TCPIP路由交換技術(shù)（第二版）課件 項(xiàng)目9.1 了解訪問控制列表的應(yīng)用規(guī)則

項(xiàng)目9利用訪問控制列表管理網(wǎng)絡(luò)的數(shù)據(jù)流授課教師：肖

楊吉林交通職業(yè)技術(shù)學(xué)院學(xué)習(xí)目標(biāo)

了解ACL的概念及其作用掌握ACL分類、特點(diǎn)和應(yīng)用要求學(xué)會標(biāo)準(zhǔn)ACL和擴(kuò)展ACL的配置思維導(dǎo)圖

了解訪問控制列表的應(yīng)用規(guī)則0

1掌握ACL的配置02利用ACL管理網(wǎng)絡(luò)的數(shù)據(jù)流03CONTENTS目錄學(xué)習(xí)任務(wù)9.1了解訪問控制列表的應(yīng)用規(guī)則9.1.1訪問控制列表（ACL）概述ACL的定義172.16.0.0172.17.0.0InternetACL（訪問控制列表）定義：當(dāng)網(wǎng)絡(luò)流量不斷增長的時候，對數(shù)據(jù)流進(jìn)行管理和限制的方法作為通用判別標(biāo)準(zhǔn)應(yīng)用到不同場合ACL的使用場合哪些場合需要使用ACL？允許或禁止對路由器或來自路由器的telnet訪問QOS與隊(duì)列技術(shù)策略路由數(shù)據(jù)速率限制路由策略端口流鏡像NAT……ACL的分類（1）

數(shù)據(jù)包出接口數(shù)據(jù)包入接口ACL處理過程允許?源地址、目的地址協(xié)議標(biāo)準(zhǔn)ACL僅以源IP地址作為過濾標(biāo)準(zhǔn)只能粗略的限制某一大類協(xié)議擴(kuò)展ACL以源IP地址、目的IP地址、TCP/UDP源端口號、TCP/UDP目的端口號、ICMP類型、ICMPCode、DSCP（DiffServCodePoint）、ToS、Precedence作為過濾標(biāo)準(zhǔn)，可以精確的限制到某一種具體的協(xié)議ACL的分類（2）

數(shù)據(jù)包出接口數(shù)據(jù)包入接口ACL處理過程允許?源地址、目的地址協(xié)議二層ACL源MAC地址、目的MAC地址、源VLANID、二層以太網(wǎng)協(xié)議類型、802.1p優(yōu)先級值進(jìn)行匹配。混合ACL對源MAC地址、目的MAC地址、源VLANID、源IP地址、目的IP地址、TCP源端口號、TCP目的端口號、UDP源端口號、UDP目的端口號進(jìn)行匹配。

標(biāo)準(zhǔn)ACL和擴(kuò)展ACL的對比標(biāo)準(zhǔn)ACL擴(kuò)展ACL基于源地址過濾基于源、目的地址過濾允許/拒絕整個TCP/IP協(xié)議族指定特定的IP協(xié)議和協(xié)議號范圍從1到99范圍從100到1999.1.2

ACL規(guī)則ACL的工作流程ACL應(yīng)用在出接口ACL的工作流程ACL應(yīng)用在入接口ACL內(nèi)部匹配規(guī)則ACL的判別標(biāo)準(zhǔn)9.1.3

ACL的應(yīng)用ACL的應(yīng)用對于標(biāo)準(zhǔn)ACL，由于它只能過濾源IP，為了不影響源主機(jī)的通信，一般我們將標(biāo)準(zhǔn)ACL放在離目的端比較近的地方；擴(kuò)展ACL可以精確的定位某一類的數(shù)據(jù)流，為了不讓無用的流量占據(jù)網(wǎng)絡(luò)帶寬，一般我們將擴(kuò)展ACL放在離源端比較近的地方。ACL配置規(guī)則1.ACL語句執(zhí)行順序2.隱含的拒絕所有的條目3.ACL可應(yīng)用于IP接口或某種服務(wù)4.ACL配置順序5.ACL的應(yīng)用6.ACL的方向反掩碼（通配符的作用）0代表對應(yīng)位必須與前面的地址相應(yīng)位一致1代表對應(yīng)位可以是任意值donotcheckaddress

(ignorebitsinoctet)=001111111286432168421=00000000=00001111=11111100=11111111ignorelast6addressbitscheckalladdressbits(matchall)ignorelast4addressbitschecklast2addressbitsExamples匹配特定主機(jī)地址172.30.16.29

0.0.0.0(匹配所有32位)Wildcardmask:匹配條件:匹配所有32位地址----主機(jī)地址匹配任意地址0.0.0.0255.255.255.255意為接受所有地址可簡寫為any0.0.0.0 255.255.255.255(忽略所有位的比較)AnyIPaddress通配符:匹配條件:匹配任意地址（任意地址都被認(rèn)為符合條件）匹配特定子網(wǎng)指定特定地址范圍172.30.16.0/24到

172.30.31.0/24172.30.16.0

00010000通配符: 00001111 |<-------

匹配

------->|<-----忽略----->|

00010000 = 16

00010001 = 17

00010010 = 18 : :

00011111 = 31地址與通配符如下172.30.16.00.0.15.255ACL的配置規(guī)則總結(jié)思考：我們應(yīng)該按照怎樣一個順序配置ACL按照由上到下的順序執(zhí)行，找到第一個匹配后既執(zhí)行相應(yīng)的操作（然后跳出ACL）每條ACL的末尾隱含一條denyany的規(guī)則ACL可應(yīng)用于某個具體的IP接口的出方向或入方向ACL可