/*

                router(config-if)#ip access-group access-list-number {in | out}

                (将acl策略应用到接口上使用并开始执行工作,no则取消工作)

                举例配置如下:

 router(config)#int f0/0

router(config-if)#ip access-g test1 in

router(config-if)#ip access-g test2 out


(以上为cisco路由设备上acl的整体配置,到此结束,需要多练,应多了解不同规则策略!下期小猪将给大家整理cisco-sw-三层交换-VLAN间路由协议,敬请关注!)