ACL详解 Cisco

访问控制列表简称为ACL：

       访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持了

访问控制列表的原理：

       对路由器接口来说有两个方向：
       出：已经经路由器的处理，正离开路由器接口的数据包
       入：已经到达路由器接口的数据包，将被路由器处理
       匹配顺序为：“自上而下，依次匹配”，默认为拒绝

访问控制列表的类型：

       标准访问控制列表：一般应用在out出站接口，建议配置在离目标端最近的路由上
       扩展访问控制列表：配置在离源端最近的路由上，一般应用在入站in方向
       命名访问控制列表：允许在标准和扩展访问列表中使用名称代替表号

访问控制列表使用原则：

       1:最小特权原则:只给受控对象完成任务所必须的最小的权限。也就是说被控制的总规则是各个规则的交集，只满足部分条件的是不容许通过规则的
       2:最靠近受控对象原则:所有的网络层访问权限控制，也就是说在检查规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句
       3:默认丢弃原则:在CISCO路由交换设备中默认最后一句为ACL中加入了deny any any，也就是丢弃所有不符合条件的数据包,这一点要特别注意，虽然我们可以修改这个默认，但未改前一定要引起重视

       由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等,因此，要达到端到端的权限控制目的，需要和系统级及应用级的访问权限控制结合使用

一:标准访问列表

       访问控制列表ACL分很多种，不同场合应用不同种类的ACL,其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用访问控制列表号1到99来创建相应的ACL
      它的具体格式：
      access-list access-list-number [permit|deny] [sourceaddress][wildcard-mask]
      access-list-number 为1-99 或者 1300-1999之间的数字，这个是访问列表号
      例如：access-list 10 deny host 192.168.1.1这句命令是将所有来自192.168.1.1地址的数据包丢弃
      当然我们也可以用网段来表示，对某个网段进行过滤,命令如下：access-list 10 deny 192.168.1.0 0.0.0.255
      通过上面的配置将来自192.168.1.0/24的所有计算机数据包进行过滤丢弃,为什么后头的子网掩码表示的是0.0.0.255呢？这是         因为cisco规定在ACL中用反向掩玛表示子网掩码，反向掩码为0.0.0.255的代表他的子网掩码为255.255.255.0
      提示：对于标准访问控制列表来说，默认的命令是host，也就是说access-list 10 deny 192.