第8章 扩展访问控制列表ACL

访问控制列表（ACL）扩展ACL编辑ppt学习目标通过扩展ACL的学习，掌握ACL的应用编辑ppt扩展访问列表扩展ACL提供了比标准ACL更大范围的控制，扩展ACL可以检查源地址和目标地址，特定的协议，端口号，以及其它的参数。与标准ACL对比：只过滤源地址（如：E0和E1端口只允许来自于网络的数据报被转发，其余的将被阻止。）3E0S0E1Non-编辑ppt扩展ACL配置完全形式的access-list命令为：Router(config)#access-list

access_list_number

{permit|deny}

protocolsource[source_mask

destination

destination_maskoperatoroperand

[established]

Router(config-if)#{protocol}

access-group

access_list_number

{in|out}

编辑pptRouter(config)#access-list表号permit|deny协议源地址通配符掩码目的地址通配符掩码[运算符端口号]其中：协议有TCP、IP等运算符有：eq、lt（小于）、gt（大于）、neq（不等于）端口号有：20或21，表示ftp23，表示telnet25，表示smtp53，表示dns69，表示tftp80，表示www

Ipaccess-group表号{in|out}其中，in表示流入端口，out表示流出端口编辑ppt扩展ACL举例以下图的结构为例，介绍扩展ACL的使用。实例1：在E0端口，禁止转出来自子网的FTP数据流到子网，其它的数据流将被转发。实例2：在E0端口，禁止转出来自子网的Telnet数据流，其它的数据流将被转发。3E0S0E1Non-编辑ppt实例1：禁止转出FTP数据在E0端口，禁止转出来自子网的FTP数据流到子网，其它的数据流将被转发。第一个ACL命令用“deny”禁止来自子网的FTP-DATA（port=20）数据流到子网。第二个ACL命令用“deny”禁止来自子网的FTP（port=21）数据流到子网。第三个ACL命令表示允许任何的数据流。最后将此ACL101关联到端口E0。access-list101denytcp5555eq21access-list101denytcp5555eq20access-list101permitipanyany(implicitdenyall)(access-list101denyip5555)interfaceethernet0ipaccess-group101out编辑ppt实例2：禁止转出Telnet数据在E0端口，禁止转出来自子网的Telnet数据流，其它的数据流将被转发。第一个ACL命令用“deny”禁止来自子网的Telnet(port=23)数据流。第二个ACL命令表示允许任何的数据流。最后将此ACL101关联到端口E0。access-list101denytcp55anyeq23access-list101permitipanyany(implicitdenyall)interfaceethernet0ipaccess-group101out编辑ppt编辑ppt访问控制列表举例

以我系实验室为例

1、屏蔽网站

2、限制服务编辑ppt课外思考1、访问控制列表的