标准访问控制列表配置

1、知识是人类进步的阶梯13.标准访问列表的实现.实训目的1 .理解标准访问控制列表的概念和工作原理。2 .掌握标准访问控制列表的配置方法。3 .掌握对路由器的管理位置加以限制的方法。.实训器材及环境1 .安装有packet tracer5.0模拟软件的计算机。2 .搭建实验环境如下：RouterlRouter2Router4Interface24,17212417.22Ethernet 0255J55.255.240255,255.255.240InterfeceSerial 0RIP2417,2,17255255.25524024,17218255.255.255.240On iiitrfoc

2、esEthernet 0 aud Serial 0On Etliemet 0On Seiial 0三.实训理论基础1 .访问列表概述访问列表是由一系列语句组成的列表，这些语句主要包括匹配条件和采取的动作（允许或禁 止）两个内容。访问列表应用在路由器的接口上，通过匹配数据包信息与访问表参数来决定允许数据包通过还是拒绝数据包通过某个接口。数据包是通过还是拒绝，主要通过数据包中的源地址、目的地址、源端口、目的端口、协议 等信息来决定。访问控制列表可以限制网络流量，提高网络性能，控制网络通信流量等，同时ACL也是网络访问控制的基本安全手段。2 .访问列表类型访问列表可分为标准IP访问列表和扩展IP访问

3、列表。标准访问列表：其只检查数据包的源地址，从而允许或拒绝基于网络、子网或主机的IP地址的所有通信流量通过路由器的出口。扩展IP访问列表：它不仅检查数据包的源地址，还要检查数据包的目的地址、特定协议类型、源端口号、目的端口号等。3 . ACL的相关特性每一个接口可以在进入（inbound）和离开（outbound）两个方向上分别应用一个 ACL ,且每 个方向上只能应用一个 ACL。ACL语句包括两个动作，一个是拒绝（deny）即拒绝数据包通过，过滤掉数据包，一个是允许（permit）即允许数据包通过，不过滤数据包。在路由选择进行以前，应用在接口进入方向的ACL起作用。在路由选择决定以后，应用

4、在接口离开方向的ACL起作用。每个ACL的结尾有一个隐含的 拒绝的所有数据包（deny all）的语句。4 . ACL转发的过程1P包SOE0路由器5 . IP地址与通配符掩码的作用规32位的IP地址与32位的通配符掩码逐位进行比较，通配符掩码为 0的位要求IP地址的对应位必须匹配，通配符掩码为1的位所对应的IP地址位不必匹配。圆谢悔妈掩码的二进制形式描述0.0.0 0OOOCOOOO. OCOOOOOO. OOOOOOCO. 00000000整个IP地址必须匹配00D00D00, D000000D. 0X00000.11111111只有前24僮需要匹配0.0,255,25500000000.

5、0000000011111111 11111111只有前16位需要匹配口祝物祝00000000.11111111.1111111111111111只有前8位需要匹配255 251255355iiiiiiiniiiiiiiiiiiiiiniiiiiii全部不需要匹配0.0.15255OOOCOOOO.00000000.0000111 LI 1111111只有前2D值需要匹配0.03,25500000000.00000000.00X0011.11111111只有前22位需要匹配通配符掩码掩码的两种特殊形式：一个是host表示一种精确匹配，是通配符掩码掩码0.0.0.0的简写形式；一个是any表示全

6、部不进行匹配，是通配符掩码掩码 255.255.255.255的简写形式。6 .访问列表配置步骤第一步是配置访问列表语句；第二步是把配置好的访问列表应用到某个端口上。7 .访问列表注意事项注意访问列表中语句的次序，尽量把作用范围小的语句放在前面。新的表项只能被添加到访问表的末尾，这意味着不可能改变已有访问表的功能。如果必须要 改变，只有先删除已存在的访问列表，然后创建一个新访问列表、然后将新访问列表用到相应的 接口上。标准的IP访问列表只匹配源地址，一般都使用扩展的IP访问列表以达到精确的要求。标准的访问列表尽量靠近目的，由于标准访问表只使用源地址，因此将其靠近源会阻止报文 流向其他端口。扩展

7、的访问列表尽量靠近过滤源的位置上，以免访问列表影响其他接口上的数据 流。在应用访问列表时，要特别注意过滤的方向。8 .标准IP访问列表的配置命令access-list: (access-list-number) (deny|permit) (source-address)(source-wildcard) logaccess-list-number：标准访问列表编号只能是199之间的一个数字，同时只要访问列表编号在199之间，它即可以定义访问控制列表操作的协议，也可以定义访问控制列表的类型；deny|permit: deny表示匹配的数据包将被过滤；permit表示允许匹配的数据包通过；sou

8、rce-address：表示单台或一个网段内的主机的IP地址；source-wildcard ：通配符掩码；Log：访问列表日志，如果该关键字用于访问列表中，则对匹配访问列表中条件的报文作日o9 .标准IP访问列表的配置命令续(1)应用访问列表到接口ip access-group access-list-number in|outIn：通过接口进入路由器的报文；Out:通过接口离开路由器的报文。(2)显示所有协议的访问列表配置细节show access-list access-list-number(3)显示IP访问列表show ip access-list access-list-numbe

9、r四.实训内容1 .设置简单路由，使 Router4能够访问Router2 ;2 .在Router2上配置标准 ACL ,使Router4不能够访问 Router2。五.实训步骤(标号的点需要改吗？字体与前面不同，不是宋体)1 .设置路由器 Router1的Ethernet 0和Serial 0两个接口的IP属性，并予以激活。Ethernet 0 : 24.17.2.1 255.255.255.240Serial 0 : 24.17.2.17 255.255.255.240命令如下：Router>Router#Router#config tRouter(config)#hostname

10、Router1Router1(config)#Router1(config)#interface ethernet0Router1(config-if)#ip address 24.17.2.1 255.255.255.240Router1(config-if)#no shutdownRouter1(config-if)#exitRouter1(config)#interface serial。Router1(config-if)#ip address 24.17.2.17 255.255.255.240Router1(config-if)#no shutdownRouter1(config-

11、if)#exitRouter1(config)#exit2 .设置路由器 Router2的Ethernet 0接口的IP属性，并予以激活。Ethernet 0 : 24.17.2.2 255.255.255.240命令如下：Router>Router>enableRouter#Router#config tRouter(config)#hostname Router2Router2(config)#Router2(config)#interface ethernet0Router2(config-if)#ip address 24.17.2.2 255.255.255.240Rou

12、ter2(config-if)#no shutdownRouter2(config-if)#exitRouter1(config)#exit3 .在Router2上使用Ping命令查看和路由器 Router1中Ethernet 0接口的连通性。 Router2#ping 24.17.2.14 .设置路由器Router4的Serial 0接口的IP属性，并予以激活。Serial 0 : 24.17.2.18 255.255.255.240然后使用Ping命令查看和路由器Router1中Serial 0接口的连通性。Router>Router>enableRouter#Router#c

13、onfig tRouter(config)#hostname Router4Router4(config)#Router4(config)#interface serial0Router4(config-if)#ip address 24.17.2.18 255.255.255.240Router4(config-if)#no shutdownRouter4(config-if)#exitRouter4(config)#exitRouter4#ping 24.17.2.175 .在路由器1上启用RIP动态路由协议，再使用 network命令配置需要进行通告的网络号。Router1#config

14、 tRouter1(config)#router ripRouter1(config-router)#network 24.0.0.0Router1(config-router)#exitRouter1(config)#exit6 .在路由器2上启用RIP动态路由协议，再使用network命令配置需要进行通告的网络号。Router2#conf tRouter2(config)#router ripRouter2(config-router)#network 24.0.0.0Router2(config-router)#exitRouter2(config)#exit7 .最后在路由器4上启用R

15、IP动态路由协议，再使用network命令配置需要进行通告的网络号。Router4#conf tRouter4(config)#router ripRouter4(config-router)#network 24.0.0.0Router4(config-router)#exitRouter4(config)#exit8 .上述通道建立之后，我们从Router4上ping路由器 Router2的Ethernet 0接口。Router4#ping 24.17.2.29 .为了能使路由器4和路由器2之间能够相互Ping通，下面我们进入路由器 2的全局配置模式。Router2#conf tRouter2(config)#10 .下面我们可以使用三种方式在路由器2上创建一条访问控制列表，如果拒绝，选择、语句中任意一条，则允许所有从24.17.2.18发来的数据包通过。 Router2(config)#access-list 1 deny host 24.17.2.18OR Router2(config)#access-list 1 deny 24.17.2.18 0.0.0.0OR Router2(config)#access-list 1 deny 24.17.2.18THEN -Router2(config)#access-list 1 permit any11 .使用下列命