6-扩展ACL教程.pptx

扩展访问控制列表（Extended ACL）; 一、ACL概述;;4;5;按照顺序进行匹配，从第一行开始，然后第二行，第三行等； 按照顺序查询匹配，符合条件后就不再继续匹配后面的条目； 每个ACL列表最后都隐含一条拒绝的语句，所以每个ACL至少包含一条 permit语句； ACL设计用于过滤通过Router的流量，但不会过滤Router自身产生的流量； 除了命名ACL，不能在其他ACL删除表中的其中一条规则，否则将会删除整个ACL； 每接口每方向只能分派一个ACL ACL的应用有进（出）站访问列表 进站访问列表：数据包先经过ACL处理再转发 出站访问列表：数据包先被转发到出口再经过 ACL处理 ACL中使用通配符，即使用反子网掩码 ;Notify Sender;访问列表的测试：允许和拒绝;;;access-list 101 deny tcp 55 55 eq 21 access-list 101 deny tcp 55 55 eq 20 access-list 101 permit ip any any (implicit deny all) (access-list 101 deny ip 55 55) interface ethernet 0 ip access-group 101 out;access-list 101 deny tcp 55 any eq 23 access-list 101 permit ip any any (implicit deny all) interface ethernet 0 ip access-group 101 out;;router# show ip int f0/0 Ethernet0 is up, line protocol is up Internet address is 1/24 Broadcast address is 55 Address determined by setup command MTU is 1500 bytes Helper address is not set Directed broadcast forwarding is disabled Outgoing access list is not set Inbound access list is 1 Proxy ARP is enabled Security level is default Split horizon is enabled ICMP redirects are always sent ICMP unreachables are always sent ICMP mask replies are never sent IP fast switching is enabled IP fast switching on the same interface is disabled IP Feature Fast switching turbo vector IP multicast fast switching is enabled IP multicast distributed fast switching is disabled text ommitted;;实验目的;实验拓扑;实验步骤;配置FTP服务器;配置DNS服务器;配置HTTP服务器;配置主机;配置扩展ACL 拒绝从主机来的ftp数据包到达网络 RouterA(config)#access-list 101 deny tcp 55 eq ftp RouterA(config)#access-list 101 permit ip any any RouterA(config)# int gi0/0 RouterA(config-if)# ip access-group 101 in 配置完成之后须测试，主机能ping通的服务器，但是ftp登录不了。将测试截图粘贴到实验报告。 ;配置扩展ACL 除来自主机的WWW数据包外，拒绝网络中其他主机的所有数据包到达网络 RouterA(config)#access-list 102 permit tcp 55 eq www RouterA(config)#int gi0/1 RouterA(config-if)#ip access-group 102 in 配置完成之后须测试，的主机可以打开的web服务，而的主机却不可以。将测试截图粘贴到实验报告。 注：删除命令在配置命令前加no即可，如下所示 RouterA(config)#no access-list 10