思科之acl访问控制协议.ppt

*,*,单击此处编辑母版标题样式,*,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,访问控制列表（,ACL,）,主要内容,一、,ACL,的基本原理,二、,ACL,的应用,一、,ACL,的基本原理,1,、什么是,ACL,2,、,ACL,是如何工作的,3,、创建,ACL,4,、通配符掩码的作用,5,、验证,ACL,1,、什么是,ACL,ACL,是应用在路由器端口上的一个列表，用于告诉路由器允许或禁止哪些流量通过。,ACL,是一个连续的允许和拒绝语句的集合，关系到地址和上层协议。,ACL,是应用在路由器接口的指令列表，这些指令告诉路由器哪些分组需要拒绝，哪些分组可以接收。拒绝和接收基于一定的条件。,任何经过应用了,ACL,的接口的流量都要接受,ACL,中条件的检测。,ACL,适用于所有的路由协议。,路由器基于,ACL,中指定的条件来决定转发还是丢弃分组。,ACL,不能对本路由器产生的数据包进行控制。,2,、,ACL,是如何工作的,ACL,是一组语句，定义了分组的下列行为：,1,、进入入站路由器接口,2,、通过路由器转发,3,、流出出站路由器接口,ACL,语句按照逻辑次序顺序执行。如果与某个条件语句相匹配，则不再检查剩下的语句；如果都不匹配，则强加一条拒绝全部流量的暗含语句。（缺省情况下拒绝所有的流量）,ACL,的匹配性检查,ACL,语句能够实现：,1,、筛选出某些主机，允许或者拒绝它们访问你的网络的某一部分；,2,、允许或拒绝用户访问某种类型的应用，例如,FTP,或,HTTP,等。,3,、创建,ACL,第一步：在全局配置模式下创建,ACL,标准,ACL,（,ACL,号码在,199,之间）,扩展,ACL,（,ACL,号码在,100199,之间）,第二步：把,ACL,应用到某一个接口（出站接口或者入站接口）,4,、通配符掩码的作用,通配符掩码是一个,32,比特的数字字符串，用点号分成,4,个,8,位组，每个,8,位组包含,8,个比特。,在通配符掩码位中，,0,表示检查相应的位，,1,表示忽略相应的位。,通配符掩码跟,IP,地址是成对出现的。在通配符掩码的地址位使用,1,或,0,表明如何处理相应的,IP,地址位。,ACl,通配符掩码跟,IP,子网掩码的工作原理不同。,通配符掩码位的匹配,通配符,any,加入在,ACL,中允许访问任何目的地址时，使用通配符掩码表示为：,0.0.0.0 255.255.255.255,简便地，可以使用通配符,any,替代，例如：,access-list 1 permit 0.0.0.0 255.255.255.255,access-list 1 permit any,通配符,host,在,ACL,中想要与整个,IP,主机地址的所有位相匹配时，使用通配符掩码表示为：,202.207.208.8 0.0.0.0,简便地，可以使用通配符,host,替代，例如：,access-list 1 permit 202.207.208.8 0.0.0.0,access-list 1 permit host 202.207.208.8,5,、验证,ACL,使用如下命令验证：,show,ip,interface,查看端口是否应用了,acl,show access-lists,查看路由器的所有,acl,show running-,config,查看所有的运行配置信息，包括,acl,的配置。,二、,ACL,的应用,1,、,ACL,表号,2,、标准,ACL,3,、扩展,ACL,4,、命名,ACL,5,、,ACL,的放置,6,、防火墙,7,、用,ACL,限制,telnet,访问,1,、,ACL,表号,Cisco,的,IOS,为不同的协议分配了,ACL,表号，见下表：,2,、标准,ACL,标准,ACL,检查可以被路由的,IP,分组的源地址并且把它与,ACL,中的条件判断语句相比较。如果匹配，则执行允许（,permit,）或拒绝（,deny,）的操作。,标准,ACL,可以基于网络、子网或主机,IP,地址允许或拒绝整个协议组（如,IP,）。,标准,ACL,在全局配置模式下使用命令,access-list,来定义，并分配,1-99,之间的一个数字编号。,将定义好的,ACL,应用到接口,定义,ACL,in,和,out,参数可以控制接口中不同方向的数据包，如果不配置该参数，缺省为,out,。,标准,ACL,举例,定义,ACL,：,access-list 1 deny 172.16.1.1,access-list 1 permit 172.16.1.0 0.0.0.255,access-list 1 deny 172.16.1.1 0.0.255.255,access-list 1 permit 172.16.1.1.0.255.255.255,应用到接口：,ip,access-group 1 in,ip,access-group 1 out,我们采用如图所示的网络结构。路由器连接了二个网段，分别为,172.16.4.0/24,172.16.3.0/24,。在,172.16.4.0/24,网段中有一台服务器提供,WWW,服务，,IP,地址为,172.16.4.13,。,配置任务：禁止,172.16.4.0/24,网段中除,172.16.4.13,这台计算机访问,172.16.3.0/24,的计算机。,172.16.4.13,可以正常访问,172.16.3.0/24,。,路由器配置命令,access-list 1 permit host 172.16.4.13,设置,ACL,，容许,172.16.4.13,的数据包通过。,access-list 1 deny any,设置,ACL,，阻止其他一切,IP,地址进行通讯传输。,int,e 1,进入,E1,端口。,ip,access-group 1 in,将,ACL 1,宣告。,经过设置后,E1,端口就只容许来自,172.16.4.13,这个,IP,地址的数据包传输出去了。来自其他,IP,地址的数据包都无法通过,E1,传输。,另外在路由器连接网络不多的情况下也可以在,E0,端口使用,ip,access-group 1 out,命令来宣告，宣告结果和上面最后两句命令效果一样。,3,、扩展,ACL,扩展,ACL,提供更大的灵活性和控制范围，它既可以检查分组的源地址和目的地址，也可以检查协议类型和,TCP,或,UDP,的端口号。,标准,ACL,只能允许或者拒绝整个协议集，但扩展,ACL,可以允许或拒绝协议集中的某些协议，例如允许,http,而拒绝,ftp,。,扩展,ACL,编号使用,100-199,。,access-list 101 deny,tcp,any host 192.168.1.1,eq,www,这句命令是将所有主机访问,192.168.1.1,这个地址网页服务（,WWW,）,TCP,连接的数据包丢弃。,扩展,ACL,举例,我们采用如图所示的网络结构。路由器连接了二个网段，分别为,172.16.4.0/24,172.16.3.0/24,。在,172.16.4.0/24,网段中有一台服务器提供,WWW,服务，,IP,地址为,172.16.4.13,。,配置任务：禁止,172.16.3.0,的计算机访问,172.16.4.0,的计算机，包括那台服务器，不过惟独可以访问,172.16.4.13,上的,WWW,服务，而其他服务不能访问。,access-list 101 permit,tcp,any 172.16.4.13 0.0.0.0,eq,www,设置,ACL101,，容许源地址为任意,IP,，目的地址为,172.16.4.13,主机的,80,端口即,WWW,服务。由于,CISCO,默认添加,DENY ANY,的命令，所以,ACL,只写此一句即可。,int,e1,进入,E1,端口,ip,access-group 101 out,将,ACL101,宣告出去,设置完毕后,172.16.3.0,的计算机就无法访问,172.16.4.0,的计算机了，就算是服务器,172.16.4.13,开启了,FTP,服务也无法访问，惟独可以访问的就是,172.16.4.13,的,WWW,服务了。而,172.16.4.0,的计算机访问,172.16.3.0,的计算机没有任何问题。,扩展,ACL,有一个最大的好处就是可以保护服务器，例如很多服务器为了更好的提供服务都是暴露在公网上的，这时为了保证服务正常提供所有端口都对外界开放，很容易招来黑客和病毒的攻击，通过扩展,ACL,可以将除了服务端口以外的其他端口都封锁掉，降低了被攻击的机率。如本例就是仅仅将,80,端口对外界开放。,不过它存在一个缺点，那就是在没有硬件,ACL,加速的情况下，扩展,ACL,会消耗大量的路由器,CPU,资源。所以当使用中低档路由器时应尽量减少扩展,ACL,的条目数，将其简化为标准,ACL,或将多条扩展,ACL,合一是最有效的方法。,4,、命名,ACL,不管是标准访问控制列表还是扩展访问控制列表都有一个弊端，那就是当设置好,ACL,的规则后发现其中的某条有问题，希望进行修改或删除的话只能将全部,ACL,信息都删除。也就是说修改一条或删除一条都会影响到整个,ACL,列表。这一个缺点影响了我们的工作，为我们带来了繁重的负担。不过我们可以用基于名称的访问控制列表来解决这个问题。,ip,access-list,standard|extended,ACL,名称,例如：,ip,access-list standard softer,建立了一个名为,softer,的标准访问控制列表。,当我们建立了一个基于名称的访问列表后就可以进入到这个,ACL,中进行配置了。,例如我们添加三条,ACL,规则,permit 1.1.1.1 0.0.0.0 permit 2.2.2.2 0.0.0.0 permit 3.3.3.3 0.0.0.0,什么时候使用基于名称的访问控制列表？,如果设置,ACL,的规则比较多的话，应该使用基于名称的访问控制列表进行管理，这样可以减轻很多后期维护的工作，方便我们随时进行调整,ACL,规则。,5,、,ACL,的放置,ACL,通过过滤数据包并且丢弃不希望抵达目的地的数据包来控制通信流量。然而，网络能否有效地减少不必要的通信流量，这还要取决于网络管理员把,ACL,放置在哪个地方。,根据减少不必要通信流量的通行准则，网管员应该尽可能地把,ACL,放置在靠近被拒绝的通信流量的来源处。,1,2,3,4,假设在图所示的一个运行,TCP/IP,协议的网络环境中，网络只想拒绝从,RouterA,的,fa0/1,接口连接的网络到,RouterD,的,fa0/0,接口连接的网络的访问，即禁止从网络,1,到网络,4,的访问。,如果网管员使用标准,ACL,来进行网络流量限制，因为标准,ACL,只能检查源,IP,地址，所以实际执行情况为：,凡是检查到源,IP,地址和网络,1,匹配的数据包将会被丢掉，即网络,1,到网络,2,、网络,3,和网络,4,的访问都将被禁止。,由此可见，这个,ACL,控制方法不能达到网管员的目的。同理，将,ACL,放在,RouterB,和,RouterC,上也存在同样的问题。只有将,ACL,放在连接目标网络的,RouterD,上，网络才能准确实现网管员的目标。,由此可以得出一个结论,:,标准,ACL,要尽量靠近目的端。,网管员如果使用扩展,ACL,来进行上述控制，则完全可以把,ACL,放在,RouterA,上，因为扩展,ACL,能控制源地址（网络,1,），也能控制目的地址（网络,2,），这样从网络,1,到网络,2,访问的数据包在,RouterA,上就被丢弃，不会传到,RouterB,、,RouterC,和,RouterD,上，从而减少不必要的网络流量。,因此，我们可以得出另一个结论：扩展,ACL,要尽量靠近源端。,6,、用,ACL,限制,telnet,访问,通常使用标准,ACL,来限制对路由器的,telnet,访问。,