一、访问控制列表介绍:
访问控制列表(ACL,access control list)是应用在路由器的接口上的指令列表(即规则).这些规则告诉路由器,哪些数据包需要被拒绝,哪些被允许. 访问控制列表的基本原理是:ACL使用包过滤技术,在路由器上读取OSI七层模型中的第3层和第4层包头的信息,如源IP、目的IP、源端口、目的端口等,根据预先定义好的规则,对包进行过滤,从而达到访问控制的目的. ACL可分为两种基本类型: >标准访问控制列表:检查数据包的源地址,其结果基于源网路/子网/主机IP地址,来决定允许还是拒绝,使用1-99之间的数字作为表号. >扩展访问列表:对数据包的源地址与目的地址均检查,它也能检查特定的协议、端口号以及其他参数.使用100-199之间的数字作为表号. 二、访问控制列表的工作原理 访问控制列表是一组规则的集合,它应用在路由器的接口上,有进和出2个方向. 出:已经经过路由器的处理,正离开路由器接口的数据包. 入:已到达路由器接口的数据包,将被路由器处理. 如果对路由器的接口应用的ACL,也就是说该接口应用了一组规则,那么路由器将对数据包按照顺序进行检查. >如果第一条规则被匹配了,则不往下检查,直接决定数据包是被丢弃还是转发 >如果第一条不匹配,则向下检查,直到有一条规则被匹配,决定该数据包是被丢弃还是转发 >如果最后没有任何一条规则被匹配,则路由器根据默认的规则来决定是丢掉还是转发 访问控制列表对路由器本身产生的数据包不起作用 由此可见,在ACL中,规则的顺序很重要,一旦匹配了规则,就不再向下检查. 三、访问控制列表的类型: 1.标准访问控制列表 标准访问控制列表根据数据包的源IP地址来决定数据包是丢弃还是转发,表号1-99 2.扩展访问控制列表 扩展访问控制列表根据数据包的源IP地址、目的IP地址、协议、端口号来允许或者拒绝数据包，表号100-199 3.命名访问控制列表: 允许在标准和扩展访问控制列表中使用名称代替表号. 4.定时访问控制列表 定时访问控制列表提供基于时间的附加控制特性,定义在什么时间允许或者拒绝数据包. 四、访问控制列表的配置 4.1.标准访问控制列表的配置 1.创建ACL Router(config)#access-list access-list-number { permit | deny } source [source-wildcard] access-list-number:访问控制列表表号,范围1-99 permit | deny :允许 | 拒绝 source :数据包的源地址,可以值主机地址,也可以是网络地址,也就是网段或者具体的IP地址 source-wildcard:通配符掩码,也叫反掩码，在用二进制0和1表示时，如果某位为1，表明这一位不需要进行匹配，为0，则表明这一位需要严格匹配. 例: Router(config)#access-list 1 permit 192.168.1.0 0.0.0.255 192.168.1.0/24的子网掩码是255.255.255.0,反掩码可以通过255.255.255.255减去255.255.255.0得到 Router(config)#access-list 1 permit 192.168.2.2 0.0.0.0 192.168.2.2的子网掩码是255.255.255.255,反掩码就是0.0.0.0 1)每个ACL都有一个隐含的拒绝语句,如下: Router(config)#access-list 1 deny 0.0.0.0 255.255.255.255 2)关键字host/any 如:192.168.2.2 0.0.0.0 就可以用host代替 Router(config)#access-list 1 permit host 192.168.2.2 0.0.0.0 255.255.255.255 可以使用关键字any代替 Router(config)#access-list 1 deny any 3)删除已建立的标准ACL Router(config)#no access-list access-list-number 对于标准访问控制列表，不能删除单条ACL语句，只能删除整个ACL，这意味着如果要改变一条或者几条ACL语句，必须先删除整个ACL，然后再添加想要的ACL语句 2.将ACL应用于接口 创建ACL之后，只有将ACL应用到接口，ACL才会生效 Router(config)#ip access-group acess-list-number { in | out} 参数in | out 用来表示是应用到入站接口还是出站接口 要取消接口上的ACL，在前面加no Router(config)#no ip access-group access-list-number { in | out } 3.标准ACL配置实例 如图：要求配置标准ACL实现，禁止PC1访问PC2，而允许所有其他流量 步骤如下： 1)分析是在入站接口/出站接口上应用ACL 路由器对于in的数据包，先查看访问控制列表，通过后才查看路由表.对于out的数据包是先查看路由表,确定目标后才查看访问控制列表,因此尽量把ACL应用到入站接口上,因为它比出站接口效率要高.将要丢弃的数据包在进行路由表查询处理之前就拒绝掉. 2)应用在哪台路由器上 因为标准访问控制列表只能根据源IP地址过滤,如果在R1/R2上配置ACL,PC1不仅不能访问PC2,而且不能访问192.168.2.0/24.所以应该把标准ACL配置在离目的最近的路由器上. 3)配置ACL R3(config)#access-list 1 deny 192.168.1.1 0.0.0.255 或者 R3(config)#access-list 1 deny host 192.168.1.1 R3(config)#access-list 1 permit any R3(config)#int f0/0 R3(config-if)#ip access-group 1 in 使用show access-lists命令查看ACL配置 4.2扩展访问控制列表 1.创建ACL Router(config)#access-list access-list-number { permit | deny } protocol { source source source-wildcard destination destination-wildcard } [ operator operan ] access-list-number:访问控制列表表号,对于扩展ACL来说,范围是100-199 permit | deny :允许 | 拒绝 protocol : 协议,如IP/TCP/UDP/ICMP等 source destination :源地址/目的地址 source-wildcard destination-wildcard :反掩码,分别和源地址和目的地址对应 operator operan : lt (小于) 、gt(大于)、eq(等于)、neq(不等于)和一个端口号 例1:允许192.168.1.0/24访问192.168.2.0/24的IP流量通过,拒绝其他流量通过 Router(config)#access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 Router(config)#access-list 100 deny ip any any 例2：拒绝192.168.1.0/24访问FTP服务器192.168.2.2/24的流量通过，而允许其他任何流量 Router(config)#access-list 100 deny tcp 192.168.1.0 0.0.0.255 192.168.2.2 0.0.0.255 Router(config)#access-list 100 permit ip any any 删除扩展ACL和删除标准ACL一样 Router(config)#no access-list access-list-number 扩展ACL与标准ACL一样,也不能删除单独的ACL语句,只能删除整个ACL 2.将ACL应用于接口 和标准ACL一样,需要将ACL应用到接口上,ACL才会生效 命令和标准ACL一样 Router(config-if)#ip access-group 100 in | out 取消的命令 Router(config-if)#no ip access-group 100 in | out 3.扩展ACL配置实例 步骤： 1)分析将ACL应用在入站接口还是出站接口 和标准ACL一样,尽量将ACL应用在入站接口上 2)该应用在哪台路由器上 由于扩展ACL可以根据源IP/目的IP/协议/端口,因此尽量将ACL应用到离源IP最近的路由器上,这样避免经过过多的路由器占用不要的资源. 3)配置ACL,并应用到接口上 R1(config)#access-list 100 permit tcp 192.168.1.1 0.0.0.255 192.168.3.1 0.0.0.255 eq 80 (www) R1(config)#access-list 100 deny ip 192.168.1.1 0.0.0.255 192.168.3.1 0.0.0.255 R1(config)#access-list 100 permit ip 192.168.1.1 0.0.0.255 192.168.2.0 0.0.0.255 R1(config)#int f0/0 R1(config-if)#ip access-group 100 in 4.3命名访问控制列表的配置 1.创建ACL Router(config)#ip access-list { standard | extended } access-list-name 参数access-list-name 可以使用一个由字母、数字组合的字符串 如果是标准ACL，命令： Router(config)#[Sequence-number] { permit | deny } source [ source-wildcard ] 如果是扩展ACL，命令： Router(config-ext-nacl)#[ Sequence-Number ] { permit | deny } protocol { source source-wildcard destination destination-wildcard } [ operator operan] 无论是标准命名ACL还是扩展命名ACL，都有一个可选参数Sequence-Number，Sequence-Number表明配置此ACL语句在ACL中所处的位置，默认情况下，第一条为10，第二条为20，以此类推. Sequence-Number可以很方便的将新添加的ACL语句插入到指定位置,如果不选择Sequence-Number,那么ACL语句就会被添加到列表末尾,并且序列号加10. 例:允许来自主机192.168.1.1/24的流量通过,而拒绝其他流量,标准命名ACL命令为: Router(config)#ip access-list standard cisco Router(config-std-nacl)#permit 192.168.1.1 0.0.0.255 Router(config-std-nacl)#deny any 例:拒绝192.168.1.0/24访问FTP服务器192.168.2.2/24的流量通过,而允许其他任何流量.扩展命名ACL: Router(config)#ip access-list extended cisco1 Router(config-ext-nacl)#deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.2 eq 21 Router(config-ext-nacl)#permit ip any any 删除已建立的命名ACL: Router(config)#no ip access-list { standard | extended } access-list-name 对于命名ACL来说，可以删除单条的ACL语句，而不必删除整个ACL,而且命令ACL可以有选择性的插入到指定位置,是ACL配置更加方便. 如果要删除一条ACL语句,可以使用"no Sequence-Number"或者"no acl语句"两种方式. 例如: Router(config)#ip access-list standard cisco Router(config-std-nacl)#no 10 2.将ACL应用于接口 创建命令ACL后,也必须将ACL应用于接口才会生效. Router(config-if)#ip access-group access-list-name { in | out } 取消在接口应用的ACL: Router(config-if)#no ip access-group access-list-name { in | out } 4.4 定时访问控制列表的配置 配置定时ACL，需要建立一个时间范围，然后使用扩展ACL或者命名扩展ACL引用这个时间范围. 1.定义时间范围的名称 Router(config)#time-range time-range-name 2.指定该时间范围何时生效 指定该时间范围何时生效有二种方式:定义一个时间周期或者定义一个绝对的时间. 1).定义一个时间周期 Router(config-time-range)#periodic days-of-the-week hh:mm to [ days-of-the-week ] hh:mm Router(config-time-range)#absolute [ start hh:mm day month year ] [ end hh:mm day month year ]2).在扩展ACL中引入时间范围
Router(config)#access-list access-list-number { permit | deny } protocol { source source-wildcard destination destination-wildcard } [ operaor operan ] time-range time-range-name 3).将ACL应用于接口 Router(config-if)#ip access-group access-list-number { in | out } 例:在每周的正常工作时间(周一到周五的每天8:30-17:30),允许所有的IP流量通过网络,命令如下: Router(config)#time-range time Router(config-time-range)#periodic weekdays 8:30 to 17:30 Router(config-time-range)#exit Router(config)#access-list 101 permit ip any any time-range time Router(config)#int f0/0 Router(config-if)#ip access-group 101 in