ACL理论+LAB

一、ACL分类：

标准ACL：表号1~99

基于源IP地址控制数据包。

扩展ACL：表号100~199

基于源IP地址，目的IP地址，端口号，协议类型。

 

二、ACL规则：

1、ACL从上往下匹配。

2、每一个ACL列表都有一条默认deny any的语句。

3、ACL中把具体的表号放在最前面。

4、ACL表中至少需要有一条permit语句。

5、标准ACL放在离目的近的地方，扩展ACL放在离源近的地方。

6、每一个接口的一个方向只应用一个ACL列表。

 

三、实验

需求一：只允许R3和R1通信，不允许R4和R1通信。

需求二：允许R3可以telnet R1&R3不允许ping通过R1；不允许R4 telnet R2&允许R4ping通过R1。

需求一解法：

命令配置：
R2
创建方法一：
access-list 1 deny host 24.1.1.4 #创建拒绝源地址为R4数据包的标准ACL列表。
access-list 1 permit any #创建允许其他（any）的访问，包括R1的标准ACL列表。
!
调用：
interface Serial1/0
 ip address 12.1.1.2 255.255.255.0
 ip access-group 1 out #调用标准访问控制列表1
!
删除：
R2(config)#no access-list 1 #删除标准ACL列表。
!
创建方法二：
ip access-list standard ccna #创建命名式ACL。
deny host 24.1.1.4
permit any
!
R2(config)#no ip access-list standard ccna #删除标准ACL列表。
!

调用：
interface Serial1/0
 ip address 12.1.1.2 255.255.255.0
 ip access-group ccna out #调用标准访问控制列表ccna

 　

配置命令检查：
R2#show ip access-lists 
Standard IP access list ccna
10 deny 24.1.1.4
20 permit any

　　 

验证：
R3(config-if)#do ping 12.1.1.1 #允许R3访问R1

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 12.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 20/34/64 ms
------------------------------------------------------------------------------------------------
R4(config-if)#do ping 24.1.1.1 #禁止R4访问R1

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 24.1.1.1, timeout is 2 seconds:
UUUUU
------------------------------------------------------------------------------------------------
R2#show ip access-lists 
Standard IP access list 1
    10 deny   24.1.1.4 (10 matches) #有match的匹配值，证明acl有数据包匹配。
    20 permit any (5 matches)

需求二解法：

命令配置：
R2
ip access-list extended ccna
 deny   icmp host 23.1.1.3 host 12.1.1.1 
 deny   tcp host 24.1.1.4 host 12.1.1.1 eq telnet
 permit ip any any
!
  interface Serial1/0
   ip access-group ccna out

验证：
R3#ping 12.1.1.1

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 12.1.1.1, timeout is 2 seconds:
UUUUU
Success rate is 0 percent (0/5)
！
R3#telnet 12.1.1.1
Trying 12.1.1.1 ... Open


User Access Verification

Password: 
------------------------------------------------------------------------------------
R4#ping 12.1.1.1

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 12.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 16/35/56 ms
！
R4#telnet 12.1.1.1
Trying 12.1.1.1 ... 
% Destination unreachable; gateway or host down