Acl访问控制列表

访问控制列表在接口应用的方向

以数据流量为参照，到该路由器接口的叫入方向，否则为出方向

wKiom1MLAJjSX76xAABwB5zOcwA647.jpg

访问控制列表的处理过程

wKiom1MLAM6BI-90AAGkIRN4Y9M589.jpg

 

（一）标准访问控制列表

标准访问控制列表的访问控制列表号是1～99，并基于源IP地址过滤数据包

标准访问控制列表不能删除单条acl语句，只能删除整个acl

1.基于主机地址

R1(config)#access-list 10 deny host 192.168.1.10

R1(config-if)#ip access-group 10 in     应用于in接口

2.基于网段地址

R1(config)#access-list 10 permit 192.168.1.0 0.0.0.255

R1(config-if)#ip access-group 10 out    应用于out接口

（二）扩展访问控制列表

基于源IP地址、目的IP地址、指定协议、端口和标志来过滤数据包，扩展访问控制列表的访问控制列表号是100～199

与标准访问控制列表一样，扩展访问控制列表不能删除单条acl语句，只能删除整个acl

R1(config)#access-list 110 permit tcp 192.168.1.0 0.0.0.255 host 192.168.2.1 eq 21

R1(config)#access-list 110 deny icmp any any echo

R1(config-if)#ip access-group 10 in    应用于in接口

R1#show access-list 110          查看acl列表

R1(config)#no access-list 100      删除acl列表

（三）命名访问控制列表

命名访问控制列表允许在标准和扩展访问控制列表中使用名称代替表号

R1(config)#ip access-list extended noping     创建命名访问列表

R1(config-ext-nacl)#2 deny icmp host 192.168.2.10 host 192.168.100.100 echo    插入单条acl语句

R1(config-if)#ip access-group test out           运用在接口的out方向

R1(config-ext-nacl)#no 5                     删除单条acl语句

R1(config)#no ip access-list extended noping     删除命名访问列表

R1(config-if)#no ip access-group out            取消接口acl

例

wKioL1MLANrTPGDQAAGeXnA7eqo994.jpg

Sw1配置

!

interface FastEthernet1/1

 switchport access vlan 10

!

interface FastEthernet1/2

 switchport access vlan 20

!

interface FastEthernet1/15

 switchport mode trunk

!

interface Vlan1

 ip address 192.168.3.10 255.255.255.0

!

ip default-gateway 192.168.3.1

!

 

R1配置

!

ip route 0.0.0.0 0.0.0.0 202.106.1.2

!

enable password 123

!

interface FastEthernet0/0.10

 encapsulation dot1Q 10

 ip address 192.168.1.1 255.255.255.0

!

interface FastEthernet0/0.20

 encapsulation dot1Q 20

 ip address 192.168.2.1 255.255.255.0

!

interface FastEthernet0/0.30

 encapsulation dot1Q 1 native

 ip address 192.168.3.1 255.255.255.0

!

interface FastEthernet0/1

 ip address 202.106.1.1 255.255.255.252

 ip access-group test out

!

ip access-list extended test

 deny   icmp host 192.168.2.10 host 192.168.100.100 echo

 deny   tcp host 192.168.1.10 any eq www

 permit ip any any

!

access-list 10 permit 192.168.1.10

!

line vty 0 4

 access-class 10 in

 password 123

 login

!

R2配置

!

interface FastEthernet0/0

 ip address 202.106.1.2 255.255.255.252

!

interface FastEthernet0/1

 ip address 192.168.100.1 255.255.255.0

!

ip route 192.168.1.0 255.255.255.0 202.106.1.1

ip route 192.168.2.0 255.255.255.0 202.106.1.1

ip route 192.168.3.0 255.255.255.0 202.106.1.1

!