acl访问控制列表(标准电路acl规则配置命令详解)
访问控制列表(ACL)是应用在路由器接口的指令列表(即规则)。这些指令列表用来告诉路由器，那些数据包可以接受，那些数据包需要拒绝。
ACL使用包过滤技术，在路由器上读取OSI七层模型的第3层和第4层包头中的信息。如源地址，目标地址，源端口，目标端口等，根据预先定义好的规则，对包进行过滤，从而达到访问控制的目的。
ACl是一组规则的集合，它应用在路由器的某个接口上。对路由器接口而言，访问控制列表有两个方向。
出：已经通过路由器的处理，正离开路由器的数据包。
入：已到达路由器接口的数据包。将被路由器处理。
————————————————
1、Access Contral List
2、ACL是一种包过滤技术。
3、ACL基于IP包头的IP地址、四层TCP／UDP头部的端口号;基于三层和四层过滤
４、ACL在路由器上配置，也可以在防火墙上配置（一般称为策略）
５、ACL主要分为2大类：
标准ACL
表号是1-99特点；
只能基于源IP地址对包进行过滤
扩展ACL
表号：100-199
特点：可以基于源IP、目标IP、端口号、协议对包进行过滤
————————————————
ACL原理
1）ACL表必须应用到接口的进或出方向生效
2）一个接口的一个方向只能应用一张表
3）进还是出方向应用？取决于流量控制总方向
4）ACL表是严格自上而下检查每一条，所以要注意书写顺序
5）每一条是有条件和动作组成，当流量不满足某条件，则继续检查；当流量完全满足某条件，不再往后检查直接执行动作。
6）标准ACL尽量写在靠近目标的地方
————————————————
conf t
access-list表号permit/deny源IP或源网段反子网掩码
access-list表号动作条件
将ACL应用到接口：
int f0/x
ip access-group表号in/out
exit
———————
注释：反子网掩码：将正子网掩码0和1倒置
反子网掩码：用来匹配，与0对应的严格匹配，与1对应的忽略匹配。
———————
例如：access-list 1 deny 10.1.1.1 0.255.255.255
解释：该条目用来拒绝所有源IP为10开头的
access-list 1 deny 10.1.1.1 0.0.0.0
简写：access-list 1 deny host 10.1.1.1
解释：该条目用来拒绝所有源IP为10.1.1.1的主机
access-list 1 deny 0.0.0.0 255.255.255.255
简写：access-list 1 deny any
解释：该条目用来拒绝所有人
————————————————
————————————————
1）做流量控制，首先要先判断ACL写的位置（那个路由器？那个接口的哪个方向？）
2）再考虑怎么写ACL
首先要判断最终要允许所有还是拒绝所有
将【详细的严格的控制】写在最前面
3）一般情况下，标准或扩展ACL一旦编写，无法修改某一条，也无法删除某一条，也无法往中间插入新的条目，只能一直在最后添加新的条目
如想修改插入或删除，只能删除整张表，重新写！
conf t
no access-list表号
查看ACL表：
show ip access-list[表ID]
————————————————
扩展ACL：
表号：100-199
特点：可以基于源IP、目标IP、端口号、协议对包进行过滤
命令：
acc 100 permint/deny协议源IP或源网段反子网掩码目标IP或源网段反子网掩码[eq端口号]
注释：协议：tcp/udp/icmp/ip
案例：
acc 100 permit tcp host 10.1.1.1 host 20.1.1.3 eq 80
acc 100 deny ip host 10.1.1.1 20.1.1.1 0.0.0.255
————————————————
命名ACL：
作用：可以对标准或扩展ACL进行自定义命名
优点：
自定义命名更容易辨认，也便于记忆！
可以任意修改某一条，或删除某一条，也可以往中间插入某一条
conf t
ip access-list standard/extended自定义表名
开始从deny或permit编写ACL条目
exit
删除某一条：
ip access-list standard/extended自定义表名
no条目ID
exit
插入某一条：
IP access-list standard/extended自定义表名
条目ID动作条件
免责声明：本文由用户上传，如有侵权请联系删除！