chapter10:security/访问控制列表

一、ACL在应用时遵循的规则：

         1.按顺序比较列表的每一行

         2.按顺序比较ACL的各行，直到找到匹配的一行，一旦数据包匹配上ACL的某一　　
　　　行,将遵照规定行事,不在进行后续比较（意味著列表应按使用频率来排列）

         3. 在每个ACL的最后一行隐含了“deny”语句。

         4.把ACL应用到端口的命令：

                A.R1<config-if>#ip access-group 10 in

                B.R1<config-line>#access-list 10 in(在vty模式下的acl应用默认就只针对telnet)

 

二、ACL的两大类型：

         1.standard ACL：只使用源IP地址作为条件（放在离目的的最近的接口out）

             R1<config>#access-list 10 deny 192.168.0.128  0.0.0.127

                  注：每个块的大小必须从0或一个快大小的倍数开始

         2.extend ACL：条件可以是3层的协议、4层的端口号以及源、目标IP地址(放在
                                     离源地址最近的接口in)

         3.domain ACL：以上两种的不同表示，但功能是一样的

         注：每接口、每协议、每方向只能分配一个ACL

                 只有domain ACL可以从列表中删除一行或者在列表中插入一行

 

三、ACL的各种应用：

         1、交换机端口ACL：只支持第2层物理层接口，并且只能把它们应用在接口的
              入口列表上，只能使用命名访问控制列表

         2、ACL可用于虚拟局域网的流量控制，这需要ACL应用到中继端口

         3、对于基于IP和MAC的ACL，单独的接口上，只能应用其中的一个，后者会覆
               盖前者

         eg：S1<config>#mac access-list extended  Blocksales

                  S1<config-ext-macl>#deny any host  000d.29bd.4b85

                  S1<config-ext-macl>#permit any any

                  S1<config-ext-macl>#interface fa 0/1

                  S1<config-if>#mac access-group Blocksales in

         4、锁和钥匙（动态ACL）？

         5、自反ACL?

         6、基于时间的ACL：

          eg：R1<config>#time-range worktime

                  R1<config-time-range>#periodic weekend 09:00 to 18:00

                  R1<config-time-range>#exit

                  R1<config>#time-range freetime

                  R1<config-time-range>#periodic weekend 18:00 to 22:00

                  R1<config-time-range>#exit

                  R1<config>#ip access-list extended time

                  R1<config-ext-nacl>#deny tcp any any eq www time-range worktime

                  R1<config-ext-nacl>#permit tcp any any time-range freetime

                  R1<config-ext-nacl>#interface fa0/0

                  R1<config-if>#ip access-group time in

                  R1<config-if>#exit

            注释：R1<config>#ip access-list extended time

                         R1<config-ext-nacl>#remark leash the action of internet on worktime

                         R1<config-ext-nacl>#deny tcp any any eq www time-range worktime