CCNA8

ACL

访问控制列表

1. 访问控制- -在路由器上流量进或出的接口上规则流量
2. 定义感兴趣流量- -为其他的策略匹配流量

访问控制: 定义ACL列表后，将列表调用到路由器的接口上，当流量通过接口时，进行匹配，匹配成功后按照设定好的动作进行处理即可- -允许或者拒绝

匹配规则: 至上而下逐一匹配，上条匹配按上条执行，不再查看下条；末尾隐含拒绝所有

分类:

1. 标准ACL- -仅关注数据包中的源ip地址
2. 扩展ACL- -关注数据包中的源ip、目标ip、源端口号、目标端口号、协议号

ACL写法:

1. 编号写法: 1-99 标准 100-199 扩展 删除一条整表消失
2. 命名写法: 一个名字一张列表 可以随意删除某条

配置:

• 标准ACL

编号写法:
由于标准ACL仅关注数据包中的源ip地址，调用时尽量的靠近目标，避免误删除

Router(config) access-list 1 deny host 192.168.4.2      拒绝单一设备
Router(config) access-list 1 deny 192.168.4.0 0.0.0.255  拒绝范围
Router(config) access-list 1 deny any                 拒绝所有

Router(config) access-list 1 deny host 192.168.4.2
Router(config) access-list 1 permit any
Router(config) interface fastEthernet 0/0.1
Router(config-subif) ip access-group 1 out 

命名写法:

Router(config) ip access-list standard a
Router(config-std-nacl) deny host 192.168.4.2
Router(config-std-nacl) permit any
Router(config-std-nacl) exit

默认+10生成序列号，便于删除和插入
Router(config) ip access-list standard a
Router(config-std-nacl) 15 deny host 1.1.1.1
Router(config-std-nacl) no 15

• 扩展ACL
  扩展ACL关注数据包中的源、目标ip地址，故调用时应该尽量的靠近源，当然不能在源上，因为ACL不能限制本地产生的流量

r1(config) access-list 100 deny ip host 192.168.4.2 host 192.168.1.2
                                           源               目标
                           192.168.4.0 0.0.0.255 192.168.1.0 0.0.0.255 范围
r1(config) access-list 100 permit ip any any
r1(config) interface fastEthernet 0/0
r1(config-if) ip access-group 100 in

关注目标端口号

1. ICMP- -ping 跨层封装协议，不存在端口号
2. Telnet- -远程登录 基于TCP 目标23号端口

设备开启远程登录

r1(config) username ccna privilege 15 secret cisco123
r1(config) line vty 0 4 
r1(config-line) login local 

规则一个设备到另一个设备的目标端口

r1(config) access-list 101 deny tcp host 1.1.1.1 host 2.2.2.2 eq 23  远程登录被拒绝
r1(config) access-list 101 permit ip any any

r1(config) access-list 102 deny icmp host 1.1.1.1 host 2.2.2.2  拒绝ping
r1(config) access-list 102 permit ip any any

---

ACL小实践

如下图

情景描述:
两台路由器中间的网段为192.168.1.0/24，正常情况下两台路由器是可以互通的，现要求在R1上开启Telnet，用ACL实施策略，使得R2不能Telnet登录R1并且不能ping通R1

思路:
根据情景描述，可以得到在ACL中需要使用到源ip和目标ip 所以使用的是扩展ACL，根据扩展ACL的特性:ACL不能在源上，即不能限制本地的流量。
对于R2不能ping通R1,可以在数据层面做限制，使得R1的包不能进入R2，故源ip是R1 目标ip是R2，调用在R2的F0/0的in方向
对于R2不能TelnetR1，让R2的包不能进到R1即可，故源ip是R2 目标ip是R1，调用在R1的F0/0的in方向

R1

username ccna privilege 15 secret cisco123
line vty 0 4 
login local 

access-list 100 deny tcp host 192.168.1.2 host 192.168.1.1 eq 23  
access-list 100 permit ip any any

interface F0/0
ip access-group 100 in

R2

access-list 100 deny  icmp host 192.168.1.1 host 192.168.1.2
access-list 100 permit ip any any

interface F0/0
ip access-group 100 in