ACL 介绍(通俗易懂).pdfVIP

提供的不仅仅是资料，更多的是学习的方法与思路！！ ACL 介绍(通俗易懂) acl (access control lists)是交换机实现的一种数据包过滤机制，通过 允许或拒绝特定的数据包进出网络，交换机可以对网络访问进行控制，有效保证 网络的安全运行。用户可以基于报文中的特定信息制定一组规则（rule），每条 规则都描述了对匹配一定信息的数据包所采取的动作：允许通过（permit）或拒 绝通过（deny）。用户可以把这些规则应用到特定交换机端口的入口或出口方向， 这样特定端口上特定方向的数据流就必须依照指定的acl 规则进出交换机。 Access-list access-list 是一个有序的语句集，每一条语句对应一条特定的规则 (rule)。每条rule 包括了过滤信息及匹配此rule 时应采取的动作。rule 包含 的信息可以包括源mac、目的mac、源ip、目的ip、ip 协议号、tcp 端口等条件 的有效组合。根据不同的标准，access-list 可以有如下分类： 1 根据过滤信息：ip access-list （三层以上信息），mac access-list （二层信息），mac-ip access-list （二层以上信息）。 2 根据配置的复杂程度：标准(standard)和扩展(extended)，扩展方式 可以指定更加细致过滤信息。 3 根据命名方式：数字(numbered)和命名(named)。 对一条acl 的说明应当从这三个方面加以描述。 Access-group 当用户按照实际需要制定了一组access-list 之后，就可以把他们分别应用 到不同端口的不同方向上。access-group 就是对特定的一条access-list 与特 定端口的特定方向的绑定关系的描述。当您建立了一条access-group 之后，流 经此端口此方向的所有数据包都会试图匹配指定的access-list 规则，以决定交 换动作是允许(permit)或拒绝(deny)。另外还可以在端口加上对acl 规则统计计 数器，以便统计流经端口的符合acl 规则数据包的数量。 Access-list 动作及全局默认动作 access-list 动作及默认动作分为两种：允许通过(permit)或拒绝通过 (deny)。具体有如下： 1 在一个access-list 内，可以有多条规则（rule）。对数据包的过滤 从第一条规则（rule）开始，直到匹配到一条规则（rule），其后的规则（rule） 不再进行匹配。 2 全局默认动作只对端口入口方向的ip 包有效。对入口的非ip 数据包 以及出口的所有数据包，其默认转发动作均为允许通过(permit)。 3 只有在包过滤功能打开且端口上没有绑定任何的acl 或不匹配任何绑 定的acl 时才会匹配入口的全局的默认动作。 4 当一条access-list 被绑定到一个端口的出方向时，其规则（rule） 的动作只能为拒绝通过（deny）。 ACL 配置任务序列 1. 配置access-list （1） 配置数字标准ip 访问列表 每个人都需要为了自己的梦想奋勇向前! 提供的不仅仅是资料，更多的是学习的方法与思路！！ （2） 配置数字扩展ip 访问列表 （3） 配置命名标准ip 访问列表 a) 创建一个命名标准ip 访问列表 b) 指定多条permit 或deny 规则表项 c) 退出访问表配置模式 （4） 配置命名扩展ip 访问列表 a) 创建一个命名扩展ip 访问列表 b) 指定多条permit 或deny 规则表项 c) 退出访问表配置模式 （5） 配置数字标准mac 访问列表 （6） 配置数字扩展mac 访问列表 （7） 配置命名扩展mac 访问列表 a) 创建一个命名扩展mac 访问列表 b) 指定多条permit 或deny 规则表项 c) 退出mac 访问表配置模式 （8） 配置数字扩展mac-ip