資源描述：
《CCNA2010 IP訪問控制列表ACL》由會員上傳分享，免費在線閱讀，更多相關內(nèi)容在行業(yè)資料-天天文庫。
1、用訪問列表初步管理IP流量合理的矛盾:在網(wǎng)絡設計中，如何為用戶合理分配流量，又能提供安全有效的網(wǎng)絡管理，是一個具有挑戰(zhàn)性的難題！172.16.0.0172.17.0.0Internet管理網(wǎng)絡中逐步增長的IP數(shù)據(jù)當數(shù)據(jù)通過路由器時進行過濾為什么要使用訪問列表訪問列表的應用允許、拒絕數(shù)據(jù)包通過路由器允許、拒絕Telnet會話的建立虛擬會話(IP)端口上的數(shù)據(jù)傳輸標準檢查源地址通常允許、拒絕的是完整的協(xié)議擴展檢查源地址和目的地址通常允許、拒絕的是某個特定的協(xié)議進方向和出方向OutgoingPacketE0S0Inc
2、omingPacketAccessListProcessesPermit?Sourceand DestinationProtocol什么是訪問列表NotifySender出端口方向上的訪問列表如果沒有匹配的ACL就丟棄數(shù)據(jù)包NY垃圾桶ChooseInterfaceRoutingTable Entry?沒有ACL有ACLTestAccessListStatementsPermit ?YAccessList ?DiscardPacketNOutbound InterfacesPacketPacketS0E0Inbo
3、und InterfacePackets訪問列表的測試：允許和拒絕PacketstoInterface(s)intheAccessGroup垃圾桶Y目的端口DenyYMatchFirstTest?PermitNDenyPermitMatchNextTest(s)?DenyMatchLastTest ?YYNYYPermitImplicitDenyIfnomatchdenyallDenyNStep1:設置訪問列表測試語句的參數(shù)Router(config)#Step2:在端口上應用訪問列表{protocol}acc
4、ess-group標號{in
5、out}Router(config-if)#訪問列表設置命令IP訪問列表的標號為1-99和100-199access-list標號{permit
6、deny}{testconditions}編號范圍IP1-99100-199Name(CiscoIOS11.2andlater)800-899900-9991000-1099Name(CiscoIOS11.2.Fandlater)StandardExtendedSAPfiltersNamedStandardExtendedNamed訪問列
7、表類型IPX如何識別訪問列表標準訪問列表(1to99)檢查IP數(shù)據(jù)包的源地址擴展訪問列表(100to199)檢查源地址和目的地址、具體的TCP/IP協(xié)議和目的端口其它訪問列表編號范圍表示不同協(xié)議的訪問列表例如172.30.16.290.0.0.0檢查所有的地址位可以簡寫為host(host172.30.16.29)Testconditions:Checkalltheaddressbits(matchall)172.30.16.290.0.0.0(checksallbits)AnIPhostaddress,for
8、example:Wildcardmask:通配符掩碼指明特定的主機0表示檢查與之對應的地址位的值1表示忽略與之對應的地址位的值donotcheckaddress (ignorebitsinoctet)=001111111286432168421=00000000=00001111=11111100=11111111Octetbitpositionandaddressvalueforbitignorelast6addressbitscheckalladdressbits(matchall)ignorelast4a
9、ddressbitschecklast2addressbitsExamples通配符：如何檢查相應的地址位所有主機:0.0.0.0255.255.255.255可以用any簡寫Testconditions:Ignorealltheaddressbits(matchany)0.0.0.0255.255.255.255(ignoreall)AnyIPaddressWildcardmask:通配符掩碼指明所有主機CheckforIPsubnets172.30.16.0/24to172.30.31.0/24Networ
10、k.host172.30.16.000010000Wildcardmask:00001111
11、<----匹配---->
12、<-----忽略----->
13、00010000=1600010001=1700010010=18::00011111=31Addressandwildcardmask:172.30.16.00.0.15.255通配符掩碼和IP子網(wǎng)的對應access-listacces
