访问控制列表 配置：命名访问控制列表配置

 大家在谈到路由器ACL的时候，首先想到的是标准ACL和扩展ACL，其实还有鲜为人知的命名访问ACL。本文主要目的是想介绍命名访问控制列表配置。    

访问列表类型：

      标准的访问控制列表－（基于IP的编号范围1－99,基于IPX的编号范围800－899）检查源地址，通常允许、拒绝完整的协议

      扩展的访问控制列表－（基于IP的编号范围100－199,基于IPX的访问控制列表范围900－999），检查源地址和目的地址，具体的TCP/IP协议和目的端口号，通常允许、拒绝的是某个特定的协议

      SAP（基于IPX的编号1000－1099）。其它访问列表范围表示不同协议的访问列表。

        进方向和出方向分别用in和out表示。

************************************************

*   标准的访问控制列表举例 *  

************************************************    

前提（先进入全局配置模式下）
          access–list 11 deny/permit 192.168.1.12 0.0.0.255   

#####192.168.1.12为源地址；0.0.0.255为192.168.1.12 的反掩码;；11为标准的访问控制列表的编号。

         i p access–group 11 in/out      //前提（先进入接口配置模式下）

###### in为进方向，out为出方向，缺省下为出方向 。11为上面做访问控制列表时用的编号。

      做完这两步，一个完整的访问控制列表算完成了。缺省下的反掩码为0.0.0.0    

用no access–list 11 命令删除访问控制列表，属于这个编号下的访问控制列表全部删除（先进入全局模式下）；

用no ip access–group 11 命令在端口上删除访问控制列表（先进入接口模式下）。

***************************************************

*   扩展的访问控制列表的配置 *  

***************************************************    

     前提（先进入全局配置模式下）

      access–list 101 deny/permit tcp 172.16.4.0 0.0.0.255   172.16.3.0 0.0.0.255         eq 80  

######意思是－－拒绝／允许172.16.4.0这个网络远程登陆到172.16.3.0这个网络。

      access–list 101 permit ip any any  

######访问控制列表的意思的允许所有。

######（扩展访问列表允许所有时，后面要用两个any ；标准访问控制列表在允许所有的时候，后面是一个any。）

######101为编号； tcp为协议号 ；   172.16.4.0 0.0.0.255为源地址；172.16.3.0 0.0.0.255   为目的地址； eq是等于的意思 ；80为端口号。

      ip access–group101 out          前提（先进入接口配置模式）

######这条命令是接口上启用访问控制列表并指定方向。

***************************************************

*   命名的访问控制列表的配置 *  

***************************************************    

（11.2以后的版本才支持）－基于IP和IPX都可以，可以自已定义一个名字。

（前提，先进入全局配置模式下）

      ip access–list standard/extended cisco                //  cisco为自行定义的名字

      deny/permit 172.1.1.0 0.0.0.255                        //上面选择standard即标准访问控制列表的时候

      deny/permit tcp 172.16.4.0 0.0.0.255   172.16.3.0 0.0.0.255   eq 80    //上面选择extended即扩展访问控制列表的时候

ip access–group cisco in/out     前提（先进入接口配置模式下）在接口上应用命名的访问控制列表，并指定方向。

********************************

*  访问控制列表放置原则  *

********************************

将扩展访问列表放置于离源设备较近的位置，将标准访问列表放置于离目的设备较近的位置

********************************

*  访问控制列表配置原则  *

********************************

访问列表中的限制语句的位置是至关重要的；

将限制条件严格的语句放在访问列表的最上面；

使用no access–list   number命令将删除整个访问列表 number为配置的访问控制列表编号， 例外：命名访问列表可以删除单独的语句； copyright www.netdigedu.com

访问列表中有一条隐藏访问控制－－拒绝所有（deny all）；

在设置的访问列表中要有一句 permit any。

 

eg:

命名访问控制列表配置：

router(config)#ip access-list extended hbsj

router(config-ext-nacl)#permit ip 10.0.0.0 0.255.255.255 any

router(config-ext-nacl)#exit

router(config)#interface FastEthernet2/1/0

router(config-if)#ip access-group hbsj in  

router(config)#ip access-list extended hbsj

router(config-ext-nacl)#permit ip 10.0.0.0 0.255.255.255 any

router(config-ext-nacl)#exit

router(config)#interface FastEthernet2/1/0

router(config-if)#ip access-group hbsj in