一、ACL技术

1、定义

访问控制列表访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定 义好的规则对包进行过滤，从而达到访问控制的目的。

1.1访问控制列表的原理：

入：已经到达路由器接口的数据包，但是还没有被路由器处理。

出：已经 经过路由器的处理，正要离开路由器接口的数据包

1.2匹配顺序：

“自上而下，依次匹配”。默认为拒绝

1.3访问控制列表的类型：

  • 标准访问控制列表：一般应用在out出站接口。建议配置在离目标端最近的路由上
  • 扩展访问控制列表：配置在离源端最近的路由上，一般应用在入站in方向
  • 命名访问控制列表：允许在标准和扩展访问列表中使用名称代替表号

1.4访问控制列表使用原则：

  • 1）、最小特权原则

只给受控对象完成任务所必须的最小的权限。也就是说被控制的总规则是各个规则的交集，只满足部分条件的是不容许通过规则的。

  • 2）、默认丢弃原则

在CISCO路由交换设备中默认最后一句为ACL中加入了DENY ANY ANY,也就是丢弃所有不符合条件的数据包。这一点要特别注意，虽然我们可以修改这个默认，但未改前一定要引起重视。

  • 3）、最靠近受控对象原则

所有的网络层访问权限控制。也就是说在检查规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。

  • 4）、IP 访问控制列表是一个连续的列表，至少由一个“permit（允许）”语句和一个或多个“deny（拒绝）”语句组成。
  • 5）、IP 访问控制列表用名字（name）或表号（number）标识和引用；
  • 6）、数据包只有在跟第一个判断条件不匹配时，才能被交给 ACL 中下一个条件语句进行比较；

二、 ACL的配置

1、思科的ACL分类

1）标准的acl : 范围号 1-99，标准acl应用在out出站接口。建议配置在离目标端最近的路由上2) 扩展的acl : 范围号100-199,为提高网络性能，建议将扩展acl配置在离源端最近的路由上，一般应用在入站in方向3) 命名的acl :{标准的命名acl}:{扩展的命名acl}

Router(config)#access-list ?<1-99>     IP standard access list  标准ACL<100-199>  IP extended access list  扩展ACL

2、ACL配置

  • 配置 IP 访问控制列表使用“access-list”或“ip access-lint”命令，定义一个访问控制列表；
  • access-list 命令要求只能使用表号标识列表，而 ip access-list 命令可以使用表号或者名字标识列表；
  • 在通配符掩码位中，0 表示“检查数据包的 IP 地址相对应的比特位”，1 表示“不检查（忽略）数据包中的

3、配置标准ACL

标准acl的表号范围是1-99，因此在配置标准acl时，表号的范围不能超出1-99.

为提高网络性能，将标准acl应用在out出站接口。建议配置在离目标端最近的路由上

3.1 accees-list

access-list access-list-number（1-99） [permit | deny ] [sourceaddress][wildcard-mask]
wildcard-mask:网络掩码的反码，例：255.255.0.0的反码是0.0.255.255

Router(config)# access-list 1 deny  192.168.10.1 0.0.0.0 #表示拒绝某个IP
Router(config)# access-list 10 permit 192.168.22.0 0.0.0.255 #表示允许22.0网段
Router(config)# access-list 10 deny host 192.168.1.1 #表示拒绝主机通过

3.2 ip access-list standard

ip access-list 配置默认以10开始，步长为10，需要注意acl语句的执行顺序

ip access-list 有extended(扩展）和standard（标准）可选

ip access-list standard 表名/表号
(num) permit | deny 协议+源地址+源反码
Router(config)#ip access-list  ?extended  Extended Access List  #扩展standard  Standard Access List  #标准
#配置案例如下
Router(config)#ip access-list standard acl1
Router(config-std-nacl)#permit host 192.168.1.2
Router(config-std-nacl)#permit host 192.168.1.1
Router(config-std-nacl)#deny 192.168.1.0 0.0.0.255
Router(config-std-nacl)#exit
Router(config)#int g0/0/0
Router(config-if)#ip access-group acl1 in
Router(config-std-nacl)#end
Router#show access-lists #检查配置
Standard IP access list acl110 permit host 192.168.1.2 (4 match(es))20 permit host 192.168.1.130 deny 192.168.1.0 0.0.0.255 (3 match(es))
# 注意执行顺序
可以使用在语句最前面增加一个数字来配置语句的顺序
Router(config)#ip access-list standard acl2
Router(config-std-nacl)# 1 permit host 192.168.1.1
Router(config-std-nacl)# 2 permit host 192.168.1.2  
Router(config-std-nacl)# 7 deny any#拒绝所有主机
Router(config-std-nacl)# end
Router#show access-lists 
Standard IP access list acl21 permit host 192.168.1.12 permit host 192.168.1.27 deny any
应用标准ACL至接口
Router(config-if)#ip access-group 10 in|out
Router(config-if)#ip access-group acl1 in|out
#in为入口，out为出口，在通信过后源ip与目的ip会发生翻转，因此少数情况下需要注意in|out的配置，可以将一个acl表同时配置在出口与入口

4、配置扩展ACL

扩展acl的表号范围是100-199

为提高网络性能，建议将扩展acl配置在离源端最近的路由上，一般应用在入站in方向

4.1 access-list

access-list {100-199} {permit/deny} protocol source-ip source-wildcard [operator port] destination-ip destination-wildcard [operator port] [established] [log]access-list 表号{permit | deny}协议+源地址+源反码+目的地址+目的反码+操作+端口号
其中，operator（操作）有 lt（小于）、gt（大于）、eq（等于）、neq（不等于）几种；port指的是端口号。

4.2配置案例

Router(config)#access-list 100 deny icmp any any 
#any any 第一个any表示的是源的所有主机，第二个any表示的是目的的所有主机

Router(config)#access-list 100 deny udp any any eq 134
#any any表示源与目的的所有主机

Router(config)#access-list 100 deny ip 172.16.0.0 0.0.255.255 192.168.1.0 0.0.0.255

4.3 ip access-list extended

extended表示此acl表为拓展acl表

ip access-list 配置默认以10开始，步长为10，需要注意acl语句的执行顺序。

ip access-list extended 表名/表号
(num) permit | deny 协议+源地址+源反码+目的地址+目的反码+操作+端口号

Router(config)#ip access-list extended acl1
Router(config-ext-nacl)#deny tcp any any
Router(config-ext-nacl)#permit ip any any
Router(config-ext-nacl)#do show access-list
Extended IP access list acl110 deny tcp any any20 permit ip any any

Router(config)#ip access-list extended acl1
Router(config-ext-nacl)#deny tcp any any eq 8080

可以使用在语句最前面增加一个数字来配置语句的顺序

Router(config)#ip access-list extended test
Router(config-ext-nacl)#2 permit ip host 192.168.1.1 host 192.168.1.2
Router(config-ext-nacl)#3 permit ip host 192.168.13.13 host 192.168.13.2
Router(config-ext-nacl)#1 permit ip host 192.168.8.9 host 192.168.13.2
Router(config-ext-nacl)#do show access-list
Extended IP access list test1 permit ip host 192.168.8.9 host 192.168.13.22 permit ip host 192.168.1.1 host 192.168.1.23 permit ip host 192.168.13.13 host 192.168.13.2

应用扩展acl至接口

Router(config-if)#ip access-group 100 in|out
Router(config-if)#ip access-group acl1 in|out
#in为入口，out为出口，在通信过后源ip与目的ip会发生翻转，因此少数情况下需要注意in|out的配置，可以将一个acl表同时配置在出口与入口

5、删除ACL

R1(config)#no ip access-list standard acl1
R1(config)#no ip access-list standard acl1

二、标准ACL配置案例

案例1-标准ACL的配置-access-list

网络拓扑

在这里插入图片描述

需求
PC0可以ping访问服务器PC1不可以ping访问服务器
配置
接口配置

Router>enable
Router#configure terminal 
Router(config)#hostname R1
R1(config)#int g0/0
R1(config-if)#ip address 192.168.10.254 255.255.255.0
R1(config-if)#no shutdownR1(config-if)#int g0/1
R1(config-if)#ip address 192.168.20.254 255.255.255.0
R1(config-if)#no shutdown
R1(config-if)# int g0/2
R1(config-if)#ip address 192.168.100.254 255.255.255.0
R1(config-if)#no shutdown
标准ACL的配置，配置允许，其他的默认是拒绝所有

R1(config)#access-list 10 permit 192.168.10.0 0.0.0.255
# 调用ACL，在g0/2的出接口上调用
R1(config-if)#ip access-group 10 out
抓包，pc1的数据包到g0/2口被拦截

在这里插入图片描述

案例2-标准ACL的配置-ip access-list

网络拓扑

在这里插入图片描述

需求
PC0可以ping访问服务器PC1不可以ping访问服务器
配置
接口配置

Router>enable
Router#configure terminal 
Router(config)#hostname R1
R1(config)#int g0/0
R1(config-if)#ip address 192.168.10.254 255.255.255.0
R1(config-if)#no shutdownR1(config-if)#int g0/1
R1(config-if)#ip address 192.168.20.254 255.255.255.0
R1(config-if)#no shutdown
R1(config-if)# int g0/2
R1(config-if)#ip address 192.168.100.254 255.255.255.0
R1(config-if)#no shutdown
标准ACL的配置，配置允许，其他的默认是拒绝所有

R1(config)#ip access-list standard 10
R1(config-std-nacl)#permit host 192.168.10.1
# 调用ACL，在g0/2的出接口上调用
R1(config-if)#ip access-group 10 out
抓包，pc1的数据包到g0/2口被拦截

在这里插入图片描述

案例3-标准ACL的配置

** 网络拓扑**

在这里插入图片描述

需求：
pc6不能访问服务器1 ，其他pc都可以访问服务器1
配置
- **R1配置**

R1(config)# interface g0/0
R1(config)# ip address 192.168.10.254 255.255.255.0
R1(config)# no shutdown
R1(config)# interface g0/1
R1(config)# ip address 192.168.20.254 255.255.255.0
R1(config)# no shutdown
R1(config)# access-list 10 deny host 192.168.10.1
R1(config)# access-list 10 permit 192.168.10.0 0.0.0.255
R1(config)# interface g0/0
R1(config)# ip access-group 10 in
查询命令： 
R1#show ip access-lists

三、 扩展ACL配置案例

案例1-扩展ACL配置

#### 网络拓扑

在这里插入图片描述

#### 需求允许pc1访问服务器2的www服务，但拒绝pc1访问服务器的其他服务允许pc2可以访问服务器的所有服务，没有限制#### 配置- R1的配置

Router>enable 
Router#configure terminal 
Router(config)#hostname R1
R1(config)#int g0/0
R1(config-if)#ip address 192.168.10.254 255.255.255.0
R1(config-if)#no shutdown
R1(config-if)#int g0/1
R1(config-if)#ip address 192.168.12.1 255.255.255.0
R1(config-if)#no shutdown
#静态路由配置
R1(config)#ip route 192.168.23.0 255.255.255.0 192.168.12.2
R1(config)#ip route 192.168.100.0 255.255.255.0 192.168.12.2
  - R2的配置

Router>enable 
Router#configure terminal 
Router(config)#hostname R2
R2(config)#int g0/0
R2(config-if)#ip address 192.168.12.2 255.255.255.0
R2(config-if)#no shutdown
R2(config-if)#int g0/1
R2(config-if)#ip address 192.168.23.2 255.255.255.0
R2(config-if)#no shutdown
#配置静态路由
R2(config)#ip route 192.168.10.0 255.255.255.0 192.168.12.1
R2(config)#ip route 192.168.100.0 255.255.255.0 192.168.23.3
  - R3的配置

Router>enable
Router#configure terminal 
Router(config)#int g0/0
Router(config-if)#ip address 192.168.23.3 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#int g0/1
Router(config-if)#ip address 192.168.100.254 255.255.255.0
Router(config-if)#no shutdown
#配置静态路由
Router(config)#ip route 192.168.0.0 255.255.0.0 192.168.23.2
  - 扩展ACL的配置，距离源目标较近的设备

R1(config)#access-list 100 permit tcp host 192.168.10.1 host 192.168.100.100 eq 80
R1(config)#access-list 100 deny ip host 192.168.10.1 host 192.168.100.100
R1(config)#access-list 100 permit ip 192.168.10.0 0.0.0.255 host 192.168.100.100
R1(config)#int g0/0
R1(config-if)#ip access-group 100 in

#### 验证-http服务

在这里插入图片描述

#### 验证ping，不通

在这里插入图片描述

案例2-扩展ACL配置

### 1、网络拓扑

在这里插入图片描述

### 2、需求--允许pc9访问服务器2的www服务，但拒绝pc9访问服务器2的其他服务--pc10和pc11可以访问服务器2的所有服务，没有限制###   3、配置- **R1配置**

R1(config)#interface g0/0
R1(config-if)#ip address 192.168.10.254 255.255.255.0
R1(config-if)#no shutdown
R1(config-if)#exit
R1(config)#interface g0/1
R1(config-if)#ip address 192.168.20.10 255.255.255.0
R1(config-if)#no shutdown
R1(config-if)#exit
R1(config)#router rip
R1(config-router)#no auto-summary
R1(config-router)#version 2
R1(config-router)#network 192.168.10.0
R1(config-router)#network 192.168.20.0
R1(config-router)#exit
- **R2配置**

R2(config)#interface g0/0
R2(config-if)#ip address 192.168.20.20 255.255.255.0
R2(config-if)#no shutdown
R2(config-if)#exit
R2(config)#interface g0/1
R2(config-if)#ip address 192.168.30.20 255.255.255.0
R2(config-if)#exit
R2(config)#router rip
R2(config-router)#version 2
R2(config-router)#no auto-summary
R2(config-router)#network 192.168.20.0
R2(config-router)#network 192.168.30.0

- **R3配置**

R3(config)# interface g0/1
R3(config-if)#ip address 192.168.30.10 255.255.255.0
R3(config-if)#no shutdown
R3(config-if)#exit
R3(config)#interface g0/0
R3(config-if)#ip address 192.168.40.254 255.255.255.0
R3(config-if)#no shutdown
R3(config-if)#exit
R3(config)#router rip
R3(config-router)#version 2
R3(config-router)#no auto-summary
R3(config-router)#network 192.168.30.0
R3(config-router)#network 192.168.40.0

- **扩展ACL的配置**

R1(config)#access-list 100 permit tcp host 192.168.10.1 host 192.168.40.10 eq 80R1(config)#access-list 100 deny ip host 192.168.10.1 host 192.168.40.10R1(config)#access-list 100 permit ip 192.168.10.0 0.0.0.255 host 192.168.40.10R1(config)#interface g0/0
R1(config-if)#ip access-group 100 in

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如若转载，请注明出处：http://www.pswp.cn/web/83702.shtml
繁体地址，请注明出处：http://hk.pswp.cn/web/83702.shtml
英文地址，请注明出处：http://en.pswp.cn/web/83702.shtml

如若内容造成侵权/违法违规/事实不符，请联系英文站点网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

GitHub 上 PAT 和 SSH 的 7 个主要区别：您应该选择哪一个？

GitHub 上 PAT 和 SSH 的 7 个主要区别：您应该选择哪一个？

在代码仓库和像 Github 这样的版本控制系统中，有时您需要安全高效地访问您的仓库。随着对更安全实践的需求日益增长，开发人员一直在寻找最高效、最安全的方式来与 Github 交互。为了解决这个问题，我们将探讨两种常用的方法：个人访问令牌 (PAT) 和安全 Shell (SSH) 密钥。本…
阅读更多...
Vue 事件修饰符详解

Vue 事件修饰符详解

Vue 事件修饰符详解 事件修饰符是 Vue 中处理 DOM 事件细节的强大工具。下面我将通过一个交互式示例全面解析各种事件修饰符的用法和原理。 <!DOCTYPE html> <html lang"zh-CN"> <head><meta charset"UTF-8"><meta name"…
阅读更多...
初探Qt信号与槽机制

初探Qt信号与槽机制

3.3 按键响应 - 初识信号与槽 3.3.1 信号与槽基本介绍 提出疑问&#xff0c;界面上已经有按键了&#xff0c;怎么操作才能让用户按下按键后有操作上的反应呢&#xff1f; 在 Qt 中&#xff0c; 信号和槽机制 是一种非常强大的事件通信机制。这是一个重要的概念&#xff0…
阅读更多...
Android音视频流媒体基础总结

Android音视频流媒体基础总结

流媒体开发中&#xff0c;流媒体系统的实现从数据采集、编码封装、传输分发、接收解码播放都有哪些技术和实现&#xff0c;流媒体和本地音视频又有哪些差异&#xff1f; 影像系统开发&#xff0c;流媒体方向和普通的多媒体影像系统开发有一定差异。 相同点在于图像多媒体处理…
阅读更多...
疫菌QBD案例

疫菌QBD案例

本文是《A-VAX: Applying Quality by Design to Vaccines》第七个研究的R语言解决方案。 使用带两个中心点的二水平析因设计。运行10次实验。结果是分辨度为III的设计。 A <- c(25,25,15,15,15,25,25,20,15,20) B <- c(12,8,8,12,8,12,8,10,12,10) C <- c(35,15,15…
阅读更多...
Linux部署elasticsearch 单机版

Linux部署elasticsearch 单机版

Linux部署elasticsearch 1、下载安装包 Elasticsearch 7.8.0 | Elastic 2、安装步骤 2.1、上传安装包到服务器opt目录 2.2、解压 #目录创建/opt/module cd /opt mkdir module tar -zxvf elasticsearch-7.8.0-linux-x86_64.tar.gz -C /opt/module mv elasticsearch-7.8.0 …
阅读更多...
IDEA高效快捷键指南

IDEA高效快捷键指南

1. 编辑类快捷键 编辑快捷键是最常用的一类&#xff0c;可以帮助我们快速操作代码&#xff1a; 快捷键 功能描述 Mac Windows 热度 psvm Tab 生成 main 方法 psvm Tab psvm Tab ⭐⭐⭐⭐⭐ sout Tab 生成 System.out.println() 输出语句 sout Tab sout Tab…
阅读更多...
【论文写作参考文献地址】

【论文写作参考文献地址】

参考文献地址 论文的各种参考文献地址国家哲学社会科学文献中心国家科技图书文献中心 论文的各种参考文献地址 国家哲学社会科学文献中心 资源免费!!! 整体配色就是红色&#xff0c;主页轮播有些实时新闻。 博主个人感受&#xff0c;对于计算机类的收录不是特别的充足 国家科…
阅读更多...
华为OD机考-货币单位换算-字符串（JAVA 2025B卷）

华为OD机考-货币单位换算-字符串（JAVA 2025B卷）

纯暴力解法 import java.util.*; public class ExchangeMoney {public static void main(String[] args) {Scanner scanner new Scanner(System.in);while(scanner.hasNextLine()){int count Integer.parseInt(scanner.nextLine());List<String> strings new ArrayLi…
阅读更多...
系统学习·PHP语言

系统学习·PHP语言

由于之前没系统的学习PHP语言&#xff0c;都是在做题时遇到不会的才去查&#xff0c;后来发现这样的效率非常低&#xff0c;审代码别人一眼扫出漏洞&#xff0c;而我还需要去查一下这行代码的意思&#xff0c;那个函数的作用&#xff0c;查当然要查&#xff0c;但连简单的语法都…
阅读更多...
leetcode2-两数相加

leetcode2-两数相加

leetcode 2 思路 链表特性利用&#xff1a;由于数字按逆序存储&#xff0c;个位在链表头部&#xff0c;因此可以直接从前往后遍历链表进行逐位相加 比如题目中的 2->4->3 和 5->6->4 其实可以直接按位从第一位开始往后相加&#xff0c;就得到啦708 这样比把数字…
阅读更多...
Java的Arrays.sort()：排序算法与优化分析

Java的Arrays.sort()：排序算法与优化分析

文章目录 前言一、基本类型数组&#xff1a;双轴快速排序关键优化策略 二、对象数组&#xff1a;TimSort关键优化策略 三、性能对比总结总结 前言 在Java中&#xff0c;Arrays.sort()是开发者最常用的排序方法之一。但你是否思考过它的底层实现&#xff1f;本文将基于OpenJDK …
阅读更多...
软件测试质量的“防”与“治”

软件测试质量的“防”与“治”

引言： 想象一下，你正在建造一座摩天大楼。你是愿意在打地基时就严格检查材料规格和设计图纸（主动防患），还是等到大楼封顶后才开始拿着锤子敲敲打打找裂缝（被动补救）？软件世界亦是如此！今天，我们就来聊聊软件测试这个“质量守护神”的两大战略思维和三大实战招式，让你…
阅读更多...
TDengine 如何从 2.x 迁移到 3.0

TDengine 如何从 2.x 迁移到 3.0

本节讲述如何通过 Explorer 界面创建数据迁移任务&#xff0c;从旧版 TDengine2 迁移数据到 TDengine 3.0 集群。 功能概述 taosX 通过 SQL 查询源集群数据&#xff0c;并把查询结果写入到目标数据库。具体实现上&#xff0c;taosX 以一个子表的一个时间段的数据作为查询的基…
阅读更多...
免下载苹果 IPA 文件重签名工具：快速更换应用名称和 BID的教程

免下载苹果 IPA 文件重签名工具：快速更换应用名称和 BID的教程

在iOS设备的使用和开发过程中&#xff0c;我们有时需要对IPA文件进行重签名&#xff0c;以便更换应用名称、Bundle ID&#xff08;软件包标识符&#xff09;或其他相关信息。这一过程通常需要使用到特定的工具&#xff0c;然而&#xff0c;市面上的一些工具可能需要下载和安装&…
阅读更多...
Python全栈开发：前后端分离项目架构详解

Python全栈开发：前后端分离项目架构详解

文章目录 技术栈选择后端技术栈前端技术栈 项目整体结构详细目录结构说明后端架构&#xff08;backend/&#xff09;1. 应用核心&#xff08;app/&#xff09;2. 数据层&#xff08;models/&#xff09;3. API模式层&#xff08;schemas/&#xff09;4. API路由层&#xff08;a…
阅读更多...
微信小程序使用图片实现红包雨功能

微信小程序使用图片实现红包雨功能

微信小程序红包雨功能实现&#xff1a;从组件封装到页面调用的完整实践 先看示例截图&#xff1a; 一、背景与技术选型 在微信小程序营销活动中&#xff0c;红包雨是一种极具吸引力的互动形式。实现红包雨效果主要有 Canvas 和图片两种方案&#xff1a; &#xff08;1&…
阅读更多...
Python day31

Python day31

浙大疏锦行 数据拆分的基本框架&#xff0c;拆分后让项目结构更加清晰
阅读更多...
Chapter10-XXE

Chapter10-XXE

文章目录 1.XXE介绍1.1 XXE产生的原因1.1.1 什么是XML&#xff1f;1.1.2 什么是XML实体1.1.3 什么是文档类型定义&#xff08;document type definition&#xff09;1.1.4 什么是XML自定义实体1.1.5 什么是XML外部实体 2.XXE攻击类型2.1 利用XXE检索文件2.2 利用XXE执行SSRF攻击…
阅读更多...
Ribbon负载均衡实战指南：7种策略选择与生产避坑

Ribbon负载均衡实战指南：7种策略选择与生产避坑

引言&#xff1a;客户端负载均衡的不可替代性 当面试官问你&#xff1a;“Ribbon 和 Nginx 有什么区别&#xff1f;”——Ribbon 是进程内 LB 这一句话值 20K 月薪。 作为微服务调用的核心枢纽&#xff0c;Ribbon 通过 ​​本地服务清单动态分发请求​​&#xff0c;避免中心化…
阅读更多...
最新文章

Copyright @ 2022~2023