第9章 ACL访问控制技术2ppt课件.ppt

在此输入您的封面副标题第9章 ACL访问控制技术2LOGO第9章 ACL访问控制技术目录目录ACL的分类 2ACL的访问顺序4 ACL 概 述 3 1ACL配置 3 3ACL 概概 述述 一、什么是ACL ACL全称访问控制列表：Access Control List 二、 ACL的原理、功能与局限性v 基本原理：ACL使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。 v 功能： ACL的主要功能就是一方面保护资源节点，阻止非法用户对资源节点的访问（目标），另一方面限制特定的用户节点对资源节点的访问权限(源）。ACL 概概 述述三、三、ACL的工作过程（出口）的工作过程（出口） ACL 概概 述述最后有一条隐含的拒绝所有的语句最后有一条隐含的拒绝所有的语句v 当一个当一个ACL被创建后，新的语句行总是被加被创建后，新的语句行总是被加到到ACL的最后，因此，无法删除某一条的最后，因此，无法删除某一条ACL语句，只能删除整个语句，只能删除整个ACL列表列表访问顺序实例见书P208-209 ACL的分类的分类 1标准标准ACL2扩展扩展ACL3命名命名ACL4基于时间的访问控制列表基于时间的访问控制列表ACL的配置的配置1标准标准ACL的配置的配置v 第一步，定义访问控制列表，其命令格式如下： Router(config)# access-list access-list-number permit | deny source source-wildcard log例如： Router(config)# v 第二步，把标准 ACL应用到一个具体接口 Router(config)# int interface Router(config-if)# protocol access-group access-list-number in | out 例如： Router(config)# int s1/1 Router(config-if)# ip access-group 1 outACL的配置的配置2扩展扩展ACL的配置的配置v 第一步，定义访问控制列表，其命令格式如下：第一步，定义访问控制列表，其命令格式如下： Router(config)# access-list access-list-number permit | deny protocol source source-wildcard operator operand destination destination-wildcard operator operand established log例如：例如：Router(config)# access-list 101 deny tcp 172.16.4.0 0.0.0.255 172.16.3.0 0.0.0.255 eq 20v 第二步，把扩展第二步，把扩展 ACL应用到一个具体接口：应用到一个具体接口： Router(config)# int interface Router(config-if)# protocol access-group access-list-number in | out 例如：例如： Router(config)# int s1/1 Router(config-if)# ip access-group 1 outACL的配置的配置3命名命名ACL配置配置v 第一步，创建一个ACL命名，要求名字字符串要唯一 Router(config)# ip access-list standard | extended namev 第二步，定义访问控制列表，其命令格式如下 标准的ACL： Router(config-sta-nacl)# permit | deny source source-wildcard log 或扩展的ACL Router(config-ext-nacl)# permit | deny protocol source source-wildcard operator operand destination destination-wildcard operator operand established logv 第三步，把 ACL应用到一个具体接口上： Router(config)# int interface Router(config-if)# protocol access-group name in | out ACL的配置的配置4基于时间的访问控制列表基于时间的访问控制列表v 第一步是定义一个时间范围；第一步是定义一个时间范围； 格式为：格式为：time-range time-range-name（时间范围的名称）（时间范围的名称） 可以定义绝对时间范围和周期、重复使用的时间范围。可以定义绝对时间范围和周期、重复使用的时间范围。v 第二步是在访问列表中用第二步是在访问列表中用t i m e -range引用时间范围引用时间范围 基于时间的标准基于时间的标准ACL： Router(config)# access-list access-list-number permit | deny source source-wildcard log time-range time-range-name 基于时间的扩展基于时间的扩展ACL： Router(config)# access-list access-list-number permit | deny protocol source source-wildcard operator operand destination destination-wildcard operator operand established log time-range time-range-namev 第三步，把第三步，把ACL应用到一个具体接口：应用到一个具体接口： Router(config)# int interface Router(config-if)# protocol access-group access-list-number in | out 时间定义时间定义定定 义义描描 述述absolute start 17:00从配置的当天从配置的当天17:00开始直到永远开始直到永远absolute start 17:00 1 decemdber 2000从从2000年年12月月1日日17:00开始直到永远开始直到永远absolute end 17:00从配置时开始直到当天的从配置时开始直到当天的17:00结束结束absolute end 17:00 1 decemdber 2000从配置时开始直到从配置时开始直到2000年年12月月1日日17:00 结束结束absolute start 8:00 end 20:00从每天早晨的从每天早晨的8点开始到下午的点开始到下午的8点结束点结束absolute start 17:00 1 decemdber 2000 to end 5:00 31 decemdber 2000从从2000年年12月月1日开始直到日开始直到2000年年12月月31日结束日结束absolute start start-time start-date end end-time end-date时间定义时间定义periodic days-of-the-week hh:mm to days-of -the-week hh:mm定定 义义描描 述述periodic weekend 7:00 to 19:00星期六早上7:00到周日晚上7:00periodic weekend 8:00 to 17:00星期一早上8:00到星期五下午5:00periodic daily 7:00 to 17:00每天的早上7:00到下午5:00periodic staturday 17:00 to Monday 7:00星期六晚上5:00到星期一早上7:00periodic Monday Friday 7:00 to 20:00星期一和星期五的早上7:00到下午8:00基于时间的基于时间的ACL的配置的配置基于时间的访问控制列表配置实例：基于时间的访问控制列表配置实例：router# configure terminalrouter(config)# time-range allow-wwwrouter(config-time-range)# asbolute start 7:00 1 June 2010 end 17:00 31 December 2010router(config-time-range)# periodic weekend 7:00 to 17:00router(config-time-range)# exitrouter(config)# access-list 101 permit tcp 192.168.1.0 0.0.0.255 any eq www time-range allow-wwwrouter(config)# interface serial 1/1router(config-if)# ip access-group 101 outACLACL配置举例配置举例vP214 标准ACLACLACL配置举例配置举例vP217 扩展ACLACLACL配置举例配置举例vP219 ACL综合配置LOGO