路由器ACL应用

ACL的概念

访问控制列表（Access Control List，ACL） 是路由器和交换机接口的指令列表，用来控制端口进出的数据包。ACL适用于所有的被路由协议，如IP、IPX、AppleTalk等。

ACL的作用

ACL可以限制网络流量、提高网络性能。例如，ACL可以根据数据包的协议，指定数据包的优先级。

ACL提供对通信流量的控制手段。例如，ACL可以限定或简化路由更新信息的长度，从而限制通过路由器某一网段的通信流量。

ACL是提供网络安全访问的基本手段。ACL允许主机A访问人力资源网络，而拒绝主机B访问。

ACL可以在路由器端口处决定哪种类型的通信流量被转发或被阻塞。例如，用户可以允许E-mail通信流量被路由，拒绝所有的Telnet通信流量。

ACL分类

1． 标准ACL

标准ACL只能检查源IP地址,所以标准ACL要尽量靠近目的端。

1.2. 配置

(1) Router(config)#ip access-list standard [WORD|<1-99>]

——————command——————

<1-2147483647> Sequence Number

default Set a command to its defaults

exit Exit from access-list configuration mode

no Negate a command or set its defaults

permit Specify packets to forward

remark Access list entry comment

————————————————–

(2) Router(config-std-nacl)#command [IP|any|host] wildcard

(3) 调用

Router(config)#interface fastEthernet 0/0

Router(config-if)#ip access-group test1 in

2． 扩展ACL

扩展ACL能控制源地址，也能控制目的地址，为了减少不必要的网络流量，所以扩展ACL要尽量靠近源端。

2.2. 配置

(1) Router(config)#ip access-list extended [WORD|<100-199>]

——————command————————————

The same as 1.2

——————————————————————–

(2) Router(config-ext-nacl)#command protocol [source|any|host] wildcard destination wildcard option service

——————protocol—————————

ahp Authentication Header Protocol

eigrp Cisco’s EIGRP routing protocol

gre Cisco’s GRE tunneling

icmp Internet Control Message Protocol

ip Any Internet Protocol

ospf OSPF routing protocol

tcp Transmission Control Protocol

udp User Datagram Protocol

——————option—————————–

eq Match only packets on a given port number

established established

gt Match only packets with a greater port number

lt Match only packets with a lower port number

neq Match only packets not on a given port number

rang Match only packets in the range of port numbers

——————service—————————-

<0-65535> Port number

domain Domain Name Service (DNS, 53)

ftp File Transfer Protocol (21)

pop3 Post Office Protocol v3 (110)

smtp Simple Mail Transport Protocol (25)

www World Wide Web (HTTP, 80)

(3) 调用

Router(config)#interface fastEthernet 0/0

Router(config-if)#ip access-group test2 in

示例：

1.

Router(config)#ip access-list standard test1

Router(config-std-nacl)#deny 192.168.1.1 0.0.0.0

Router(config-std-nacl)#deny 192.168.1.2 0.0.0.0

Router(config-std-nacl)#permit any



2.

Router(config)#ip access-list extended test2

Router(config-ext-nacl)#deny tcp 192.168.1.1 0.0.0.0 23.1.1.3 0.0.0.0 eq www