《企业互联网络工程技术课程》第22课.docxVIP

备课纸计网蓝狐班第12周星期五 P.1课题ACL流量控制课时4课时/班教学目的掌握ACL的工作原理重点ACL的包过滤功能难点ACL的书写原则教具多媒体课型新授课作业ACL有哪些分类？ACL的作用有哪些？标准ACL与扩展ACL的区别是什么？教后附记备课纸计网蓝狐班第12周星期五 P.2教学过程课时分配教学方法教学内容访问控制列表ACL访问控制列表（Access Control List，ACL） 是路由器和交换机接口的指令列表，用来控制端口进出的数据包。ACL的应用包过滤防火墙功能 NAT（Network Address Translation，网络地址转换）QoS（Quality of Service，服务质量）的数据分类路由策略和过滤按需拨号ACL的主要作用 进行数据包过滤，增加网络的安全性 区分数据流，为其它工具服务基于特定数据流的特征来区分数据源、目标IP地址源、目标端口号协议号或其他一些信息备课纸计网蓝狐班第12周星期五 P.3课时分配教学方法教学内容在路由器上使用访问控制列表（ACL）可以控制特定的数据流。ACL应用于接口上，每个接口的出入双向分别应用对某方向上进出的数据包逐个过滤，丢弃或允许通过仅当数据包经过一个接口时，才能被此接口的此方向的ACL过滤ACL包过滤的基本规则：一个访问列表可以应用于多个路由器接口，然而，在每个接口下，每个方向只允许应用一个访问列表。 ACL由ACL号绑定多条语句组成 ； Cisco ACL语句最后隐含deny any 语句ACL匹配顺序，遵循自上而下的处理原则： 针对网络中更细化的地址或子网的列表语句要在更笼统的语句前面，将经常用到的条件放在不常用的条件前面后续增加的语句总是放在列表的最后面，但在隐含拒绝语句的前面在使用序号访问列表时，不能选择性的增加或移除访问列表语句，但使用命名访问列表时可以这样做 备课纸计网蓝狐班第12周星期五 P.4课时分配教学方法教学内容入站ACL包过滤流程：出站ACL包过滤流程：备课纸计网蓝狐班第12周星期五 P.5课时分配教学方法教学内容基本类型的访问控制列表标准访问控制列表只基于源IP地址特征进行匹配扩展访问控制列表 可以基于源、目IP，源目端口，协议进行匹配其他种类的访问控制列表基于MAC地址的访问控制列表基于时间的访问控制列表动态访问控制列表基于协议的访问控制列表基于子网的访问控制列表标准访问控制列表根据数据包的源IP地址来允许或拒绝数据包通过访问控制列表号从1到99，1300到1999扩展访问控制列表基于源和目的地址、传输层协议和应用端口号进行过滤每个条件都必须匹配，才会施加允许或拒绝条件使用扩展ACL可以实现更加精确的流量控制 访问控制列表号从100到199，2000到2699备课纸计网蓝狐班第12周星期五 P.6课时分配教学方法教学内容通配符掩码和IP地址结合使用以描述一个地址范围通配符掩码和子网掩码相似，但含义不同（子网掩码必须连续，通配符可以不连续）0表示对应位须比较1表示对应位不比较ACL常见故障：ACL单向流量返程问题ACL误过滤协议数据