ACL访问控制列表.pdf

ScottWang ACL ACL 的功能： 1.定义感兴趣流量； 2.安全策略； 3.路由策略 ACL 的分类： 基于编号的ACL ：标准 扩展 基于命名的ACL ：标准 扩展 一、基于编号的标准ACL: 范围：1--99 、1300--1999 特点：基于源IP 地址来进行匹配； 无法删除ACL 的某条语句 应用： A.匹配具体的主机： access-list 1 permit ( 表示反掩码 )== access-list 1 permit host == access-list 1 permit 默认反掩码值为 B.匹配特定网段： 匹配普通网段：access-list 1 permit 55 匹配奇数IP：access-list 1 permit 54 匹配偶数IP：access-list 1 permit 54 C.匹配全网段：access-list 10 permit 55 access-list 10 permit any 注：access-list 1 permit 此方法无法匹配 全网段 D.控制vty 访问： access-list 1 permit 55 access-list 1 permit 55 line vty 0 15 access-class 1 in ScottWang NOTE: 此拓扑在运行路由协议的情况下做ACL ，首先要将协议permit 出 去，在做流量控制；但是标准的ACL 中没有基于协议，所以在此情 况下，要将协议停止并做默认路由出去，这样协议才不会对ACL 有 所影响： access-list 100 permit ospf any any access-list 100 permit ip host any access-list 100 deny ip any any int s0/0 ip access-group 100 in 二、基于编号的扩展ACL ： 范围：100--199 、2000--2699 应用： A.匹配路由协议： access-list 100 permit ospf any any access-list 100 permit eigrp any any access-list 100 permit udp any any eq rip access-list 100 permit tcp any any eq bgp B.匹配具体协议的流量： ICMP :access-list 100 permit icmp = access-list 100 permit icmp host host access-list 100 permit icmp host host echo ping 出去不返回 ScottWang access-list 100 permit icmp host host echo-replay ping 并出去返回 access-list 100 deny icmp any any time-exceeded access-list 100 deny icmp any any unreachable access-list 100 deny icmp any any traceroute FTP: access-list 100 deny tcp host host eq ftp Telnet: access-list 100 permit tcp host host eq telnet端口为23 C.匹配已连接会话流量： access-list 100 permit tcp any any established NOTE: established 表示只要TCP 数