标准ACL和扩展ACL的应用实例

       访问控制列表简称为ACL，访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机。本文通过2个实例，介绍标准ACL和扩展ACL的使用方法。

       在介绍案例之前，我们先来了解一下什么是标准访问控制列表和扩展访问控制列表：

       标准访问控制列表比较简单，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，在思科的路由器里使用的访问控制列表号1到99以及1300到1999来创建相应的ACL。

       扩展访问控制列表功能很强大，他可以控制源IP，目的IP，源端口，目的端口等，能实现相当精细的控制，扩展ACL不仅读取IP包头的源地址/目的地址，还要读取第四层包头中的源端口和目的端口的IP。不过他存在一个缺点，那就是在没有硬件ACL加速的情况下，扩展ACL会消耗大量的路由器CPU资源。所以当使用中低档路由器时应尽量减少扩展ACL的条目数。在思科路由器里，扩展访问控制列表使用的ACL号为100到199以及2000到2699。

 

案例一：标准ACL应用实例

一、组网结构及需求

       某企业总部在北京，广州有一分公司，通过专线连接到北京总部。广州分公司有管理者和普通员工两个网段，要求在路由器的接口上通过ACL进行控制，让管理者网段可以访问北京公司的数据库，但普通员工禁止访问北京公司数据库。

二、配置方法

1、广州公司路由器的数据配置
interface FastEthernet0/0
 ip address 10.10.10.1 255.255.255.0
 duplex auto
 speed auto

interface Serial0/0
 description to beijing
 ip address 192.168.1.1 255.255.255.252
 encapsulation ppp

interface FastEthernet0/1
 ip address 20.20.20.1 255.255.255.0
 duplex auto
 speed auto

ip route 0.0.0.0 0.0.0.0 192.168.1.2

其他路由器的详细配置请查看原文链接：标准ACL和扩展ACL的应用实例