访问控制列表

【交换机】做ACL访问控制,要求只有PC1/PC2可以远程访问Sw1. 【路由器】在R1上做ACL访问限制:所有用户都可以ping通Server， 除PC1和PC4以外 ACL：access list 访问控制表 访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持了。 1. 【交换机】做ACL访问控制,要求只有PC1/PC2可以远程访问Sw1. 访问控制列表ACL分很多种，不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用访问控制列表号1到99来创建相应的ACL。 对路由器接口来说有两个方向 出：已经经路由器的处理，正离开路由器接口的数据包 入：已经到达路由器接口的数据包，将被路由器处理。 ACL默认为拒绝 SW1(config)#access-list 1 permit host 192.168.1.1 SW1(config)#access-list 1 permit host 192.168.2.1 SW1(config)#line vty 0 4 SW1(config-line)

文件修改后会立即生效，系统将会先检查允许控制列表文件（ （/etc/hosts.allow），如果匹配到相应的允许策略则放行流量； 如果没有匹配，则去进一步匹配拒绝控制列表文件（ （/etc/hosts.deny），若找到匹配项则拒绝该流量。如果这两个文件全都没有匹配到，则默认放行流量。 例： 禁止访问本机sshd服务 vim /etc/hosts.deny sshd:* 允许网段访问 vim /etc/hosts.allow sshd:192.168.0. 来源： CSDN 作者： wolfforblood 链接： https://blog.csdn.net/u011999671/article/details/90812263

访问控制列表 控制主机访问个数 读取第三层、第四层包头信息 根据预先定义好的规则对包进行过滤 如果匹配第一条规则，则不再往下检查，路由器将决定该数据包允许通过或拒绝通过。 如果不匹配第一条规则，则依次往下检查，直到有任何一条规则匹配。 如果最后没有任何一条规则匹配，则路由器根据默认的规则将丢弃该数据包。 访问控制列表的类型： 标准访问控制列表 基于源IP地址过滤数据包 列表号是1～99 扩展访问控制列表 基于源IP地址、目的IP地址、指定协议、端口等来过滤数据包 列表号是100～199 命名访问控制列表 命名访问控制列表允许在标准和扩展访问控制列表中使用名称代替表号 标准化访问控制列表 全局：access-list 列表号 deny 192.168.1.1 0.0.0.0 反子网掩码 针对一个主机 全局：access-list 列表号 permit 192.168.1.0 0.0.0.255 反子网掩码 针对一个网段 255.255.255.255 减 对应网络子网掩码 通配符掩码：也叫做反码。用二进制数0和1表示，如果某位为1，表明这一位不需要进行匹配操作，如果为0表明需要严格匹配。 例：192.168.1.0/24子网掩码是255.255.255.0,其反码可以通过255.255.255.255减去255.255.255.0得到0.0.0.255 隐含拒绝语句：access

ACL（访问控制列表）是应用在路由器接口的指令列表。这些指令列表用来告诉路由器，那些数据包可以接收，那些数据包需要拒绝。 基本原理为：ACL使用包过滤技术，在路由器上读取OSI七层模型的第三层及第四层包头中的信息，如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则，对包进行过滤，从而达到访问控制的目的。 ACL通过在路由器接口处控制数据包是转发还是丢弃来过滤通信流量。 路由器根据ACL中指定的条件来检测通过路由器的数据包，从而决定是转发还是丢弃数据包。 ACL有三种类型： 1、标准ACL：根据数据包的源IP地址来允许或拒绝数据包。标准ACL的访问控制列表号是1~99。 2、扩展ACL：根据数据包的源IP地址、目的IP地址、指定协议、端口和标志来允许或拒绝数据包。扩展ACL的访问控制列表号是100~199. 3、命名ACL允许在标准ACL和扩展ACL中使用名称代替表号。 ACL依靠规则对数据包执行检查，而这些规则通过检查数据包中的指定字段来允许或拒绝数据包。ACL通过五个元素来执行检查，这些元素位于IP头部和传输层头部中。他们分别是源IP地址、目标IP地址、协议、源端口及目标端口。 如果对接口应用了ACL，也就是说该接口应用了一组规则，那么路由器将对数据包应用该组规则进行检查 1、如果匹配了第一条规则，则不再往下检查，路由器将决定该数据包允许通过或拒绝通过。 2

登 录到路由器 telnet 192.168.1.1 输入用户名，密码 acl number 3000 （如果不存在，创建 访问 列表；存在则添加一条限制） 允许192.168.1.99 上网 ： rule 10 permit ip source 192.168.1.99 0 destination 0.0.0.0 0.0.0.0 说明：192.168.1.99 0 表示允许192.168.1.99这台主机，0表示本机。 rule 规则编号 ip source 主机 反子网掩码 destination 目的IP 反子网掩码 如果要允许多个连续IP上网： rule 11 permit ip source 192.168.1.16 0.0.0.15 destination 0.0.0.0 0.0.0.0 表示允许192.168.1.16/28 即:192.168.1.17-192.168.1.30可以上网 同样，可以限制某IP只能访问某一个网站： 例如，允许192.168.1.98这台主机只能访问www.baidu.com rule 13 permit ip source 192.168.1.98 0 destination 121.14.89.14 0 某个网站的IP:可以打开命令提示符,ping www.baidu.com (以百度为例), ***本人注释： 要打开cmd，用

访问控制列表（ACL）是应用在路由器接口的指令列表（即规则），这些规则表用来告诉路由器，哪些数据包可以接收，哪些包需要拒绝。其基本原理如下：ACL使用包过滤技术，在路由器上读取OSI七层模型的第三层和第四层包头中的信息，如源地址、目的地址、源端口、目的端口等，根据预先定义的规则，对包进行过滤，从而达到访问控制的目的。 ACL可以分为以下两种基本类型： 标准ACL：检查数据包的源地址，来决定是允许还是拒绝转发数据包，使用1-99之间的数字作为表号。 扩展ACL：既能对数据包的源地址和目标地址进行检查，也能检查特定的协议、端口号及其它的参数。使用100-199之间的数字作为表号。 ACL是一组规则的集合，应用在路由器的某个接口上，因此对路由器的接口而言，ACL有两个方向： 出：已经经过路由器的处理，离开路由器接口的数据包，检查顺序：先查路由表，再查出ACL。 入：已经到达路由器接口的数据包，将要被路由器处理。检查顺序：先检查入ACL，再查询路由表。 匹配规则： 如果匹配第一条规则，则不再继续往下查，路由器将决定是允许或拒绝数据包通过。 如果不匹配第一条规则，则依次往下检查，直到匹配一条规则，如果没有任何规则匹配，路由器默认会丢弃数据包。 由以上规则可见，数据包要么被拒绝，要么被丢弃。如下图： 示例 1：标准访问控制列表 ROUTE(config)#access-list 1 deny

实现 PC2 可以 ping PC5 但是不能 ping PC2 PC3 可以 ping PC4 但是不能 ping PC5 PC2 IP ： 1.1.1.10 GW:1.1.1.1 PC3 IP ： 1.1.1.20 GW:1.1.1.1 PC4 IP ： 2.2.2.10 GW:2.2.2.2 PC5 IP ： 2.2.2.20 GW:2.2.2.2 Router>en Router#config t Enter configuration commands, one per line. End with CNTL/Z. Router(config)#int f0/0 Router(config-if)#ip add 1.1.1.1 255.0.0.0 Router(config-if)#no sh Enter configuration commands, one per line. End with CNTL/Z. Router(config)#int f0/1 Router(config-if)#ip add 2.2.2.2 255.0.0.0 Router(config-if)#no sh Router(config-if)# %LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up Router

访问控制列表acl主要用于，在一个企业局域网中，对部分部门或员工的访问情况做规则，对通信流量做过滤，而且不只是局域网，如果知道外网网段和端口，也可进行限制。 acl注意事项： 1）一个表中的规则条目不能有冲突的存在 2）acl表建立后默认拒绝所有主机的所有流量 3）因为acl表有优先级的存在所有必须想好拒绝和允许那个先写 4）acl只能用在三层交换或者路由器上 5）acl的应用包括两个步骤：创建acl 在端口应用acl（如有vlan在vlan口应用即可，如没有vlan在物理口应用即可） 6）配置命名acl时，如果acl条目没有指定优先级，则新添加的默认在acl表的最后一个 7）同一acl表可应用于多个端口，前提是不冲突 8）网络设备的网管地址，就是用于远程管理的地址 ACL配置过程： 网络拓扑环境如下，现在想禁止1.1访问2.1的web服务器，但是不影响其他通信。 1.配置2.1的web 2.配置2.2的web 3.路由器上首先建立一个ACL 4.建立相应的规则 5.最后一定要加上允许/禁止所有的条目 6.进入路由器的进口处，使用此ACL 7.测试pc和服务器的通信 8.测试pc分别访问两台web 本文转自 红色的菠萝 51CTO博客，原文链接:http://blog.51cto.com/10460741/1688856 来源： CSDN 作者： weixin_34248705

ACL是应用在路由器接口的指令列表，通过这些指令，来告诉路由器哪些数据包可以接收，哪些数据包需要拒绝，基本原理就是：ACL使用包过滤技术，在路由器上读取OSI七层模型的第三层及第四层包头中的信息，如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则，对包进行过滤，从而达到访问控制的目的。 ACL有三种类型： 标准ACL：根据数据包的源IP地址来允许或拒绝数据包，标准ACL的访问列表控制号是1~99。 扩展ACL：根据数据包的源IP地址、目的IP地址、指定协议、端口和标志来允许或拒绝数据包，扩展ACL的访问控制列表号是100~199。 命名ACL允许在标准ACL和扩展ACL中使用名称代替表号。（个人感觉扩展命名ACL规则更为灵活，若没耐心，可直接看文章最后的扩展命名ACL规则的语法）。 创建标准ACL语法： Router(config)#access-list 1~99 { permit | deny } 源网段地址或网段（若源地址为主机，则在地址前面需要加“host”；若源地址为网段，则要在网段地址后面加反掩码，如/24的反掩码就是0.0.0.255。 例如：Router(config)#access-list 1 permit 192.168.1.0 0.0.0.255 #表示为允许192.168.1.0/24网段地址的流量通过 Router(config)#access

什么是ACL？ 访问控制列表简称为ACL，访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持了。 访问控制列表的原理 对路由器接口来说有两个方向 出：已经经路由器的处理，正离开路由器接口的数据包 入：已经到达路由器接口的数据包，将被路由器处理。 匹配顺序为：“自上而下，依次匹配”。默认为拒绝 访问控制列表的类型 标准访问控制列表：一般应用在out出站接口。建议配置在离目标端最近的路由上 扩展访问控制列表：配置在离源端最近的路由上，一般应用在入站in方向 命名访问控制列表：允许在标准和扩展访问列表中使用名称代替表号 访问控制列表使用原则 1、最小特权原则 只给受控对象完成任务所必须的最小的权限。也就是说被控制的总规则是各个规则的交集，只满足部分条件的是不容许通过规则的。 2、最靠近受控对象原则 所有的网络层访问权限控制。也就是说在检查规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。 3、默认丢弃原则 在CISCO路由交换设备中默认最后一句为ACL中加入了DENY ANY ANY，也就是丢弃所有不符合条件的数据包