第8章 擴展訪問控制列表ACL

訪問控制列表（ACL）擴展ACL編輯ppt學習目標通過擴展ACL的學習，掌握ACL的應用編輯ppt擴展訪問列表擴展ACL提供了比標準ACL更大范圍的控制，擴展ACL可以檢查源地址和目標地址，特定的協(xié)議，端口號，以及其它的參數。與標準ACL對比：只過濾源地址（如：E0和E1端口只允許來自于網絡的數據報被轉發(fā)，其余的將被阻止。）3E0S0E1Non-編輯ppt擴展ACL配置完全形式的access-list命令為：Router(config)#access-list

access_list_number

{permit|deny}

protocolsource[source_mask

destination

destination_maskoperatoroperand

[established]

Router(config-if)#{protocol}

access-group

access_list_number

{in|out}

編輯pptRouter(config)#access-list表號permit|deny協(xié)議源地址通配符掩碼目的地址通配符掩碼[運算符端口號]其中：協(xié)議有TCP、IP等運算符有：eq、lt（小于）、gt（大于）、neq（不等于）端口號有：20或21，表示ftp23，表示telnet25，表示smtp53，表示dns69，表示tftp80，表示www

Ipaccess-group表號{in|out}其中，in表示流入端口，out表示流出端口編輯ppt擴展ACL舉例以下圖的結構為例，介紹擴展ACL的使用。實例1：在E0端口，禁止轉出來自子網的FTP數據流到子網，其它的數據流將被轉發(fā)。實例2：在E0端口，禁止轉出來自子網的Telnet數據流，其它的數據流將被轉發(fā)。3E0S0E1Non-編輯ppt實例1：禁止轉出FTP數據在E0端口，禁止轉出來自子網的FTP數據流到子網，其它的數據流將被轉發(fā)。第一個ACL命令用“deny”禁止來自子網的FTP-DATA（port=20）數據流到子網。第二個ACL命令用“deny”禁止來自子網的FTP（port=21）數據流到子網。第三個ACL命令表示允許任何的數據流。最后將此ACL101關聯到端口E0。access-list101denytcp5555eq21access-list101denytcp5555eq20access-list101permitipanyany(implicitdenyall)(access-list101denyip5555)interfaceethernet0ipaccess-group101out編輯ppt實例2：禁止轉出Telnet數據在E0端口，禁止轉出來自子網的Telnet數據流，其它的數據流將被轉發(fā)。第一個ACL命令用“deny”禁止來自子網的Telnet(port=23)數據流。第二個ACL命令表示允許任何的數據流。最后將此ACL101關聯到端口E0。access-list101denytcp55anyeq23access-list101permitipanyany(implicitdenyall)interfaceethernet0ipaccess-group101out編輯ppt編輯ppt訪問控制列表舉例

以我系實驗室為例

1、屏蔽網站

2、限制服務編輯ppt課外思考1、訪問控制列表的