标准访问控制列表配置

访问控制列表配置 访问控制列表配置练习 访问控制列表配置实验

13. 标准访问列表的实现

一．实训目的

1.理解标准访问控制列表的概念和工作原理。

2.掌握标准访问控制列表的配置方法。

3.掌握对路由器的管理位置加以限制的方法。

二．实训器材及环境

1．安装有packet tracer5.0模拟软件的计算机。

2．搭建实验环境如下：

三．实训理论基础

1．访问列表概述

访问列表是由一系列语句组成的列表，这些语句主要包括匹配条件和采取的动作（允许或禁止）两个内容。

访问列表应用在路由器的接口上，通过匹配数据包信息与访问表参数来决定允许数据包通过还是拒绝数据包通过某个接口。

数据包是通过还是拒绝，主要通过数据包中的源地址、目的地址、源端口、目的端口、协议等信息来决定。

访问控制列表可以限制网络流量，提高网络性能，控制网络通信流量等，同时ACL也是网络访问控制的基本安全手段。

2．访问列表类型

访问列表可分为标准IP访问列表和扩展IP访问列表。

标准访问列表：其只检查数据包的源地址，从而允许或拒绝基于网络、子网或主机的IP地址的所有通信流量通过路由器的出口。

扩展IP访问列表：它不仅检查数据包的源地址，还要检查数据包的目的地址、特定协议类型、源端口号、目的端口号等。

访问控制列表配置 访问控制列表配置练习 访问控制列表配置实验

3．ACL的相关特性

每一个接口可以在进入（inbound）和离开（outbound）两个方向上分别应用一个ACL，且每个方向上只能应用一个ACL。

ACL语句包括两个动作，一个是拒绝（deny）即拒绝数据包通过，过滤掉数据包，一个是允许(permit)即允许数据包通过，不过滤数据包。

在路由选择进行以前，应用在接口进入方向的ACL起作用。

在路由选择决定以后，应用在接口离开方向的ACL起作用。

每个ACL的结尾有一个隐含的“拒绝的所有数据包(deny all)”的语句。

4．ACL转发的过程

5．IP地址与通配符掩码的作用规

32位的IP地址与32位的通配符掩码逐位进行比较，通配符掩码为0的位要求IP地址的对应位必须匹配，通配符掩码为1的位所对应的IP地址位不必匹配。

通配符掩码掩码的两种特殊形式：

一个是host表示一种精确匹配，是通配符掩码掩码0.0.0.0的简写形式；

一个是any表示全部不进行匹配，是通配符掩码掩码255.255.255.255的简写形式。

6．访问列表配置步骤

第一步是配置访问列表语句；第二步是把配置好的访问列表应用到某个端口上。

7．访问列表注意事项

注意访问列表中语句的次序，尽量把作用范围小的语句放在前面。

新的表项只能被添加到访问表的末尾，这意味着不可能改变已有访问表的功能。如果必须要改变，只有先删除已存在的访问列表，然后创建一个新访问列表、然后将新访问列表用到相应的

访问控制列表配置 访问控制列表配置练习 访问控制列表配置实验

接口上。

标准的IP访问列表只匹配源地址，一般都使用扩展的IP访问列表以达到精确的要求。 标准的访问列表尽量靠近目的，由于标准访问表只使用源地址，因此将其靠近源会阻止报文流向其他端口。扩展的访问列表尽量靠近过滤源的位置上，以免访问列表影响其他接口上的数据流。

在应用访问列表时，要特别注意过滤的方向。

8．标准IP访问列表的配置命令

access-list（access-list-number）（deny|permit）（source-address） （source-wildcard） [log] access-list-number：标准访问列表编号只能是1～99之间的一个数字，同时只要访问列表编号在1～99之间，它即可以定义访问控制列表操作的协议，也可以定义访问控制列表的类型；

deny|permit：deny表示匹配的数据包将被过滤；permit表示允许匹配的数据包通过； source-address：表示单台或一个网段内的主机的IP地址；

source-wildcard：通配符掩码；

Log：访问列表日志，如果该关键字用于访问列表中，则对匹配访问列表中条件的报文作日志。

9．标准IP访问列表的配置命令续

（1）应用访问列表到接口

ip access-group access-list-number in|out

In：通过接口进入路由器的报文；

Out：通过接口离开路由器的报文。

（2）显示所有协议的访问列表配置细节

show access-list [access-list-number]

（3）显示IP访问列表

show ip access-list [access-list-number]

四．实训内容

1．设置简单路由，使Router4能够访问Router2；

2．在Router2上配置标准ACL，使Router4不能够访问Router2。

五．实训步骤(标号的点需要改吗？字体与前面不同，不是宋体)

1. 设置路由器Router1的Ethernet 0和Serial 0两个接口的IP属性，并予以激活。

Ethernet 0：24.17.2.1 255.255.255.240

Serial 0：24.17.2.17 255.255.255.240

命令如下：

Router>

Router#

Router#config t

Router(config)#hostname Router1

Router1(config)#

Router1(config)#interface ethernet0

Router1(config-if)#ip address 24.17.2.1 255.255.255.240

Router1(config-if)#no shutdown

Router1(config-if)#exit

Router1(config)#interface serial0

访问控制列表配置 访问控制列表配置练习 访问控制列表配置实验

Router1(config-if)#ip address 24.17.2.17 255.255.255.240

Router1(config-if)#no shutdown

Router1(config-if)#exit

Router1(config)#exit

2. 设置路由器Router2的Ethernet 0接口的IP属性，并予以激活。

Ethernet 0：24.17.2.2 255.255.255.240

命令如下：

Router>

Router>enable

Router#

Router#config t

Router(config)#hostname Router2

Router2(config)#

Router2(config)#interface ethernet0

Router2(config-if)#ip address 24.17.2.2 255.255.255.240

Router2(config-if)#no shutdown

Router2(config-if)#exit

Router1(config)#exit

3. 在Router2上使用Ping命令查看和路由器Router1中Ethernet 0接口的连通性。

Router2#ping 24.17.2.1

4. 设置路由器Router4的Serial 0接口的IP属性，并予以激活。

Serial 0：24.17.2.18 255.255.255.240

然后使用Ping命令查看和路由器Router1中Serial 0接口的连通性。

Router>

Router>enable

Router#

Router#config t

Router(config)#hostname Router4

Router4(config)#

Router4(config)#interface serial0

Router4(config-if)#ip address 24.17.2.18 255.255.255.240

Router4(config-if)#no shutdown

Router4(config-if)#exit

Router4(config)#exit

Router4#ping 24.17.2.17

5.在路由器 1 上启用RIP动态路由协议，再使用network命令配置需要进行通告的网络号。

Router1#config t

Router1(config)#router rip

Router1(config-router)#network 24.0.0.0

Router1(config-rou …… 此处隐藏：3297字，全部文档内容请下载后查看。喜欢就下载吧 ……