ACL访问控制列表.docx

ACL 访问控制列表是路由器和交换机接口的指令列表，用来控制端口进出的数据包。下面是 ACL 访问控制列表的相关知识点： 1. ACL 访问控制列表的定义：ACL 是路由器和交换机接口的指令列表，用来控制端口进出的数据包。这张表中包含了匹配关系、条件和查询语句，表只是一个框架结构，其目的是为了对某种访问进行控制。 2. ACL 的分类： * 标准 IP ACL（1-99 和 1300-1999）：基于源 IP 地址过滤 * 扩展 IP ACL（100-199 和 2000-2699）：基于源、目的 IP 地址、源、目的 TCP/UDP 端口、协议类型 * AppleTalk ACL（600-699） * IPX ACL（800-899） 3. ACL 的匹配规则： * 基于每种协议设置一个 ACL（per protocol） * 基于每个方向设置一个 ACL（per direction） * 基于每个接口设置一个 ACL（per interface） 4. ACL 的工作原理： * 入站 ACL：对到来的分组进行处理后在路由到主站接口，效率高。 * 出站 ACL：将分组路由到出站接口，然后根据 ACL 对其进行处理。ACL 要么应用于入站数据流要么应用于出站数据流。 5. ACL 的配置指南： * 访问列表的编号指明了使用何种协议的访问列表 * 每个端口、每个方向、每条协议只能对应于一条访问列表 * 访问列表的内容决定了数据的控制顺序 * 具有严格限制条件的语句应放在访问列表所有语句的最上面 * 在访问列表的最后有一条隐含声明：deny any * 先创建访问列表，然后应用到端口上 * 访问列表不能过滤由路由器自己产生的数据 6. ACL 的配置实例： * 只允许 PC1 可以到达 1.1.1.1，其他不可以 * 配置拓展 ACL：access-list 100 permit icmp host 192.168.1.10 host 1.1.1.1 echo * 应用 ACL 到端口：ip access-group 100 in 7. ACL 的删除： * 标准访问列表：不能删除单条语句，只能删除整个列表 * 扩展访问列表：可以删除单条语句，可以指定序号删除 8. ACL 的查看： * 查看 ACL 列表：show access-lists 100 9. ACL 的应用： * ACL 可以应用于入站数据流或出站数据流 * ACL 可以控制端口进出的数据包 10. ACL 的注意事项： * ACL 列表的顺序非常重要，需要根据实际情况进行配置 * ACL 列表的最后有一条隐含声明：deny any * ACL 不能过滤由路由器自己产生的数据