第十四章 访问控制列表ACL.pptx
第十四章访问控制列表ACL《路由交换技术及应用》第4版“十四五”职业教育国家规划教材主编：孙秀英
ACL原理与配置
ACL原理与配置概念AccessControlList访问控制列表ACL可以定义一系列不同的规则，设备根据这些规则对数据包进行分类，并针对不同类型的报文进行不同的处理，从而可以实现对网络访问行为的控制、限制网络流量、提高网络性能、防止网络攻击等等。《路由交换技术及应用》第4版“十四五”职业教育国家规划教材
ACL原理与配置ACL应用场景ACL可以通过定义规则来允许或拒绝流量的通过。服务器AG0/0/0G0/0/1192.168.1.0/24.1.1.2.2192.168.2.0/24RTASWA主机A主机B主机C主机D《路由交换技术及应用》第4版“十四五”职业教育国家规划教材
ACL原理与配置ACL应用场景ACL可以根据需求来定义过滤的条件以及匹配条件后所执行的动作G0/0/0数据未匹配数据数据加密后数据匹配192.168.1.0/24.1.1.2.2192.168.2.0/24SWA主机A主机B主机C主机DRTA《路由交换技术及应用》第4版“十四五”职业教育国家规划教材
ACL原理与配置ACL工作过程ACL可应用于接口，对每个接口，有两个方向。方向---IN：进入接口OUT：外出接口当访问控制列表被用于检测从接口输入的数据包时，包在进入路由器之前要经过访问控制列表的处理。当访问控制列表被用于检测从接口输出的数据包，包在从该路由器端口输出之前要经过访问控制列表的处理。《路由交换技术及应用》第4版“十四五”职业教育国家规划教材
ACL原理与配置ACL工作过程否是丢弃处理选择出接口
否ACL?路由表?数据包出接口数据包入接口《路由交换技术及应用》第4版“十四五”职业教育国家规划教材
ACL原理与配置ACL工作过程否是丢弃处理选择出接口
否ACL?路由表?数据包出接口数据包入接口是ACL匹配控制允许?是否ACL的工作流程《路由交换技术及应用》第4版“十四五”职业教育国家规划教材
ACL原理与配置ACL工作过程ACL内部处理具体过程：丢弃处理是目的接口拒绝是匹配第一条规则?允许ACL规则内部处理过程《路由交换技术及应用》第4版“十四五”职业教育国家规划教材
ACL原理与配置ACL工作过程ACL内部处理具体过程：丢弃处理是目的接口拒绝是匹配第一条规则?允许否是拒绝允许下一条?是ACL规则内部处理过程《路由交换技术及应用》第4版“十四五”职业教育国家规划教材
ACL原理与配置ACL内部处理具体过程：丢弃处理是目的接口拒绝是匹配第一条规则?允许否是拒绝允许下一条?是匹配最后一条?否是是拒绝允许ACL规则内部处理过程《路由交换技术及应用》第4版“十四五”职业教育国家规划教材
ACL原理与配置ACL内部处理具体过程：丢弃处理是目的接口缺省拒绝是匹配第一条规则?允许否是拒绝允许下一条?是匹配最后一条?否是是拒绝允许**说明：当ACL的最后一条不匹配时，一般系统使用系统使用缺省过滤方式来进行处理！否找到一个匹配后既执行相应的操作，然后跳出ACL而不会继续匹配下面的语句《路由交换技术及应用》第4版“十四五”职业教育国家规划教材
ACL原理与配置InternetG0/0/0规则1：拒绝源地址为40.1.1.1的数据包通过规则2：允许目的地址位20.1.1.1的数据包通过源：30.1.1.1目的：20.1.1.1源：40.1.1.1目的：70.1.1.1源：60.1.1.1目的：50.1.1.1RA《路由交换技术及应用》第4版“十四五”职业教育国家规划教材
ACL原理与配置分类编号范围参数基本ACL2000-2999源IP地址等高级ACL3000-3999源IP地址、目的IP地址、源端口、目的端口、协议类型等ACL分类《路由交换技术及应用》第4版“十四五”职业教育国家规划教材
ACL原理与配置目的IP地址源IP地址协议号目的端口段(如TCP报头)数据数据包(IP报头)帧报头(如HDLC)使用ACL检测数据包拒绝允许源端口ACL分类《路由交换技术及应用》第4版“十四五”职业教育国家规划教材
ACL原理与配置ACL规则每个ACL可以包含多个规则，RTA根据规则来对数据流量进行过滤。如果未匹配如果未匹配172.16.0.0/24172.17.0.0/24RTARTBrule15denysource172.16.0.00.0.0.255rule10denysource192.168.2.00.0.0.255acl2000rule5denysource192.168.1.00.0.0.255《路由交换技术及应用》第4版“十四五”职业教育国家规划教材
ACL原理与