cisco路由器配置ACL详解.docVIP

cisco路由器配置ACL详解

由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。因此，要达到端到端的权限控制目的，需要和系统级及应用级的访问权限控制结合使用。

标准访问列表：

访问控制列表ACL分很多种，不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用的访问控制列表号1到99来创建相应的ACL

标准访问控制列表的格式

访问控制列表ACL分很多种，不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表，他是通过使用IP包中的源IP地址进行过滤，使用的访问控制列表号1到99来创建相应的ACL。

标准访问控制列表是最简单的ACL。

它的具体格式如下：access-listACL号permit|denyhostip地址

例如：access-list10denyhost这句命令是将所有来自地址的数据包丢弃。

当然我们也可以用网段来表示，对某个网段进行过滤。命令如下：access-list10deny55

通过上面的配置将来自/24的所有计算机数据包进行过滤丢弃。为什么后头的子网掩码表示的是55呢？这是因为CISCO规定在ACL中用反向掩玛表示子网掩码，反向掩码为55的代表他的子网掩码为。

小提示：对于标准访问控制列表来说，默认的命令是HOST，也就是说access-list10deny表示的是拒绝这台主机数据包通讯，可以省去我们输入host命令。

标准访问控制列表实例一

我们采用如图所示的网络结构。路由器连接了二个网段，分别为/24，/24。在/24网段中有一台服务器提供WWW服务，IP地址为3。

实例1：禁止/24网段中除3这台计算机访问/24的计算机。3可以正常访问/24。

路由器配置命令

access-list1permithost3设置ACL，容许3的数据包通过。

access-list1denyany设置ACL，阻止其他一切IP地址进行通讯传输。

inte1进入E1端口。

ipaccess-group1in将ACL1宣告。

经过设置后E1端口就只容许来自3这个IP地址的数据包传输出去了。来自其他IP地址的数据包都无法通过E1传输。

小提示：由于CISCO默认添加了DENYANY的语句在每个ACL中，所以上面的access-list1denyany这句命令可以省略。另外在路由器连接网络不多的情况下也可以在E0端口使用ipaccess-group1out命令来宣告，宣告结果和上面最后两句命令效果一样。

标准访问控制列表实例二

配置任务：禁止3这个计算机对/24网段的访问，而/24中的其他计算机可以正常访问。

路由器配置命令：

access-list1denyhost3设置ACL，禁止3的数据包通过

access-list1permitany设置ACL，容许其他地址的计算机进行通讯

inte1进入E1端口

ipaccess-group1in将ACL1宣告，同理可以进入E0端口后使用ipaccess-group1out来完成宣告。

配置完毕后除了3其他IP地址都可以通过路由器正常通讯，传输数据包。

总结：标准ACL占用路由器资源很少，是一种最基本最简单的访问控制列表格式。应用比较广泛，经常在要求控制级别较低的情况下使用。如果要更加复杂的控制数据包的传输就需要使用扩展访问控制列表了，他可以满足我们到端口级的要求。

扩展访问控制列表：

上面我们提到的标准访问控制列表是基于IP地址进行过滤的，是最简单的ACL。那么如果我们希望将过滤细到端口怎么办呢？或者希望对数据包的目的地址进行过滤。这时候就需要使用扩展访问控制列表了。使用扩展IP访问列表可以有效的容许用户访问物理LAN而并不容许他使用某个特定服务（例如WWW，FTP等）。扩展访问控制列表使用的ACL号为100到199。

扩展访问控制列表的格式

刚刚我们提到了标准访问控制列表，他是基于IP地址进行过滤的，是最简单的ACL。那么如果我们希望将过滤细到端口怎么办呢？或者希望对数据包的目的地址进行过滤。这时候就需要使用扩展访问控制列表了。使用扩展IP访问列表可以有效的容许用户访问物理LAN而并不容许他使用某个特定服务（例如WWW，FTP等）。扩展访问控制列表使用的ACL号为100到199。

扩展访问控制列表的格式：

扩展访问