cisco-router-访问控制列表ACL策略

（以下所有内容为本手纯手打，有纰漏的地方，也请大家多多包含可发小猪消息赐教交流！）

（本文所有内容及批注呈内收递归的架构显示，因格式显示不懂之处望谅解！）

（本文手打之，命令关键字大多使用简写，如有不明最好是键入命令时惯用tab补全！）

访问控制列表ACL-小猪详谈：

简单总结：

（接口启用应用acl后，所有acl只有应用到接口上才起作用，执行出入规则允许或拒绝，默认为丢弃！）

        （包过滤技术，过滤三四层包头信息，网络层和会话层）

        （标准访问控制列表，扩展访问控制列表，命名访问控制列表、动态acl-通过定义时间段-这里不做详解）

        （标准和扩展都无法随意更改编辑规则，命名的则可）

        （标准和扩展acl删除是只能删除真个表，而不能只删除其中的一个规则语句）

        （标准acl规则一般应用到离目标地址较近的路由口上，扩展acl则一般应用在离源地址较劲的路由口上）

1、标准访问控制列表配置：

（只根据数据包的源ip地址进行执行规则允许或拒绝）

router(config)#access-list access-list-number {permit |deny } source [souce-wildcard]

        access-list-number:acl表号，标准acl表号范围：1-99

        permit | deny ：允许或拒绝规则命令关键字

        source：数据包源ip地址，可以是网段也可以是主机地址

        source-wildcard：反码（通配符掩码）

        举例配置如下：

            access-list 1 permit 192.168.1.0 0.0.0.255    (表示允许此网段通过）

            access-list 1 deny 192.168.1.1 0.0.0.0  (表示拒绝192.168.1.1这个ip主机出入）

            access-list 1 deny 0.0.0.0 255.255.255.255 (此为默认隐藏的拒绝所有语句置于每个acl最后）

            access-list 1 permit host 192.168.1.100 (这里host为主机关键字，当配置单个ip时使用）

            access-list 1 deny any  (这里any为所有关键字，当配置针对所有ip规则时使用）

            no access-list access-list-number   (此为删除某个acl表）

                (标准acl中，使用host命令时，可以省略）

router(config）#int f*/*

router(config-if)#ip access-group access-list-number {in | out}

(将acl策略应用到接口上使用并开始执行工作，no则取消工作）

（每个方向上只能有一个acl，每个接口最多两个acl，一个入方向，一个出方向，不可重叠）

2、扩展访问控制列表配置：

（可根据源ip、目标ip、指定协议、端口号以及标志来定义允许拒绝规则）

router(config)#access-list access-list-number {permit|deny} protocol {source source-wildcard destination destination-wildcard} [operator operan]

        access-list-number :表号100-199

        protocol:定义协议类型，如ip、icmp、tcp、udp

        destination：目的地址，同理，后面的为目的地址的反掩码

        operator operan：lt小于、gt大于、eq等于、neq不等于一个端口号,用于定义协议端口

        举例配置如下：

            access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255

            （允许192.168.1.0 访问192.168.2.0）

            access-list 100 deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.1 eq 21

            （拒绝192.168.1.0的主机访问192.168.2.1的ftp服务）

            access-list 100 deny icmp 192.168.1.0 0.0.0.255 host 192.168.2.1 echo

            （拒绝192.168.1.0的主机ping192.168.2.1的icmp请求）

            no access-list access-list-number  (删除已经创建的acl规则表）

router(config）#int f*/*

router(config-if)#ip access-group access-list-number {in | out}

(将acl策略应用到接口上使用并开始执行工作，no则取消工作）

3、命名访问控制列表配置：

（过滤规则允许可以在标准和扩展规则中使用名称代替表号）

router(config)#ip access-list {standard|extended} access-list-name  (创建acl）

        standard|extended：表示创建标准还是扩展acl关键字

        access-list-name :由字母数字组成的字符串，为acl表名

        举例配置如下：

            router(config)#ip access-list standard test1   (创建标准命名acl表）

            router(config-std-nacl)#[sequence-number] {permit|deny} source [source wildcard]

                    (sequence-number:此为命名acl语句在acl表中的位置序号，默认是10,20，依次类推）

                    (sequence-number对acl作用可随意修改编辑删除命名acl表中的任意语句）

            router(conifg)#ip access-list extended test2   (创建扩展命名acl表）

            router(config-ext-nacl)#[sequence-number] {permit|deny} protocol {source s-wildcard distination d-wildcard } [operator operan]

            router(config-std-nacl)#no 10   (在标准命名acl子模式下，可以直接编辑删除其语句）

            router(config)#no ip access-list standard test1  （删除整条acl表）

            详细举例配置如下：

                router(config)#ip acc stan test3

                router(config-sta-nacl)#permit 192.168.1.0

                router(config-sta-nacl)#deny any

                router(config)#ip acc ext test4

                router(config-ext-nacl)#deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.1 eq 21

                router(config-ext-nacl)#15 deny ip host 192.168.1.1 host 192.168.2.1

                router(config-ext-nacl)#16 permit any any

                router(config）#int f*/*

                router(config-if)#ip access-group access-list-number {in | out}

                (将acl策略应用到接口上使用并开始执行工作，no则取消工作）

                举例配置如下：

 router(config)#int f0/0

router(config-if)#ip access-g test1 in

router(config-if)#ip access-g test2 out

(以上为cisco路由设备上acl的整体配置，到此结束，需要多练，应多了解不同规则策略！下期小猪将给大家整理cisco-sw-三层交换-VLAN间路由协议，敬请关注！）

本文出自 “乡野小猪” 博客，请务必保留此出处http://8873146.blog.51cto.com/8863146/1585320