1、實(shí)驗(yàn)十二 訪問控制列表一、試驗(yàn)?zāi)康?.熟悉路由器的標(biāo)準(zhǔn)訪問控制列表配置方法2.了解路由器的擴(kuò)展訪問控制列表配置方法二、相關(guān)知識訪問控制列表（Access Control List ，簡稱ACL）既是控制網(wǎng)絡(luò)通信流量的手段，也是網(wǎng)絡(luò)安全策略的一個組成部分。每一個ACL列表可以由一條或若干條指令組成，對于任一個被檢查的數(shù)據(jù)包，依次用每一指令進(jìn)行匹配， 一旦獲得匹配，則后續(xù)的指令將被忽略。路由器為不同的網(wǎng)絡(luò)協(xié)議定義不同的ACL列表。為了標(biāo)識與不同的網(wǎng)絡(luò)協(xié)議對應(yīng)的ACL，可以采用數(shù)字標(biāo)識的方式。在使用ACL數(shù)字標(biāo)識時，必須為每一協(xié)議的訪問控制列表分配唯一的數(shù)字，并保證該數(shù)字值在所規(guī)定的范圍內(nèi)。 標(biāo)準(zhǔn)I

2、P協(xié)議的ACL取值范圍：1-99；擴(kuò)展IP協(xié)議的ACL取值范圍：100-199。 1標(biāo)準(zhǔn)ACL的相關(guān)知識標(biāo)準(zhǔn)ACL是指基于數(shù)據(jù)包中的源IP地址進(jìn)行簡單的包過濾的訪問控制列表，其通過檢查數(shù)據(jù)包的源地址，來確定是允許還是拒絕基于網(wǎng)絡(luò)、子網(wǎng)絡(luò)或主機(jī)IP地址的某一協(xié)議簇通過路由器的接口。（1）標(biāo)準(zhǔn)ACL列表的定義 Router(config)# access-list access-list-number deny | permit source source-wildcard log Access-list-num:ACL號（1-99）Deny:若測試條件成立，則拒絕相應(yīng)的數(shù)據(jù)包Permit:若測試

3、條件成立，則接受相應(yīng)的數(shù)據(jù)包Source:源IP地址（網(wǎng)絡(luò)或主機(jī)均可）Source-wildcard:與源IP地址配合使用的通配掩碼Log:是否就ACL事件生成日志（2）標(biāo)準(zhǔn)ACL列表的接口配置Router(config-if)#ip access-group access-list-number in | out 此命令用于將已經(jīng)定義的標(biāo)準(zhǔn)ACL列表應(yīng)用于相應(yīng)的路由器端口。in:指定相應(yīng)的ACL被用于對從該接口進(jìn)入的數(shù)據(jù)包進(jìn)行處理。out:指定相應(yīng)的ACL被用于對從該接口流出的數(shù)據(jù)包進(jìn)行處理。注：在路由器的每一個端口，對每個協(xié)議、在每個方向上只能指定一個ACL列表2擴(kuò)展ACL的相關(guān)知識擴(kuò)展A

4、CL是對標(biāo)準(zhǔn)ACL功能上的擴(kuò)展，其不僅可以基于源和目標(biāo)IP地址數(shù)據(jù)包的測試，還可基于協(xié)議類型和TCP端口號進(jìn)行數(shù)據(jù)包的測試，從而較標(biāo)準(zhǔn)的ACL提供了更強(qiáng)大的包過濾功能和設(shè)置上的靈活性 擴(kuò)展ACL通常用于下列情況l指定源和目標(biāo)地址的包過濾l指定協(xié)議類型的包過濾l指定傳輸層端口號的包過濾（1）擴(kuò)展ACL列表的定義Router(config)#access-list access-list-number permit | deny protocol source source-mask destination destination-mask operator operand established

5、 precedence priority tos type of service參數(shù)含義： access-list-number：ACL表號（100-199）protocol：指定協(xié)議，如IP、TCP、UDP等source /destination：源/目的IP地址（網(wǎng)絡(luò)或主機(jī)也可以）source /destination-mask:與上述IP地址配合使用的通配掩碼operator：表示關(guān)系如lt小于、gt大于、eq相等、neq不相等operand：端口號，如80、21等established：若數(shù)據(jù)包使用一個已建立連接，則允許TCP通信通過Priority：設(shè)置數(shù)據(jù)包的優(yōu)先級0-7type

6、of service：設(shè)定服務(wù)類型0-15（2）擴(kuò)展ACL列表的接口配置 Router(config-if)#ip access-group access-list-number in | out參數(shù)含義同標(biāo)準(zhǔn)ACL定義三、實(shí)驗(yàn)內(nèi)容1、實(shí)驗(yàn)拓?fù)?、地址規(guī)劃如下：u Router_A: f0/0為10.1.1.1/24 f0/1為20.1.1.1/24u Router_B: f0/0為10.1.1.2/24 f0/1為30.1.1.1/24設(shè)備端口IP地址子網(wǎng)掩碼網(wǎng)關(guān)PC0F10.1.1.2255.255.255.010.1.1.1PC1F10.1.1.3255.255.255.010.1.1.1PC2F10.1.2.2255.255.255.010.1.2.1PC3F10.1.2.3255.255.255.010.1.2.13、RouteA的配置：4、RouteB的配置： 5、在路由器A上配置標(biāo)準(zhǔn)ACL：拒絕PC3來的數(shù)據(jù)包到達(dá)左邊的網(wǎng)絡(luò)，驗(yàn)證： 6、在路由器A上配置標(biāo)準(zhǔn)ACL：拒絕PC1與外網(wǎng)的通信，而PC2可以驗(yàn)證如：四、實(shí)驗(yàn)中遇到的問題及方案： 在這個試驗(yàn)中，一開始的時候并不理解訪問控制列表