ACL控制访问列表

ACL控制访问列表

 

---

一、ACL访问控制列表概述

访问控制力列表（Access Control Table List）是最常用的网络流量限制技术，通过该技术可以为路由器或者交换机的接口配置一些控制命令，用来控制接口的进出数据包。配置ACL主要有两步，首先要指定访问条件，需要创建列表编号（1-99，100-199）或者名称；然后在指定的列表编号或者名称内添加流量筛选条件（ip地址、路由、协议），并指定是允许（permit）还是拒绝(deny)。

访问控制列表根据筛选条件不同，一般可以分两种。一种是标准访问控制列表，一种是扩展访问列表。其中标准访问控制列表只可以限定源地址的流量，通常使用1-99的列表编号；扩展访问控制列表可以针对源地址、目标地址、传输层协议、源端口、目标端口等进行流量控制，通常使用100-199的列表编号。

---

二、ACL访问控制列表的语句结构

acl列表基本结构：

access-list + 编号 + permit/deny + ip/tcp + 源地址 +（目标地址）+ eq + ftp/www

---

三、标准ACL语法

1.access-list接源ip地址，格式：access-list+编号+permit+host+源地址

举例(1)：access-list 1 permit host 192.168.2.1          //允许主机地址192.168.2.1的流量通过

2.access-list接源网段，格式：access-list+编号+permit+源网段+源网段的反掩码

举例(2)：access-list 1 permit 192.168.1.0 0.0.0.255      //允许192.168.1.0 0/24网段地址的流量通过

3.拒绝某个源地址/网段流量通过，然后再允许所有流量通过

（1）access-list 1 deny host 192.168.1.2      //拒绝源地址192.168.1.2的流量通过

access-list 1 permit any                //允许除192.168.1.2其他所有的流量通过（注：any表示所有主机）

 （2）access-list 2 deny 192.168.3.0 0.0.0.255   //拒绝192.168.3.0 0/24网段地址的流量通过

access-list 2 permit any                //允许除192.168.3.0 0/24网段其他所有的流量通过（注：any表示所有主机）

---

四、删除ACL访问控制列表

no access-list 1    //删除表号为1的规则

---

五、控制访问列表ACL在路由器或交换机接口上的应用

1.int f0/1/vlan 20                    //进入接口f0/1配置或vlan 20配置

2.ip access-list 1 in/out         //把表号1的规则应用到入口（in）或出口（out）方向

3.ip access-group 101 in/out     //把表号101的规则应用到入口（in）或出口（out）方向

---

六、扩展ACL的配置语法

1.允许一个网段访问另一个网段，拒绝其他所有流量通过

（1）access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255         //创建一个表号为101的ACL，规则为允许192.168.1.0 0/24的网段访问192.168.1.2.0 0/24网段的流量通过

（2）access-list 101 deny ip any                                   //除了（1）的流量，拒绝其他所有流量通过

2.拒绝一个网段访问目标地址21端口的流量通过，允许其他所有流量通过

（1）access-list 102 deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.2 eq 21          //拒绝192.168.1.0 0/24网段访问主机192.168.2.2，端口号为21的流量通过

（2）access-list 102 permit ip any any            //允许除了（1）的所有流量通过

---

七、定时访问控制列表配置

time-range telnettime                         //定义时间范围

periodic weekday 08:00 to 18:00      //定制周期执行时间为工作日的08:00 —— 18:00

periodic weekend 08:00 to 12:00      //定制周期性执行时间为周末的08:00——18:00

exit

access-list 104 deny ip 192.168.3.0 0.0.0.255 any       //禁止表号104的192.168.3.0 0/24的流量

access-list 104 permit any any time-range telnettime    //应用访问控制时间，定义流量筛选条件

int f0/6

ip access-group 104 out                             //在接口F0/6的出方向应用acl104的规则