CCNA学习笔记13-IP访问控制列表

access control list(ACL) -访问列表


为什么要使用访问列表
管理网络中逐渐增长的IP数据
当数据通过路由器时进行过滤


访问列表的应用
允许，拒绝数据包通过路由器
允许，拒绝Telnet会话的建立
没有设置访问列表时，所有的数据包都会在网络上传输


访问列表的其他应用
优先级判断
按需拨号
路由表过滤
基于数据包检测的特殊数据通讯应用


什么是访问列表-标准
-标准（一般基于IP，对收到数据包的源地址进行检查，如果发现源地址匹配访问控制列表，那么进行转发，如果不匹配，那么数据包将被进行丢弃）
检查源地址（IP地址）
通常允许，拒绝的是完整的协议
-扩展（基于协议进行匹配，根据端口号也可以进行匹配）
检查源地址和目标地址
通常允许，拒绝的是某个特定的协议
-进方向和出方向（相对的）


访问列表的测试：允许和拒绝
收到数据包->判断路由表有没有这个条目->没有，直接丢弃
->有查看相关联的接口有没有设置访问控制列表
->没有，直接转发出去
->有，对访问控制列表的陈述进行匹配->不符合，直接丢弃，并发送给源，条件不匹配
->符合，允许转发出去


访问列表配置指南
访问列表的编号指明了使用何种协议的访问列表
每个端口，每个方向，每条协议只能对应一条访问列表
访问列表的内容决定了数据的控制顺序
具有严格限制条件的语句应放在访问列表所有语句的最上面
在访问列表的最后一条隐含声明：deny any-每一条正确的访问列表都至少应该有一条允许语句
先创建访问列表，然后应用到端口上
访问列表不能过滤路由器自己产生的数据


访问列表设置命令
1.设置访问列表测试语句的参数
access-list access-list-number {permit|deny} {test conditions}
2.在端口上应用访问列表
{protocol} access-group access-list-number {in|out}
IP访问列表的标号为1~99和100~199


如何识别访问列表号
访问列表类型 编号范围
IP standard 1-99
Extended 100-199
标准访问列表(1 to 99)检查IP数据包的源地址
扩展访问列表(100 to 199)检查源地址和目的地址，具体的TCP/IP协议和目的端口
访问列表类型 编号范围
Standard 1-99 1300-1999
Named Name(Cisco IOS 11.2 and later)
Extend 100-199 2000-2699
Named Name(Cisco IOS 11.2 and later)
标准访问列表检查IP数据包源地址
扩展访问列表检查源地址和目的地址，具体的TCP/IP协议和目的端口
其他访问列表编号范围表示不同协议的访问列表


标准IP访问列表的配置
access-list access-list-number {permit|deny} source [mask]
为访问列表设置参数
IP标准访问列表编号1到99
缺省地通配符掩码=0.0.0.0
"no access-list access-list-number"命令删除访问列表
ip access-group access-list-number {in|out}
在端口上应用访问列表
指明是进方向还是出方向
缺省=出方向
"no ip access-group access-list-number"命令在端口上删除访问列表


通配符掩码指明特定的主机
Test conditions:Check all the address bits(match all)
例如 172.30.16.29 0.0.0.0 检查所有的地址位
所有主机：0.0.0.0 255.255.255.255
可以用any简写
可以简写为host（host 172.30.16.29）


用访问控制列表控制vry访问(一般为telnet会话)
在路由器上过滤vty
五个虚拟通道(0~4)
路由器的vty端口可以过滤数据
在路由器上执行vty访问的控制


如何控制vty访问
使用标准访问列表语句
用access-class命令应用访问列表
在所有vty通道上设置相同的限制条件


虚拟通道的命令
指明vty通道的范围
line vty#{vty#vty-range}
在访问列表里面指明方向
access-class access-list-number {in|out}


虚拟通道访问举例
access-list 12 permit 192.89.55.0 0.0.0.255
!
line vty 0 4
access-class 12 in
只允许网络192.89.55.0内的主机连接路由器的vty通道


标准访问列表和扩展访问列表比较
标准 扩展
基于源地址 基于源地址和目标地址
允许和拒绝完整的TCP/IP协议 指定TCP/IP的特定协议和端口号
编号范围1-99和1300-1999 编号范围100-199和2000-2699


扩展IP访问列表的配置


设置访问列表的参数
access-list access-list-number {permit|deny} protocol source
source-wildcard [operator port] destination destination-wildcard
[operatoe port] [established] [log]


在端口上应用访问列表
ip access-group access-list-number {in|out}


扩展访问列表应用举例1
access-list 101 deny tcp 172.16.4.0 0.0.0.255 172.16.3.0 0.0.0.255 eq 21
access-list 101 deny tcp 172.16.4.0 0.0.0.255 172.16.3.0 0.0.0.255 eq 20
access-list 101 permit ip any any
interface ethenet 0
ip access-group 101 out
拒绝子网172.16.4.0的数据使用路由器e0口ftp到子网172.16.3.0
允许其他数据


扩展访问列表应用举例2
access-list 101 deny tcp 172.16.4.0 0.0.0.255 any eq 23
access-list permit ip any any
interface ethenet 0
ip access-group 101 out
拒绝子网172.16.4.0内的主机使用路由器的E0端口建立telnet会话
允许其他数据


查看访问列表的语句
查看特定协议访问控制列表
show {protocol} access-list {access-list number}
查看所有协议访问控制列表
show access-lists {access-list number}