第8章 网络地址转换和访问控制列表.ppt

访问控制列表 什么是访问列表 IP Access-list：IP访问列表或访问控制列表，简称IP ACL IP ACL就是对经过网络设备的数据包根据一定的规则进行数据包的过滤。 为什么要使用访问列表 为什么要使用访问列表 访问列表的组成 定义访问列表的步骤 第一步，定义规则（哪些数据允许通过，哪些数据不允许通过） 第二步，将规则应用在路由器（或交换机）的接口上 访问控制列表的分类： 1、标准访问控制列表 2、扩展访问控制列表 访问控制列表规则元素 源IP、目的IP、源端口、目的端口、协议 访问列表规则的应用 路由器应用访问列表对流经接口的数据包进行控制 1.入栈应用（in） 2.出栈应用（out） 访问列表的入栈应用 IP ACL的基本准则 一切未被允许的就是禁止的。 路由器或三层交换机缺省允许所有的信息流通过; 而防火墙缺省封锁所有的信息流，然后对希望提供的服务逐项开放。 按规则链来进行匹配 使用源地址、目的地址、源端口、目的端口、协议、时间段进行匹配 从头到尾，至顶向下的匹配方式 匹配成功马上停止 立刻使用该规则的“允许、拒绝……” 一个访问列表多个测试条件 访问列表规则的定义 标准访问列表 根据数据包源IP地址进行规则定义 扩展访问列表 根据数据包中源IP、目的IP、源端口、目的端口、协议进行规则定义 IP扩展访问列表 反掩码（通配符） IP标准访问列表的配置 1.定义标准ACL 编号的标准访问列表Router(config)#access-list 1-99 {permit|deny} 源地址 [反掩码] 命名的标准访问列表 ip access-list standard { name} 　deny　{source source-wildcard|host　source|any} or permit {source source-wildcard|host　source|any} 2.应用ACL到接口 Router(config-if)#ip access-group 1-99|{name} { in | out } IP扩展访问列表的配置 1.定义扩展的ACL 编号的扩展ACL Router(config)#access-list 100-199 { permit /deny } 协议 源地址 反掩码 [源端口] 目的地址 反掩码 [ 目的端口 ] 命名的扩展ACL ip access-list extended { name} {deny|permit} protocol　{source　 source-wildcard |host source| any}[operator port] {destination destination-wildcard |host destination |any}[operator port] 2.应用ACL到接口 Router(config-if)#ip access-group 100-199 |{name} { in | out } IP扩展访问列表配置实例 下例显示如何创建一条Extended IP ACL，该ACL有一条ACE，用于允许指定网络（192.168.x..x）的所有主机以HTTP访问服务器，但拒绝其它所有主机使用网络。 Switch (config)# ip access-list extended abc Switch (config-ext-nacl)# permit tcp 55 host eq www Switch (config-ext-nacl)#end Switch # show access-lists 扩展访问列表的应用 访问列表的验证 显示全部的访问列表 Router#show access-lists 显示指定的访问列表 Router#show access-lists 1-199 显示接口的访问列表应用 Router#show ip interface 接口名称 接口编号 访问列表的注意事项 1、在进行规则匹配时，从上至下，匹配成功马上停止，不会继续匹配下面的规则。 2、所有访问列表默认规则是拒绝所有数据包 3、处理方式只有允许通过和拒绝通过 4、锐捷路由器只能编写编号方式的规则 5、锐捷交换机只能编写命名方式的规则 6、一个端口在某一方向只能应用一组访问列表 局域网与Internet互联 本章内容 局域网与Internet互联概述 NAT的工作原理 NAT/NAPT的配置 NAT的监视和维护 NAT的注意事项 局域网与Internet的互联 常见实现方式 代理服务器 proxy、ISA、ICS、wingate、sysgate等 N