67页按照考纲作结的最完整的CCNA学习笔记

### CCNA学习笔记：管理流量与访问列表 #### 一、引言 访问列表（Access Lists，ACL）是在网络管理中极为重要的一个概念，主要用于控制路由器转发的数据包。本章节详细介绍了ACL的基本原理、分类以及如何配置标准ACL，并提供了一些实际应用场景。 #### 二、访问列表简介 访问列表的主要功能在于过滤不希望在网络中传输的数据包，通过定义一系列的规则，这些规则决定了哪些数据包应该被允许通过路由器，哪些应该被阻止。在设置ACL时，需要遵循以下几点规则： 1. **顺序比较**：ACL会从第一条规则开始逐条比较，一旦找到匹配项，则不再继续比较后续规则。 2. **默认拒绝**：每个ACL的末尾都有一个隐含的“拒绝”规则，即如果没有其他规则允许，则该数据包会被拒绝。 3. **至少一条允许规则**：为了确保至少有一部分流量可以通过，需要在ACL中包含至少一条允许（permit）规则。 #### 三、访问列表的类型 根据过滤依据的不同，访问列表可以分为两种主要类型： 1. **标准访问列表（Standard Access Lists）**：仅基于源IP地址进行过滤。 2. **扩展访问列表（Extended Access Lists）**：不仅考虑源IP地址，还可以考虑目的IP地址、第3层协议字段以及第4层端口号等更多信息来进行过滤决策。 #### 四、访问列表的应用 为了让访问列表生效，必须将其应用到路由器的具体接口上，并且需要指定过滤的方向，即入站（inbound）还是出站（outbound）。通常的做法包括： 1. **入站ACL**：首先对数据包进行处理，然后再进行路由。 2. **出站ACL**：先进行路由操作，然后再处理数据包。 #### 五、配置访问列表的关键点 在配置访问列表时，需要注意以下几个关键点： 1. **唯一性限制**：每个接口的每个方向和每种协议只能应用一个访问列表。 2. **顺序的重要性**：合理安排ACL中的规则顺序，比如测试规则最好放置在列表顶部。 3. **删除规则**：通常情况下，删除单条规则意味着整个ACL都会被删除，但命名访问列表除外。 4. **默认规则**：每个ACL的默认结束语句是`deny any`，因此至少需要一条`permit`规则。 5. **应用到接口**：创建完访问列表之后，必须将其应用到需要过滤的接口上。 6. **不适用于路由器自身产生的流量**：访问列表只过滤经过路由器的数据包，不会过滤由路由器自身产生的数据包。 7. **最佳实践**：建议将标准ACL放置在靠近目标地址的位置；而扩展ACL应放置在靠近源地址的位置。 #### 六、标准访问列表的配置 在配置标准访问列表之前，需要了解通配符掩码的概念。通配符掩码由四个8位位组组成，其中0表示必须精确匹配，而255表示任意值。例如，`172.16.30.0 0.0.0.255`表示前三个8位位组必须精确匹配，最后一个8位位组可以是任意值。 ##### 配置示例 假设有一个路由器，拥有三个局域网连接和一个互联网连接，现在要求销售部门不能访问财务部门，但可以访问市场部门和互联网连接。具体配置如下： 1. **创建标准访问列表**： ```plaintext Router(config)#access-list 10 deny 172.16.40.0 0.0.0.255 Router(config)#access-list 10 permit any ``` 注意：由于存在隐含的`deny any`规则，所以在末尾添加`permit any`以允许其他所有流量通过。 2. **应用访问列表**： ```plaintext Router(config)#interface e1 Router(config-if)#ip access-group 10 out ``` 将ACL 10应用于E1接口，方向为出站，以便尽可能地靠近目标地址。 #### 七、控制VTY（Telnet）访问 使用标准访问列表也可以控制通过VTY线路的远程登录访问。具体步骤包括： 1. **创建标准访问列表**： ```plaintext Router(config)#access-list 50 permit 172.16.10.3 ``` 此命令允许IP地址为172.16.10.3的主机进行远程登录。 2. **应用访问列表到VTY线路**： ```plaintext Router(config)#line vty 0 4 Router(config-line)#access-class 50 in ``` 这里使用`access-class`命令将ACL 50应用于VTY线路，方向为进站。 通过上述详细说明，我们可以看到访问列表在实现网络安全策略方面的灵活性和实用性。正确配置访问列表对于保障网络安全、优化网络性能具有重要意义。