几句话就能让你明白：ACL 访问控制列表（一）

【TCP/IP】

   TCP数据传输时，上层协议标识会添加在下层报文头部

      #应用层端口号会添加在‘TCP/UDP’的报文头部中

      #传输层协议号会添加在‘IP’的报文头部中

      #网络层协议类型号会添加在‘以太网帧’的报文头部中

【HTTP 80/TCP】

可以理解为http的端口号是80，使用的是TCP上层协议

一、TCP和UDP协议

TCP/IP协议族的传输层主要有两个：

      #TCP（Transmission  Control Protocol，传输层控制协议）

      #UDP（User  Datagram Protocol，用户数据报协议）

（1）、TCP协议

ØTCP是面向连接的，可靠的进程到进程通信的协议

ØTCP提供全双工服务，即数据可在同一时间双向传输，每一个TCP都有发送缓存和接收缓存

《名词解释》

面向连接：就比如我去别人家，双方先打好电话，看对方在不在家，在过去

可靠的：可靠不一定安全

进程到进程的：就是程序与程序之间

1、TCP报文段

ØTCP将若干个字节构成一个分组，叫做报文段（Segment）

ØTCP报文段封装在IP数据报中

源端口号								目标端口号
32位序列号
32位确认号
4位 首部长度	保留 6位	U R G	A C K	P S H	R S T	S Y N	F I N	16位窗口大小
16位校验和								16位紧急指针
选项

图：TCP报文段的首部格式

（首部长度为20~60字节）

Ø源端口号：它是16位字段，为发送方进程对应的端口号

Ø目标端口号：16位字段，对应的是接收端的时程，接收端收到数据段后，根据这个端口号来确定把数据送给哪个应用程序的进程

Ø序号：当TCP从进程接收数据字节时，就把它们存储在发送缓存中，并对每一个字节进行编号；

#编号不一定从0开始，一般会产生一个随机数作为第1个字节的编号，

称为初始序号（ISN）/0~-1

      #TCP每一个方向的编号是互相独立的

      #当字节都被编上号后，TCP就给每一个报文段指派一个序号，保证数据正确性

Ø确认号：确认号是对发送端的确认信息，用它来告诉发送端这个序号之前的数据段都已收到，比如确认号是X，就是表示前一个X-1个数据段都已经收到

Ø首部长度：用它可以确定首部数据结构的字节长度，一般情况下TCP首部是20字节，但首部长度最大可以扩展为60字节

Ø保留：这部分保留位作为今后扩展功能用，到现在还没有使用到

Ø控制位：这六位有很重要的作用，TCP的连接，传输和断开都是受这六个控制位的指挥

URG：紧急指针有效位

ACK：当ACK=1时，确认序列号字段才有效;ACK=0，确认号字段无效

PSH：标志位，PSH=1时要求接收方尽快将数据段发送到应用层

RST：复位位，RST=1时通知重新建立TCP连接

SYN：请求位（同步序号位），TCP需要建立连接时将这个值设为1

FIN：断开（发送端完成发送任务位），FIN=1时是TCP完成数据传输并断开连接

Ø窗口值：进行流量控制，窗口的大小就是缓存的大小

Ø校验和：判断数据包的完整性（用来做差错控制的）。它与IP的校验和不同，TCP检验和的计算包括TCP首部、数据和其他填充字节。在发送TCP数据段时，由发送端计算校验和，当到达目的地时，又进行一次校验和计算。若两次的校验和一致，则说明该数据基本是正确的，否则将认为该数据已被破坏，接收端将丢弃该数据

Ø紧急指针：和URG配合使用，当URG=1时才有效

Ø选项：在TCP首部可以有多达40字节的可选信息

2、TCP连接

ØTCP是面向连接的协议，它在源点和终点之间建立一条虚连接

Ø在数据通信之前，发送端与接收端要先建立连接。等数据发送结束后，双方在断开连接

ØTCP连接的每一方都是由一个IP地址和一个端口号组成的

【连接建立】→→→称为三次握手

a)第一次握手

#PC1使用一个随机的端口向PC2的80端口发送建立连接的请求

#SYN=1，其它五个控制位为0

b)第二次握手

#PC2收到PC1的请求，向PC1回复一个确认信息

#ACK=1，确认序列号是PC1的初始序列号加1

#PC2也向PC1发送建立连接的请求

#SYN=1

c)第三次握手

#PC1收到PC2的回复（包含请求和确认）

#同时，也向PC2回复一个确认信息

#ACK=1

#其他五个控制位为0

#确认序列号是PC2的初始序列号加1

A.服务器向客户端发送FIN和ACK位置1的TCP报文段

B.客户端各服务器返回ACK位置1的TCP报文段

C.客户端向服务器发送FIN和ACK位置1的TCP报文段

D.服务器向客户端返回ACK位置1的TCP报文段

（2）、UDP协议

ØUDP是一个无连接，不保证可靠性的传输协议；也就是说发端不关心发送的数据是否到达目标主机，数据是否出错等，收到数据的主机也不会告诉发送方否收到了数据，它的可靠性由上层协议来保障

ØUDP不可靠，一般由上层程序或人提供可靠性

源端口号	目的端口号
UDP长度	校验和

图：UDP首部的格式

Ø源端口号：用来标识数据发端的进程，和TCP协议的端口号类似

Ø目的端口号：用来标识数据接收端的进程，和TCP协议的端口号类似

ØUDP长度：用来指出UDP的总长度，为首部加上数据

Ø校验和：用来完成UDP数据的差错校验，它的计算与TCP的校验和类似

二、TCP和UDP协议

Ø访问控制列表（ACL）是应用在路由器接口的指令表（即规则）

Ø这些指令列表用来告诉路由器，哪些数据包可以接收，哪些数据包需要拒绝

Ø原理：ACL使用包过滤技术，在路由器的3层、4层读取包头中的信息，如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则，对包进行过滤，从而达到访问控制列表的目的

Ø路由器根据ACL中指定的条件来检测通过路由器的数据包，从而决定是转发还是丢弃该数据包

【ACL两种基本类型】

标准访问控制列表：检查数据包的源地址。它使用1~99之间的数字作为表号

扩展访问控制列表：对数据包的源地址与目标地址均进行检查。它也能检查特定

的协议、端口号以及其他参数，它使用100~199之间的数字作为表号

（1）、访问控制列表的工作原理

【访问控制列表的两个方向】

出：已经过路由器的处理，正离开路由器接口的数据包

入：已到达路由器接口的数据包，将被路由器处理

（2）、访问控制列表的类型

1、标准访问控制列表→→→尽量应用在离目标近的地方

Ø根据数据包的源IP地址来允许或拒绝数据包

Ø控制列表号是：1~99

2、扩展访问控制列表→→→尽量应用在离源近的地方

Ø根据数据包的源IP、目的IP、指定协议、端口和标志来允许或拒绝数据包

Ø控制列表号是:100~199

三、标准访问控制列表的配置

【创建ACL】

Router(config)#access-list  access-list-number { permit| deny } source { source wildcard }

      access-list-number:列表号1~99之间都行

      permit|deny：如果满足测试条件，则允许或拒绝该通信流量

      source：数据包的源地址，可以是主机地址，也可以是网络地址

      source-wildcard：通配符掩码，也叫反码。

例如：允许来自网络192.168.1.0/24和主机192.168.2.2的流量通过；

   router(config)# access-list 1 permit192.168.1.0  0.0.0.255

   router(config)# access-list 1 permit192.168.2.2  0.0.0.255

【隐含的拒绝语句】

每一个ACL都有一条隐含的拒绝语句，拒绝所有流量

Router（config）# access-list 1 deny 0.0.0.0  255.255.255.255

【关键字host、any】

Router(config)#access-list 1 deny any

Router(config)#access-list 1 permit host 192.168.2.2

【删除已建立的标准ACL】

Router(config)#no access-list access-list-number

【将ACL应用于接口】

Router(config)#ip access-group access-list-number { in | out }

   in：表示进        out：表示出

【在接口上取消ACL的应用】

Router(config)#no  ip access-group access-list-number {in | out }

【查看ACL的配置】

Rouer#show access-list

【查看VLAN上应用的ACL配置】

Router#show ip int vlan 10

四、命名ACL与带表号ALC的比较优势

1、可以单独删除条目

2、可以单独插入条目

转载于:https://blog.51cto.com/ganbing/1228631