访问控制列表(ACL)是应用在 路由器 接口的指令列表(即规则)。这些指令列表用来告诉路由器，那些数据包可以接受，那些数据包需要拒绝。
ACL使用包过滤技术，在路由器上读取OSI七层模型的第3层和第4层包头中的信息。如源地址，目标地址，源端口，目标端口等，根据预先定义好的规则，对包进行过滤，从而达到访问控制的目的。
ACl是一组规则的集合，它应用在路由器的某个接口上。对路由器接口而言，访问控制列表有两个方向。
出：已经通过路由器的处理，正离开路由器的数据包。
入：已到达路由器接口的数据包。将被路由器处理。
————————————————
1、Access Contral List
2、ACL是一种包过滤技术。
3、ACL基于 IP包头的IP地址 、 四层TCP／UDP头部的端口号 基于三层和四层过滤
4、ACL在路由器上配置，也可以在防火墙上配置（一般称为策略）
5、ACL主要分为2大类：
标准 ACL
表号是 1-99 特点；
只能基于 源IP地址 对包进行过滤
扩展 ACL
表号：100-199
特点：可以基于源IP、目标IP、端口号、协议对包进行过滤
————————————————
ACL原理
1）ACL表必须应用到接口的进或出方向生效
2） 一个接口的一个方向 只能应用一张表
3）进还是出方向应用？取决于流量控制总方向
4）ACL表是严格自上而下检查每一条，所以要注意书写顺序
5）每一条是有条件和动作组成，当流量不满足某条件，则继续检查；当流量完全 满足某条件，不再往后检查 直接执行动作。
6）标准ACL尽量写在靠近目标的地方
————————————————
将ACL应用到接口：
———————
注释：反子网掩码：将正子网掩码0和1倒置
反子网掩码：用来匹配，与0对应的严格匹配，与1对应的忽略匹配。
———————
例如：access-list 1 deny 10.1.1.1 0.255.255.255
解释：该条目用来拒绝所有源IP为10开头的
access-list 1 deny 10.1.1.1 0.0.0.0
简写：access-list 1 deny host 10.1.1.1
解释：该条目用来拒绝所有源IP为10.1.1.1的主机
access-list 1 deny 0.0.0.0 255.255.255.255
简写：access-list 1 deny any
解释：该条目用来拒绝所有人
————————————————
————————————————
1）做流量控制，首先要先判断ACL写的位置（那个路由器？那个接口的哪个方向？）
2）再考虑怎么写ACL
首先要判断最终要 允许所有还是拒绝所有
将 【详细的严格的控制】 写在最前面
3）一般情况下，标准或扩展ACL一旦编写，无法修改某一条，也无法删除某一条，也无法往中间插入新的条目，只能一直在最后添加新的条目
如想修改插入或删除，只能删除整张表，重新写！
conf t
no access-list 表号
查看ACL表：
show ip access-list [表ID]
————————————————
扩展ACL：
表号：100-199
特点：可以基于源IP、目标IP、端口号、协议对包进行过滤
命令：
acc 100 permint/deny 协议 源IP或源网段 反子网掩码 目标IP 或源网段 反子网掩码 [eq端口号]
注释：协议：tcp/udp/icmp/ip
案例：
acc 100 permit tcp host 10.1.1.1 host 20.1.1.3 eq 80
acc 100 deny ip host 10.1.1.1 20.1.1.1 0.0.0.255
————————————————
命名ACL：
作用：可以对标准或扩展ACL进行自定义命名
优点：
自定义命名更容易辨认，也便于记忆！
可以任意修改某一条，或删除某一条，也可以往中间插入某一条
conf t
ip access-list standard/extended 自定义表名
开始从deny或permit编写ACL条目
exit
删除某一条：
ip access-list standard/extended 自定义表名
no 条目ID
exit
插入某一条：
IP access-list standard/extended 自定义表名
条目ID 动作 条件
————————————————
以上是以思科命令为例。
Router (config)# access-list access-list-number Router (config-if)# access-group access-list-number 标准访问控制列表ACL号范围：1-99。一般就用这个求采纳
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）