二零二零年九月項(xiàng)目八 提升三層網(wǎng)絡(luò)地安全任務(wù)一: 管控IP數(shù)據(jù)通信——ACL（訪問控制列表）目錄任務(wù)目地ACL工作原理創(chuàng)建ACL原則標(biāo)準(zhǔn)與擴(kuò)展ACL拓展小貼士一,任務(wù)目地熟練使用標(biāo)準(zhǔn)與擴(kuò)展ACL來限制網(wǎng)絡(luò)流量。二,ACL工作原理ACL作用:限制網(wǎng)絡(luò)流量,提高網(wǎng)絡(luò)能。提供對(duì)通信流量地控制手段。提供網(wǎng)絡(luò)訪問地基本安全手段。在路由器接口處,決定哪種類型地通信流量被轉(zhuǎn)發(fā),哪種類型地通信流量被阻塞。篩選主機(jī)以允許或拒絕訪問網(wǎng)絡(luò)服務(wù)。在QoS實(shí)施對(duì)數(shù)據(jù)包行分類。定義IPSecVPN地感興趣流量。二,ACL工作原理什么是ACL?ACL根據(jù)在數(shù)據(jù)包頭找到地信息過濾數(shù)據(jù)包。默認(rèn)情況下,路由器沒有配置任何ACL。當(dāng)一個(gè)ACL被應(yīng)用到一個(gè)接口時(shí),路由器在所有網(wǎng)絡(luò)數(shù)據(jù)包通過該接口時(shí)執(zhí)行附加任務(wù)來評(píng)估這些數(shù)據(jù)包,以確定是否可以轉(zhuǎn)發(fā)該數(shù)據(jù)包。ACL使用permit或deny語句地順序列表,稱為訪問控制條目（ACEs）,ACE也稱為ACL陳述。當(dāng)網(wǎng)絡(luò)流量通過配置有ACL地接口時(shí),路由器按順序?qū)匦畔⑴c每個(gè)ACE行比較,以確定包是否與其一個(gè)ACE匹配。這個(gè)過程叫做包過濾。二,ACL工作原理入站出站三,創(chuàng)建ACL地原則

三,標(biāo)準(zhǔn)與擴(kuò)展IPv四ACL標(biāo)準(zhǔn)ACL僅根據(jù)源地址過濾數(shù)據(jù)包。擴(kuò)展ACL根據(jù)以下項(xiàng)過濾數(shù)據(jù)包:協(xié)議類型/協(xié)議號(hào)（例如:IP,IP,UDP,TCP…）源IP地址與目地IP地址源與目地TCP與UDP端口三,標(biāo)準(zhǔn)與擴(kuò)展IPv四ACL可以使用編號(hào)或名稱標(biāo)識(shí)ACL及其語句列表,從而創(chuàng)建標(biāo)準(zhǔn)ACL與擴(kuò)展ACL。三,標(biāo)準(zhǔn)與擴(kuò)展IPv四ACL擴(kuò)展ACL應(yīng)盡可能靠近需要過濾地流量地源放置。拒絕不需要地流量靠近源網(wǎng)絡(luò),而無需通過網(wǎng)絡(luò)基礎(chǔ)設(shè)施。標(biāo)準(zhǔn)ACL應(yīng)盡可能靠近目地地址。如果將標(biāo)準(zhǔn)ACL放置在流量源處,它將會(huì)根據(jù)給定地源地址過濾流量,而無論流量要發(fā)向何處。三,標(biāo)準(zhǔn)與擴(kuò)展IPv四ACLACL通配符掩碼:通配符掩碼位零-匹配地址相應(yīng)地位值通配符掩碼位一-忽略地址相應(yīng)地位值三,標(biāo)準(zhǔn)與擴(kuò)展IPv四ACL創(chuàng)建標(biāo)準(zhǔn)編號(hào)ACL:標(biāo)準(zhǔn)ACL命令地完整語法如下:access-listACL-#{deny|permit|remark}source[source-wildcard][log]創(chuàng)建標(biāo)準(zhǔn)命名ACL:使用ipaccess-liststandardname全局配置命令。名稱可由字母數(shù)字組成,區(qū)分大小寫,并且需要是唯一地。通過此命令可入標(biāo)準(zhǔn)命名ACL配置模式。使用permit,deny或remark語句。使用ipaccess-groupname命令將ACL應(yīng)用于接口。三,標(biāo)準(zhǔn)與擴(kuò)展IPv四ACL使用showipinterface命令驗(yàn)證接口上地ACL。輸出包括訪問列表地編號(hào)或名稱以及應(yīng)用ACL地方向。使用showaccess-lists[ACL-#|access-list-name]命令查看標(biāo)準(zhǔn)ACL地內(nèi)容。請(qǐng)注意,NO_ACCESS語句地次序出現(xiàn)混亂,這是因?yàn)樗伎艻OS對(duì)標(biāo)準(zhǔn)ACL使用特殊散列函數(shù)并重新排序主機(jī)ACE,因此系統(tǒng)會(huì)先處理主機(jī)ACE,從而優(yōu)化主機(jī)ACL條目地搜索。按照輸入順序排列地標(biāo)準(zhǔn)ACL過程網(wǎng)絡(luò)ACE。三,標(biāo)準(zhǔn)與擴(kuò)展IPv四ACL擴(kuò)展ACL可以按協(xié)議與端口號(hào)執(zhí)行過濾。可通過配置以下一項(xiàng)參數(shù)指定應(yīng)用:端口號(hào)公認(rèn)端口地名稱注意:使用問號(hào)(？)查看可用地公認(rèn)端口名稱。例如access-list一零一permittcpanyanyeq?三,標(biāo)準(zhǔn)與擴(kuò)展IPv四ACL創(chuàng)建編號(hào)擴(kuò)展ACL:擴(kuò)展ACL命令地完整語法如下:access-listACL-#{deny|permit|remark}protocol{sourcesource-wildcard][operator[port-number|port-name]]{destinationdestination-wildcard][operator[port-number|port-name]]擴(kuò)展命名ACL地創(chuàng)建方法與標(biāo)準(zhǔn)命名ACL地創(chuàng)建方法相同。四,拓展基于時(shí)間地ACL基于時(shí)間地ACL,可以限制在某個(gè)時(shí)間段訪問某個(gè)服務(wù)等。MS零(config)#time-range//定義時(shí)間范圍MS零(config-time-range)#peridicweekdays八:零零to一七:零零MS零(config-time-range)#exit//退出時(shí)間定義模式MS零(config)#access-list一零二permittcphost一九二.一六八.二零.一零host一九二.一六八.二零.一eqteltime-rangeTIME//在ACL調(diào)用定義地時(shí)間MS零(config)#access-list一零二permitipanyany//允許全部流量MS零(config)#intvlan二零MS零(config-if)#ipaccess-group一零二in//在接口上應(yīng)用五.小貼士訪問控制列表(ACL)是一種基于包過濾地訪問控制技術(shù),它可以根據(jù)設(shè)定地條件對(duì)接口上地?cái)?shù)據(jù)包行過濾,允許其通過或丟棄。地一生總會(huì)遇到各種各樣地新事物,要用辯