访问控制列表（标准ACL、扩展ACL、命名ACL）(文末附Cisco Packet Tracer Student下载资源）

傷城~ 2022-12-02 00:52 178阅读 0赞

**目录**

一、ACL ( Access Control List ）访问控制列表

ACL主要分为2大类：

标准ACL：

扩展ACL：

ACL原理

命名ACL：

二、案例

2.1 标准ACL

2.2 拓展ACL（没写了。。。）

三、Cisco Packet Tracer Student 6.2 下载地址

--------------------

# 一、ACL ( Access Control List ）访问控制列表 #

ACL是一种包过滤技术。  
ACL基于IP包头的IP地址、四层TCP/UDP头部的端口号、\[5层数据\]  
       基于三层和四层过滤  
 ACL在路由器上配置，也可以在防火墙上配置（一般称为策略）

## ACL主要分为2大类： ##

1）标准ACL  
    2）扩展ACL

### 标准ACL： ###

表号：1-99，可以写99张表  
    特点：只能基于源IP对包进行过滤  
    命令：

>     conf  t  
>     access-list  表号  permit/deny   源IP或源网段  反子网掩码

注释：**反子网掩码**：将正子网掩码0和1倒置  
              255.0.0.0  --  0.255.255.255  
              255.255.0.0  --  0.0.255.255  
              255.255.255.0  --  0.0.0.255  
             反子网掩码作用：用来匹配条件，与0对应的需要严格匹配，与1对应的忽略！

例如：

> access-list   1   deny   10.0.0.0   0.255.255.255  
> 解释：该条目用来拒绝所有源IP为10开头的！
> 
> access-list   1   deny   10.1.1.1  0.0.0.0  
> 解释：该条目用来拒绝所有源IP为10.1.1.1的主机  
> 简写： access-list   1   deny   host  10.1.1.1
> 
> access-list   1   deny   0.0.0.0  255.255.255.255  
> 解释：该条目用来拒绝所有所有人  
> 简写： access-list   1   deny   any

完整的案例：

> conf t  
> acc 1 deny host 10.1.1.1  
> acc 1 deny 20.1.1.0 0.0.0.255  
> acc 1 permit any
> 
>   
> 查看ACL表：  
> show  ip  access-list  \[表ID\]
> 
> 将ACL应用到接口：  
> int  f0/x  
>    ip  access-group  表号  in/out  
>    exit
> 
> sh run

### 扩展ACL： ###

表号：100-199  
    特点：可以基于源IP、目标IP、端口号、协议等对包进行过滤  
    命令：

> acc 100 permit/deny  协议  源IP或源网段  反子网掩码  目标IP或源网段  反子网掩码  \[eq 端口号\]  
> 注释：协议：tcp/udp/icmp/ip

> 案例：  
> acc 100 permit tcp host 10.1.1.1 host 20.1.1.3 eq 80  
> acc 100 permit icmp host 10.1.1.1 20.1.1.0 0.0.0.255  
> acc 100 deny ip host 10.1.1.1 20.1.1.0 0.0.0.255  
> acc 100 permit ip any any

## ACL原理 ##

*  ACL表必须应用到接口的进或出方向才生效！
 *  **一个接口的一个方向**只能应用**一张表**！
 *  进还是出方向应用？取决于流量控制总方向
 *  ACL表是严格自上而下检查每一条，所以要注意书写顺序
 *  每一条是由条件和动作组成，当流量完全满足条件当某流量没有满足某条件，则继续检查下一条
 *  标准ACL尽量写在靠近目标的地方

做流量控制，首先要先判断ACL写的**位置**（那个路由器？那个接口的哪个方向？）再考虑怎么写ACL。如何写？  
          首先要判断最终要允许所有还是拒绝所有  
          然后写的时候要注意：将严格的控制写在前面

一般情况下，标准或扩展ACL一旦编写号，无法修改某一条，也无法删除某一条，也无法修改顺序，也无法往中间插入新的条目，只能一直在最后添加新的条目。 如想修改或插入或删除，只能删除整张表，重新写！

>      conf t  
>      no  access-list  表号

## 命名ACL： ##

作用：可以对标准或扩展ACL进行自定义命名  
  优点：自定义命名更容易辨认，也便于记忆！  
             可以任意修改某一条，或删除某一条，也可以往中间插入某一条

命令：

> conf t  
> ip  access-list  standard/extended   自定义表名  
>       开始从deny或permit编写ACL条目  
>       exit
> 
> 删除某一条：  
> ip  access-list  standard/extended   自定义表名  
>       no  条目ID  
>       exit
> 
> 插入某一条：  
> ip  access-list  standard/extended   自定义表名  
>       条目ID   动作   条件  
>       exit

# 二、案例 #

## 2.1 标准ACL   ![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70][] ##

路由器上图中从左到右分别命名为R1、R2、R3。  
实验要求1和2需要应用在R2的 ![f1/0][f1_0] 接口的出方向上。

acc 2 deny 10.1.1.0 255.255.255.0
    acc 2 deny host 40.1.1.1
    acc 2 permit any
    int f1/0
      ip access-group 2 out

实验要求3需要在R3的![f0/1][f0_1]接口的出方向上

acc 2 deny host 10.1.1.1
    acc 2 permit any
    iny f0/1
       ip access-group 2 out

## 2.2 拓展ACL（没写了。。。） ##

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 1][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 2][]

# 三、Cisco Packet Tracer Student 6.2 下载地址 #

链接：https://pan.baidu.com/s/1Ay6XeDWUDADN6bQ25MKKrQ   
提取码：4264

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70]: /images/20221123/310f3abb988c4e9082494a09a9169ca9.png
[f1_0]: https://private.codecogs.com/gif.latex?f1/0
[f0_1]: https://private.codecogs.com/gif.latex?f0/1
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 1]: /images/20221123/3b8034422e04470aad8d99cb395937bb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 2]: /images/20221123/59f8f8f7d79b4f93959f177eec1679a3.png