cisco路由器配置acl详解.doc

cisco路由器配置ACL详解  什么是ACL?  访问控制列表简称为ACL,访问控制列表使用包过滤技术,在路由器上读取第三层及第四层包头中的信息如源地址,目的地址,源端口,目的端口等,根据预先定义好的规则对包进行过滤,从而达到访问控制的目的。该技术初期仅在路由器上支持,近些年来已经扩展到三层交换机,部分最新的二层交换机也开始提供ACL的支持了。  访问控制列表使用原则  由于ACL涉及的配置命令很灵活,功能也很强大,所以我们不能只通过一个小小的例子就完全掌握全部ACL的配置。在介绍例子前为大家将ACL设置原则罗列出来,方便各位读者更好的消化ACL知识。  1、最小特权原则只给受控对象完成任务所必须的最小的权限。也就是说被控制的总规则是各个规则的交集,只满足部分条件的是不容许通过规则的。  2、最靠近受控对象原则  所有的网络层访问权限控制。也就是说在检查规则时是采用自上而下在ACL中一条条检测的,只要发现符合条件了就立刻转发,而不继续检测下面的ACL语句。  3、默认丢弃原则  在CISCO路由交换设备中默认最后一句为ACL中加入了DENYANYANY,也就是丢弃所有不符合条件的数据包。这一点要特别注意,虽然我们可以修改这个默认,但未改前一定要引起重视。  由于ACL是使用包过滤技术来实现的,过滤的依据又仅仅只是第三层和第四层包头中的部分信息,这种技术具有一些固有的局限性,如无法识别到具体的人,无法识别到应用内部的权限级别等。因此,要达到端到端的权限控制目的,需要和系统级及应用级的访问权限控制结合使用。  标准访问列表:  访问控制列表ACL分很多种,不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表,标准访问控制列表是通过使用IP包中的源IP地址进行过滤,使用的访问控制列表号1到99来创建相应的ACL  标准访问控制列表的格式  标准访问控制列表是最简单的ACL。  它的具体格式如下:access-listACL号permit|denyhostip地址  例如:access-。  当然我们也可以用网段来表示,对某个网段进行过滤。命令如下:access-  。?这是因为CISCO规定在ACL中用反向掩玛表示子网掩码,。  小提示:对于标准访问控制列表来说,默认的命令是HOST,ess-,可以省去我们输入host命令。  标准访问控制列表实例一  我们采用如图所示的网络结构。路由器连接了二个网段,,。.。  实例1:.。