思科資料-ACL的基礎配置-詳細總結

一、ACL技術

1、定義

訪問控制列表訪問控制列表使用包過濾技術，在路由器上讀取第三層及第四層包頭中的信息如源地址，目的地址，源端口，目的端口等，根據預先定 義好的規則對包進行過濾，從而達到訪問控制的目的。

1.1訪問控制列表的原理：

入：已經到達路由器接口的數據包，但是還沒有被路由器處理。

出：已經 經過路由器的處理，正要離開路由器接口的數據包

1.2匹配順序：

“自上而下，依次匹配”。默認為拒絕

1.3訪問控制列表的類型：

  • 標準訪問控制列表：一般應用在out出站接口。建議配置在離目標端最近的路由上
  • 擴展訪問控制列表：配置在離源端最近的路由上，一般應用在入站in方向
  • 命名訪問控制列表：允許在標準和擴展訪問列表中使用名稱代替表號

1.4訪問控制列表使用原則：

  • 1）、最小特權原則

只給受控對象完成任務所必須的最小的權限。也就是說被控制的總規則是各個規則的交集，只滿足部分條件的是不容許通過規則的。

  • 2）、默認丟棄原則

在CISCO路由交換設備中默認最后一句為ACL中加入了DENY ANY ANY,也就是丟棄所有不符合條件的數據包。這一點要特別注意，雖然我們可以修改這個默認，但未改前一定要引起重視。

  • 3）、最靠近受控對象原則

所有的網絡層訪問權限控制。也就是說在檢查規則時是采用自上而下在ACL中一條條檢測的，只要發現符合條件了就立刻轉發，而不繼續檢測下面的ACL語句。

  • 4）、IP 訪問控制列表是一個連續的列表，至少由一個“permit（允許）”語句和一個或多個“deny（拒絕）”語句組成。
  • 5）、IP 訪問控制列表用名字（name）或表號（number）標識和引用；
  • 6）、數據包只有在跟第一個判斷條件不匹配時，才能被交給 ACL 中下一個條件語句進行比較；

二、 ACL的配置

1、思科的ACL分類

1）標準的acl : 范圍號 1-99，標準acl應用在out出站接口。建議配置在離目標端最近的路由上2) 擴展的acl : 范圍號100-199,為提高網絡性能，建議將擴展acl配置在離源端最近的路由上，一般應用在入站in方向3) 命名的acl :{標準的命名acl}:{擴展的命名acl}

Router(config)#access-list ?<1-99>     IP standard access list  標準ACL<100-199>  IP extended access list  擴展ACL

2、ACL配置

  • 配置 IP 訪問控制列表使用“access-list”或“ip access-lint”命令，定義一個訪問控制列表；
  • access-list 命令要求只能使用表號標識列表，而 ip access-list 命令可以使用表號或者名字標識列表；
  • 在通配符掩碼位中，0 表示“檢查數據包的 IP 地址相對應的比特位”，1 表示“不檢查（忽略）數據包中的

3、配置標準ACL

標準acl的表號范圍是1-99，因此在配置標準acl時，表號的范圍不能超出1-99.

為提高網絡性能，將標準acl應用在out出站接口。建議配置在離目標端最近的路由上

3.1 accees-list

access-list access-list-number（1-99） [permit | deny ] [sourceaddress][wildcard-mask]
wildcard-mask:網絡掩碼的反碼，例：255.255.0.0的反碼是0.0.255.255

Router(config)# access-list 1 deny  192.168.10.1 0.0.0.0 #表示拒絕某個IP
Router(config)# access-list 10 permit 192.168.22.0 0.0.0.255 #表示允許22.0網段
Router(config)# access-list 10 deny host 192.168.1.1 #表示拒絕主機通過

3.2 ip access-list standard

ip access-list 配置默認以10開始，步長為10，需要注意acl語句的執行順序

ip access-list 有extended(擴展）和standard（標準）可選

ip access-list standard 表名/表號
(num) permit | deny 協議+源地址+源反碼
Router(config)#ip access-list  ?extended  Extended Access List  #擴展standard  Standard Access List  #標準
#配置案例如下
Router(config)#ip access-list standard acl1
Router(config-std-nacl)#permit host 192.168.1.2
Router(config-std-nacl)#permit host 192.168.1.1
Router(config-std-nacl)#deny 192.168.1.0 0.0.0.255
Router(config-std-nacl)#exit
Router(config)#int g0/0/0
Router(config-if)#ip access-group acl1 in
Router(config-std-nacl)#end
Router#show access-lists #檢查配置
Standard IP access list acl110 permit host 192.168.1.2 (4 match(es))20 permit host 192.168.1.130 deny 192.168.1.0 0.0.0.255 (3 match(es))
# 注意執行順序
可以使用在語句最前面增加一個數字來配置語句的順序
Router(config)#ip access-list standard acl2
Router(config-std-nacl)# 1 permit host 192.168.1.1
Router(config-std-nacl)# 2 permit host 192.168.1.2  
Router(config-std-nacl)# 7 deny any#拒絕所有主機
Router(config-std-nacl)# end
Router#show access-lists 
Standard IP access list acl21 permit host 192.168.1.12 permit host 192.168.1.27 deny any
應用標準ACL至接口
Router(config-if)#ip access-group 10 in|out
Router(config-if)#ip access-group acl1 in|out
#in為入口，out為出口，在通信過后源ip與目的ip會發生翻轉，因此少數情況下需要注意in|out的配置，可以將一個acl表同時配置在出口與入口

4、配置擴展ACL

擴展acl的表號范圍是100-199

為提高網絡性能，建議將擴展acl配置在離源端最近的路由上，一般應用在入站in方向

4.1 access-list

access-list {100-199} {permit/deny} protocol source-ip source-wildcard [operator port] destination-ip destination-wildcard [operator port] [established] [log]access-list 表號{permit | deny}協議+源地址+源反碼+目的地址+目的反碼+操作+端口號
其中，operator（操作）有 lt（小于）、gt（大于）、eq（等于）、neq（不等于）幾種；port指的是端口號。

4.2配置案例

Router(config)#access-list 100 deny icmp any any 
#any any 第一個any表示的是源的所有主機，第二個any表示的是目的的所有主機

Router(config)#access-list 100 deny udp any any eq 134
#any any表示源與目的的所有主機

Router(config)#access-list 100 deny ip 172.16.0.0 0.0.255.255 192.168.1.0 0.0.0.255

4.3 ip access-list extended

extended表示此acl表為拓展acl表

ip access-list 配置默認以10開始，步長為10，需要注意acl語句的執行順序。

ip access-list extended 表名/表號
(num) permit | deny 協議+源地址+源反碼+目的地址+目的反碼+操作+端口號

Router(config)#ip access-list extended acl1
Router(config-ext-nacl)#deny tcp any any
Router(config-ext-nacl)#permit ip any any
Router(config-ext-nacl)#do show access-list
Extended IP access list acl110 deny tcp any any20 permit ip any any

Router(config)#ip access-list extended acl1
Router(config-ext-nacl)#deny tcp any any eq 8080

可以使用在語句最前面增加一個數字來配置語句的順序

Router(config)#ip access-list extended test
Router(config-ext-nacl)#2 permit ip host 192.168.1.1 host 192.168.1.2
Router(config-ext-nacl)#3 permit ip host 192.168.13.13 host 192.168.13.2
Router(config-ext-nacl)#1 permit ip host 192.168.8.9 host 192.168.13.2
Router(config-ext-nacl)#do show access-list
Extended IP access list test1 permit ip host 192.168.8.9 host 192.168.13.22 permit ip host 192.168.1.1 host 192.168.1.23 permit ip host 192.168.13.13 host 192.168.13.2

應用擴展acl至接口

Router(config-if)#ip access-group 100 in|out
Router(config-if)#ip access-group acl1 in|out
#in為入口，out為出口，在通信過后源ip與目的ip會發生翻轉，因此少數情況下需要注意in|out的配置，可以將一個acl表同時配置在出口與入口

5、刪除ACL

R1(config)#no ip access-list standard acl1
R1(config)#no ip access-list standard acl1

二、標準ACL配置案例

案例1-標準ACL的配置-access-list

網絡拓撲

在這里插入圖片描述

需求
PC0可以ping訪問服務器PC1不可以ping訪問服務器
配置
接口配置

Router>enable
Router#configure terminal 
Router(config)#hostname R1
R1(config)#int g0/0
R1(config-if)#ip address 192.168.10.254 255.255.255.0
R1(config-if)#no shutdownR1(config-if)#int g0/1
R1(config-if)#ip address 192.168.20.254 255.255.255.0
R1(config-if)#no shutdown
R1(config-if)# int g0/2
R1(config-if)#ip address 192.168.100.254 255.255.255.0
R1(config-if)#no shutdown
標準ACL的配置，配置允許，其他的默認是拒絕所有

R1(config)#access-list 10 permit 192.168.10.0 0.0.0.255
# 調用ACL，在g0/2的出接口上調用
R1(config-if)#ip access-group 10 out
抓包，pc1的數據包到g0/2口被攔截

在這里插入圖片描述

案例2-標準ACL的配置-ip access-list

網絡拓撲

在這里插入圖片描述

需求
PC0可以ping訪問服務器PC1不可以ping訪問服務器
配置
接口配置

Router>enable
Router#configure terminal 
Router(config)#hostname R1
R1(config)#int g0/0
R1(config-if)#ip address 192.168.10.254 255.255.255.0
R1(config-if)#no shutdownR1(config-if)#int g0/1
R1(config-if)#ip address 192.168.20.254 255.255.255.0
R1(config-if)#no shutdown
R1(config-if)# int g0/2
R1(config-if)#ip address 192.168.100.254 255.255.255.0
R1(config-if)#no shutdown
標準ACL的配置，配置允許，其他的默認是拒絕所有

R1(config)#ip access-list standard 10
R1(config-std-nacl)#permit host 192.168.10.1
# 調用ACL，在g0/2的出接口上調用
R1(config-if)#ip access-group 10 out
抓包，pc1的數據包到g0/2口被攔截

在這里插入圖片描述

案例3-標準ACL的配置

** 網絡拓撲**

在這里插入圖片描述

需求：
pc6不能訪問服務器1 ，其他pc都可以訪問服務器1
配置
- **R1配置**

R1(config)# interface g0/0
R1(config)# ip address 192.168.10.254 255.255.255.0
R1(config)# no shutdown
R1(config)# interface g0/1
R1(config)# ip address 192.168.20.254 255.255.255.0
R1(config)# no shutdown
R1(config)# access-list 10 deny host 192.168.10.1
R1(config)# access-list 10 permit 192.168.10.0 0.0.0.255
R1(config)# interface g0/0
R1(config)# ip access-group 10 in
查詢命令： 
R1#show ip access-lists

三、 擴展ACL配置案例

案例1-擴展ACL配置

#### 網絡拓撲

在這里插入圖片描述

#### 需求允許pc1訪問服務器2的www服務，但拒絕pc1訪問服務器的其他服務允許pc2可以訪問服務器的所有服務，沒有限制#### 配置- R1的配置

Router>enable 
Router#configure terminal 
Router(config)#hostname R1
R1(config)#int g0/0
R1(config-if)#ip address 192.168.10.254 255.255.255.0
R1(config-if)#no shutdown
R1(config-if)#int g0/1
R1(config-if)#ip address 192.168.12.1 255.255.255.0
R1(config-if)#no shutdown
#靜態路由配置
R1(config)#ip route 192.168.23.0 255.255.255.0 192.168.12.2
R1(config)#ip route 192.168.100.0 255.255.255.0 192.168.12.2
  - R2的配置

Router>enable 
Router#configure terminal 
Router(config)#hostname R2
R2(config)#int g0/0
R2(config-if)#ip address 192.168.12.2 255.255.255.0
R2(config-if)#no shutdown
R2(config-if)#int g0/1
R2(config-if)#ip address 192.168.23.2 255.255.255.0
R2(config-if)#no shutdown
#配置靜態路由
R2(config)#ip route 192.168.10.0 255.255.255.0 192.168.12.1
R2(config)#ip route 192.168.100.0 255.255.255.0 192.168.23.3
  - R3的配置

Router>enable
Router#configure terminal 
Router(config)#int g0/0
Router(config-if)#ip address 192.168.23.3 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#int g0/1
Router(config-if)#ip address 192.168.100.254 255.255.255.0
Router(config-if)#no shutdown
#配置靜態路由
Router(config)#ip route 192.168.0.0 255.255.0.0 192.168.23.2
  - 擴展ACL的配置，距離源目標較近的設備

R1(config)#access-list 100 permit tcp host 192.168.10.1 host 192.168.100.100 eq 80
R1(config)#access-list 100 deny ip host 192.168.10.1 host 192.168.100.100
R1(config)#access-list 100 permit ip 192.168.10.0 0.0.0.255 host 192.168.100.100
R1(config)#int g0/0
R1(config-if)#ip access-group 100 in

#### 驗證-http服務

在這里插入圖片描述

#### 驗證ping，不通

在這里插入圖片描述

案例2-擴展ACL配置

### 1、網絡拓撲

在這里插入圖片描述

### 2、需求--允許pc9訪問服務器2的www服務，但拒絕pc9訪問服務器2的其他服務--pc10和pc11可以訪問服務器2的所有服務，沒有限制###   3、配置- **R1配置**

R1(config)#interface g0/0
R1(config-if)#ip address 192.168.10.254 255.255.255.0
R1(config-if)#no shutdown
R1(config-if)#exit
R1(config)#interface g0/1
R1(config-if)#ip address 192.168.20.10 255.255.255.0
R1(config-if)#no shutdown
R1(config-if)#exit
R1(config)#router rip
R1(config-router)#no auto-summary
R1(config-router)#version 2
R1(config-router)#network 192.168.10.0
R1(config-router)#network 192.168.20.0
R1(config-router)#exit
- **R2配置**

R2(config)#interface g0/0
R2(config-if)#ip address 192.168.20.20 255.255.255.0
R2(config-if)#no shutdown
R2(config-if)#exit
R2(config)#interface g0/1
R2(config-if)#ip address 192.168.30.20 255.255.255.0
R2(config-if)#exit
R2(config)#router rip
R2(config-router)#version 2
R2(config-router)#no auto-summary
R2(config-router)#network 192.168.20.0
R2(config-router)#network 192.168.30.0

- **R3配置**

R3(config)# interface g0/1
R3(config-if)#ip address 192.168.30.10 255.255.255.0
R3(config-if)#no shutdown
R3(config-if)#exit
R3(config)#interface g0/0
R3(config-if)#ip address 192.168.40.254 255.255.255.0
R3(config-if)#no shutdown
R3(config-if)#exit
R3(config)#router rip
R3(config-router)#version 2
R3(config-router)#no auto-summary
R3(config-router)#network 192.168.30.0
R3(config-router)#network 192.168.40.0

- **擴展ACL的配置**

R1(config)#access-list 100 permit tcp host 192.168.10.1 host 192.168.40.10 eq 80R1(config)#access-list 100 deny ip host 192.168.10.1 host 192.168.40.10R1(config)#access-list 100 permit ip 192.168.10.0 0.0.0.255 host 192.168.40.10R1(config)#interface g0/0
R1(config-if)#ip access-group 100 in

本文來自互聯網用戶投稿，該文觀點僅代表作者本人，不代表本站立場。本站僅提供信息存儲空間服務，不擁有所有權，不承擔相關法律責任。
如若轉載，請注明出處：http://www.pswp.cn/web/83702.shtml
繁體地址，請注明出處：http://hk.pswp.cn/web/83702.shtml
英文地址，請注明出處：http://en.pswp.cn/web/83702.shtml

如若內容造成侵權/違法違規/事實不符，請聯系多彩編程網進行投訴反饋email:809451989@qq.com，一經查實，立即刪除！

相關文章

GitHub 上 PAT 和 SSH 的 7 個主要區別：您應該選擇哪一個？

GitHub 上 PAT 和 SSH 的 7 個主要區別：您應該選擇哪一個？

在代碼倉庫和像 Github 這樣的版本控制系統中，有時您需要安全高效地訪問您的倉庫。隨著對更安全實踐的需求日益增長，開發人員一直在尋找最高效、最安全的方式來與 Github 交互。為了解決這個問題，我們將探討兩種常用的方法：個人訪問令牌 (PAT) 和安全 Shell (SSH) 密鑰。本…
閱讀更多...
Vue 事件修飾符詳解

Vue 事件修飾符詳解

Vue 事件修飾符詳解 事件修飾符是 Vue 中處理 DOM 事件細節的強大工具。下面我將通過一個交互式示例全面解析各種事件修飾符的用法和原理。 <!DOCTYPE html> <html lang"zh-CN"> <head><meta charset"UTF-8"><meta name"…
閱讀更多...
初探Qt信號與槽機制

初探Qt信號與槽機制

3.3 按鍵響應 - 初識信號與槽 3.3.1 信號與槽基本介紹 提出疑問&#xff0c;界面上已經有按鍵了&#xff0c;怎么操作才能讓用戶按下按鍵后有操作上的反應呢&#xff1f; 在 Qt 中&#xff0c; 信號和槽機制 是一種非常強大的事件通信機制。這是一個重要的概念&#xff0…
閱讀更多...
Android音視頻流媒體基礎總結

Android音視頻流媒體基礎總結

流媒體開發中&#xff0c;流媒體系統的實現從數據采集、編碼封裝、傳輸分發、接收解碼播放都有哪些技術和實現&#xff0c;流媒體和本地音視頻又有哪些差異&#xff1f; 影像系統開發&#xff0c;流媒體方向和普通的多媒體影像系統開發有一定差異。 相同點在于圖像多媒體處理…
閱讀更多...
疫菌QBD案例

疫菌QBD案例

本文是《A-VAX: Applying Quality by Design to Vaccines》第七個研究的R語言解決方案。 使用帶兩個中心點的二水平析因設計。運行10次實驗。結果是分辨度為III的設計。 A <- c(25,25,15,15,15,25,25,20,15,20) B <- c(12,8,8,12,8,12,8,10,12,10) C <- c(35,15,15…
閱讀更多...
Linux部署elasticsearch 單機版

Linux部署elasticsearch 單機版

Linux部署elasticsearch 1、下載安裝包 Elasticsearch 7.8.0 | Elastic 2、安裝步驟 2.1、上傳安裝包到服務器opt目錄 2.2、解壓 #目錄創建/opt/module cd /opt mkdir module tar -zxvf elasticsearch-7.8.0-linux-x86_64.tar.gz -C /opt/module mv elasticsearch-7.8.0 …
閱讀更多...
IDEA高效快捷鍵指南

IDEA高效快捷鍵指南

1. 編輯類快捷鍵 編輯快捷鍵是最常用的一類&#xff0c;可以幫助我們快速操作代碼&#xff1a; 快捷鍵 功能描述 Mac Windows 熱度 psvm Tab 生成 main 方法 psvm Tab psvm Tab ????? sout Tab 生成 System.out.println() 輸出語句 sout Tab sout Tab…
閱讀更多...
【論文寫作參考文獻地址】

【論文寫作參考文獻地址】

參考文獻地址 論文的各種參考文獻地址國家哲學社會科學文獻中心國家科技圖書文獻中心 論文的各種參考文獻地址 國家哲學社會科學文獻中心 資源免費!!! 整體配色就是紅色&#xff0c;主頁輪播有些實時新聞。 博主個人感受&#xff0c;對于計算機類的收錄不是特別的充足 國家科…
閱讀更多...
華為OD機考-貨幣單位換算-字符串（JAVA 2025B卷）

華為OD機考-貨幣單位換算-字符串（JAVA 2025B卷）

純暴力解法 import java.util.*; public class ExchangeMoney {public static void main(String[] args) {Scanner scanner new Scanner(System.in);while(scanner.hasNextLine()){int count Integer.parseInt(scanner.nextLine());List<String> strings new ArrayLi…
閱讀更多...
系統學習·PHP語言

系統學習·PHP語言

由于之前沒系統的學習PHP語言&#xff0c;都是在做題時遇到不會的才去查&#xff0c;后來發現這樣的效率非常低&#xff0c;審代碼別人一眼掃出漏洞&#xff0c;而我還需要去查一下這行代碼的意思&#xff0c;那個函數的作用&#xff0c;查當然要查&#xff0c;但連簡單的語法都…
閱讀更多...
leetcode2-兩數相加

leetcode2-兩數相加

leetcode 2 思路 鏈表特性利用&#xff1a;由于數字按逆序存儲&#xff0c;個位在鏈表頭部&#xff0c;因此可以直接從前往后遍歷鏈表進行逐位相加 比如題目中的 2->4->3 和 5->6->4 其實可以直接按位從第一位開始往后相加&#xff0c;就得到啦708 這樣比把數字…
閱讀更多...
Java的Arrays.sort()：排序算法與優化分析

Java的Arrays.sort()：排序算法與優化分析

文章目錄 前言一、基本類型數組&#xff1a;雙軸快速排序關鍵優化策略 二、對象數組&#xff1a;TimSort關鍵優化策略 三、性能對比總結總結 前言 在Java中&#xff0c;Arrays.sort()是開發者最常用的排序方法之一。但你是否思考過它的底層實現&#xff1f;本文將基于OpenJDK …
閱讀更多...
軟件測試質量的“防”與“治”

軟件測試質量的“防”與“治”

引言： 想象一下，你正在建造一座摩天大樓。你是愿意在打地基時就嚴格檢查材料規格和設計圖紙（主動防患），還是等到大樓封頂后才開始拿著錘子敲敲打打找裂縫（被動補救）？軟件世界亦是如此！今天，我們就來聊聊軟件測試這個“質量守護神”的兩大戰略思維和三大實戰招式，讓你…
閱讀更多...
TDengine 如何從 2.x 遷移到 3.0

TDengine 如何從 2.x 遷移到 3.0

本節講述如何通過 Explorer 界面創建數據遷移任務&#xff0c;從舊版 TDengine2 遷移數據到 TDengine 3.0 集群。 功能概述 taosX 通過 SQL 查詢源集群數據&#xff0c;并把查詢結果寫入到目標數據庫。具體實現上&#xff0c;taosX 以一個子表的一個時間段的數據作為查詢的基…
閱讀更多...
免下載蘋果 IPA 文件重簽名工具：快速更換應用名稱和 BID的教程

免下載蘋果 IPA 文件重簽名工具：快速更換應用名稱和 BID的教程

在iOS設備的使用和開發過程中&#xff0c;我們有時需要對IPA文件進行重簽名&#xff0c;以便更換應用名稱、Bundle ID&#xff08;軟件包標識符&#xff09;或其他相關信息。這一過程通常需要使用到特定的工具&#xff0c;然而&#xff0c;市面上的一些工具可能需要下載和安裝&…
閱讀更多...
Python全棧開發：前后端分離項目架構詳解

Python全棧開發：前后端分離項目架構詳解

文章目錄 技術棧選擇后端技術棧前端技術棧 項目整體結構詳細目錄結構說明后端架構&#xff08;backend/&#xff09;1. 應用核心&#xff08;app/&#xff09;2. 數據層&#xff08;models/&#xff09;3. API模式層&#xff08;schemas/&#xff09;4. API路由層&#xff08;a…
閱讀更多...
微信小程序使用圖片實現紅包雨功能

微信小程序使用圖片實現紅包雨功能

微信小程序紅包雨功能實現&#xff1a;從組件封裝到頁面調用的完整實踐 先看示例截圖&#xff1a; 一、背景與技術選型 在微信小程序營銷活動中&#xff0c;紅包雨是一種極具吸引力的互動形式。實現紅包雨效果主要有 Canvas 和圖片兩種方案&#xff1a; &#xff08;1&…
閱讀更多...
Python day31

Python day31

浙大疏錦行 數據拆分的基本框架&#xff0c;拆分后讓項目結構更加清晰
閱讀更多...
Chapter10-XXE

Chapter10-XXE

文章目錄 1.XXE介紹1.1 XXE產生的原因1.1.1 什么是XML&#xff1f;1.1.2 什么是XML實體1.1.3 什么是文檔類型定義&#xff08;document type definition&#xff09;1.1.4 什么是XML自定義實體1.1.5 什么是XML外部實體 2.XXE攻擊類型2.1 利用XXE檢索文件2.2 利用XXE執行SSRF攻擊…
閱讀更多...
Ribbon負載均衡實戰指南：7種策略選擇與生產避坑

Ribbon負載均衡實戰指南：7種策略選擇與生產避坑

引言&#xff1a;客戶端負載均衡的不可替代性 當面試官問你&#xff1a;“Ribbon 和 Nginx 有什么區別&#xff1f;”——Ribbon 是進程內 LB 這一句話值 20K 月薪。 作為微服務調用的核心樞紐&#xff0c;Ribbon 通過 ??本地服務清單動態分發請求??&#xff0c;避免中心化…
閱讀更多...
最新文章

Copyright @ 2022~2023