华为acl访问控制列表实例.docx

华为acl访问控制列表实例华为acl访问控制列表配置访问控制列表：ACL:(accesscontrollist)适用所有的路由协议：IP,IPX,AppleTalk控制列表分为两种类型：1.标准访问控制列表：检查被路由数据包的源地址、1~99代表号2.扩展访问控制列表：对数据包的源地址与目标地址进行检查。访问控制列表最常见的用途是作为数据包的过滤器。其他用途;可指定某种类型的数据包的优先级，以对某些数据包优先处理识别触发按需拨号路由(DDR)的相关通信量路由映射的基本组成部分ACL能够用来：提供网络访问的基本安全手段访问控制列表可用于Qos(QualityofService,服务质量)对数据流量进行控制。可指定某种类型的数据包的优先级，以对某些数据包优先处理起到了限制网络流量，减少网络拥塞的作用提供对通信流量的控制手段访问控制列表对本身产生的的数据包不起作用，如一些路由更新消息路由器对访问控制列表的处理过程：(1)如果接口上没有ACL，就对这个数据包继续进行常规处理(2)如果对接口应用了访问控制列表，与该接口相关的一系列访问控制列表语句组合将会检测它：*若第一条不匹配，则依次往下进行判断，直到有一条语句匹配，则不再继续判断。路由器将决定该数据包允许通过或拒绝通过*若最后没有任一语句匹配，则路由器根据默认处理方式丢弃该数据包。*基于ACL的测试条件，数据包要么被允许，要么被拒绝。(3)访问控制列表的出与入，使用命令ipaccess-group，可以把访问控制列表应用到某一个接口上。in或out指明访问控制列表是对近来的，还是对出去的数据包进行控制【在接口的一个方向上，只能应用1个access-list】路由器对进入的数据包先检查入访问控制列表，对允许传输的数据包才查询路由表而对于外出的数据包先检查路由表，确定目标接口后才检查看出访问控制列表======================================================================应该尽量把放问控制列表应用到入站接口，因为它比应用到出站接口的效率更高：将要丢弃的数据包在路由器惊醒了路由表查询处理之前就拒绝它(4)访问控制列表中的deny和permit全局access-list命令的通用形式：Router(config)#access-listaccess-list-number{permit|deny}{testconditions}这里的语句通过访问列表表号来识别访问控制列表。此号还指明了访问列表的类别。1.创建访问控制列表access-list1deny172.16.4.130.0.0.0(标准的访问控制列表)access-list1permit172.16.0.00.0.255.255(允许网络172.16.0.0)的所有流量通过access-list1permit0.0.0.0255.255.255.255(允许任何流量通过，如过没有只允许172.16.0.0的流量通过)2.应用到接口E0的出口方向上：interfacefastehernet0/0ipaccess-group1out(把ACL绑定到接口)删除一个访问控制列表，首先在接口模式下输入命令：noipaccess-group然后在全局模式下输入命令noaccess-list并带上它的全部参数?〖访问控制列表的通配符〗0.0.0.0255.255.255.255=====anyRouter(config)#access-list1permit172.30.16.290.0.0.0======Router(config)#access-list1permithost172.30.16.29+++++++++++++++++++++++++++++==访问控制列表的种类+++++++++++++++++++++++++++标准IP访问列表只对源IP地址进行过滤。扩展访问控制列表不仅过滤源IP地址，还可以对目的IP地址、源端口、目的端口进行过滤尽量把扩展ACL应用在距离要拒绝通信流量的来源最近的地方，以减少不必要的通信流量。最好把标准的ACL应用在离目的地最近的地方标准的ACL根据数据包的源IP地址来允许或拒绝数据包。当配置访问控制列表时，顺序很重要。标准访问控制列表的应用与配置扩展ACL中，命令access-list的完全语法格式如下：Router(config)#access-listaccess-list-number{permit|deny}protocol[sourcesource-wildcarddestinationdestination-wildcard][operatoroperan][established][log]access-list-number