目录
一、什么是访问控制列表
作用:读取三四层头部信息,根据预先定义好的规则对流量进行筛选、过滤。
三层头部信息:源、目IP
四层头部信息:TCP/UDP协议、源、目端口号
访问控制列表的调用方向:
入:流量将要进入本地路由器,将被本地路由器处理
出:已经被本地路由器处理过了,流量将离开本地路由器
策略做好后,在入接口调用和出口调用的区别:
入接口调用的话,是对本地路由器生效
出接口调用的话,对本地路由器不生效,流量将在数据转发过程中的下一台路由器生效。
二、访问控制列表的处理原则
访问控制列表的处理原则:
1、路由条目只会匹配一次
2、路由条目在ACL访问控制列表中匹配的顺序是从上往下匹配
3、ACL访问控制列表隐含一个拒绝所以
4、ACL 访问控制列表至少要放行一条路由条目
三、访问控制列表的分类
访问控制列表类型:
1、标准访问控制列表
只能基于源IP地址进行过滤
标准访问控制列表的列表号是2000-2999
调用原则:靠近目标
2、扩展访问控制列表
可以根据源、目IP地址,TCP/UDP协议,源、目端口号进行过滤相比较标准访问控制列表,流量控制的更加精准
调用原则:靠近源
附:AR上的单臂路由
[]int g0/0/0
[]undo shutdown
[]int g0/0/0.1
[]dot1q termination vid 10 封装方式为802.1q,g0/0/1划分进vlan10
[]ip add 192.168.10.1 24 设置IP地址和子网掩码长度
[]arp broadcast enable 开启arp广播功能
[]int g0/0/0.2
[]dot1q termination vid 20 封装方式为802.1q,g0/0/1划分进vlan10
[]ip add 192.168.20.1 24
[]arp broadcast enable
四、基本命令操作
标准访问控制列表
[]acl 2000 创建标准访问控制列表,列表号为2000
[]rule deny source 192.168.10.0 0.0.0.255 拒绝192.168.10.0网段(子网掩码为反掩码)
[]rule permit source any 放行其他路由条目
默认ACL的每条语句的行号间隔5
int g0/0/0.2
traffic-filter outbound/inbound acl acl列表号
扩展访问控制列表
acl number 3000
rule deny tcp source 192.168.10.10 0 destination 202.10.100.100 0 destination-port eq 21/ftp //
禁止PC1访问FTP服务
rule permit tcp destination-port eq ftp //放行其他客户机访问FTP服务
rule permit ip //放行其他客户机的网络流量
int g0/0/0.1
traffic-filter inbond acl 3000
总结
学会利用访问控制列表,控制网络流量