ACL（access control list）訪問控制列表概述

• 訪問控制列表是應(yīng)用在路由器接口的指令列表，這些指令列表用來告訴路由器哪些數(shù)據(jù)包可以接收、哪些數(shù)據(jù)包需要拒絕。

• 訪問控制是網(wǎng)絡(luò)安全防范和保護的主要策略，它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和訪問。它是保證網(wǎng)絡(luò)安全最重要的核心策略之一。訪問控制涉及的技術(shù)也比較廣，包括入網(wǎng)訪問控制、網(wǎng)絡(luò)權(quán)限控制、目錄級控制以及屬性控制等多種手段。

常用的TCP端口號及其功能

???端口?? ?	???協(xié)議???	說明
21	FTP	FTP服務(wù)器所開放的控制端口，20端口是ftp的數(shù)據(jù)連接，21端口是ftp的控制連接
23	TELNET	用于遠程登錄，可以遠程控制管理目標計算機
25	SMTP	SMTP服務(wù)器開放的端口，用于發(fā)送郵件
80	HTTP	超文本傳輸協(xié)議，https 443安全
110	POP3	用于郵件的接受
143	IAMP	用于發(fā)送郵件
22	SSH	密文遠程登錄
68，67	DHCP	IP地址自動分配，客戶端請求用的67，服務(wù)器回應(yīng)用的68
53	DNS	域名解析
3389	RDP	遠程桌面

常用的UDP端口號及其功能

???端口???	???協(xié)議???	說明
69	TFTP	簡單文件傳輸協(xié)議
111	RPC	遠程過程調(diào)用
123	NTP	網(wǎng)絡(luò)時間協(xié)議

訪問控制列表基于三層（IP）和四層（端口，協(xié)議）進行過濾（應(yīng)用防火墻，七層過濾）

• 讀取第三層，第四層包頭信息
• 根據(jù)預(yù)先定義好的規(guī)則對包進行過濾

站在用戶的角度思考問題，與客戶深入溝通，找到濟源網(wǎng)站設(shè)計與濟源網(wǎng)站推廣的解決方案，憑借多年的經(jīng)驗，讓設(shè)計與互聯(lián)網(wǎng)技術(shù)結(jié)合，創(chuàng)造個性化、用戶體驗好的作品，建站類型包括：成都網(wǎng)站制作、做網(wǎng)站、企業(yè)官網(wǎng)、英文網(wǎng)站、手機端網(wǎng)站、網(wǎng)站推廣、空間域名、虛擬主機、企業(yè)郵箱。業(yè)務(wù)覆蓋濟源地區(qū)。

訪問控制列表在接口應(yīng)用的方向（與數(shù)據(jù)方向有關(guān)）

• 出：已經(jīng)過路由器的處理，正離開路由器接口的數(shù)據(jù)包
• 入：已經(jīng)到達路由器接口的數(shù)據(jù)包，將被路由器處理

訪問控制列表的處理過程

訪問控制列表的處理流程（自上而下，逐條匹配，默認隱含拒絕所有）

白名單
允許 1.2
允許 1.3
拒絕所有（可以不寫）

黑名單
拒絕 1.2
拒絕 1.3
允許所有（必須寫）

標準訪問控制列表

• 基于源IP地址過濾數(shù)據(jù)包
• 標準訪問控制列表的訪問控制列表號1~99

擴展訪問控制列表

• 基于源IP地址，目的IP地址，指定協(xié)議，端口和標志來過濾數(shù)據(jù)包
• 擴展訪問控制列表的訪問控制列表號是100~199

命名訪問控制列表

• 命名訪問控制列表允許在標準和擴展訪問控制列表中使用名稱代替表號

ACL配置命令

1，創(chuàng)建ACL

access-list access-list-number { permit | deny} source [source-wildcard ] 
//permit表示允許數(shù)據(jù)包通過 ,deny表示拒絕數(shù)據(jù)包通過 ,source [ source-wildcard ]只對源IP進行控制+(反子網(wǎng)掩碼)

示例

Router(config)# access-list 1 permit 192.168.1.0 0.0.0.255
Router(config)# access-list 1 permit 192.168.2.2 0.0.0.0
//允許192.168.1.0/24和主機192.168.2.2的流量通過

2，刪除ACL

no access-list access-list-number  //直接刪除ACL列表號

3，隱含的拒絕語句

access-list 1 deny 0.0.0.0 255.255.255.255  //拒絕所有ip

4，關(guān)鍵字

host  //host后面可跟ip地址,免去子網(wǎng)掩碼的輸入
any   //等同于拒絕所有ip

5，將ACL應(yīng)用于接口

ip access-group access-list-number ｛in | out｝ 
//控制方最近的端口，in是進入out是輸出

6，在接口上取消ACL的應(yīng)用

no ip access-group access-list-number {in | out}

ACL標準配置示例

需求

禁止192.168.10.2訪問pc3

雙擊配置sw交換機

sw#conf t    ##進入全局模式
sw(config)#no ip routing  ##關(guān)閉路由功能
sw(config)#int f1/0   ##進入接口f1/0
sw(config-if)#speed 100  ##因為和路由相連所以要配置雙工模式和速率
sw(config-if)#duplex full

雙擊配置R1路由

R1#conf t    ##全局模式
R1(config-if)#int f0/1                         
R1(config-if)#ip add 192.168.10.1 255.255.255.0  ##配置網(wǎng)關(guān)
R1(config-if)#no shut  ##開啟
R1(config-if)#int f0/0
R1(config-if)#ip add 192.168.20.1 255.255.255.0  ##配置網(wǎng)關(guān)
R1(config-if)#no shut  ##開啟

配置三臺pc機的ip地址及網(wǎng)關(guān)，測試能否相互ping通

PC1> ip 192.168.10.2 192.168.10.1 
PC2> ip 192.168.10.3 192.168.10.1
PC3> ip 192.168.20.2 192.168.20.1

打開R1配置訪問控制列表

R1#conf t    ##全局模式
R1(config)#access-list 1 deny host 192.168.10.2     ##禁止10.2訪問
R1(config)#access-list 1 permit any         ##允許所有（必須寫）   
R1(config)#do show access-list     ##查看訪問控制列表
Standard IP access list 1
    10 deny   192.168.10.2
    20 permit any
R1(config)#int f0/1
R1(config-if)#ip access-group 1 in  ##應(yīng)用于接口f0/1

測試10.2的機器能不能訪問pc3

謝謝閱讀?。?！

另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)cdcxhl.cn，海內(nèi)外云服務(wù)器15元起步，三天無理由+7*72小時售后在線，公司持有idc許可證，提供“云服務(wù)器、裸金屬服務(wù)器、高防服務(wù)器、香港服務(wù)器、美國服務(wù)器、虛擬主機、免備案服務(wù)器”等云主機租用服務(wù)以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡單易用、服務(wù)可用性高、性價比高”等特點與優(yōu)勢，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應(yīng)用場景需求。

網(wǎng)站標題：ACL訪問控制列表——標準訪問控制列表（理論+實操）-創(chuàng)新互聯(lián)
瀏覽地址：http://jinyejixie.com/article10/dphido.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供品牌網(wǎng)站設(shè)計、營銷型網(wǎng)站建設(shè)、自適應(yīng)網(wǎng)站、網(wǎng)站維護、Google、云服務(wù)器

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)