首页 > 代码库 > cisco-router-访问控制列表ACL策略
cisco-router-访问控制列表ACL策略
（以下所有内容为本手纯手打，有纰漏的地方，也请大家多多包含可发小猪消息赐教交流！）
（本文所有内容及批注呈内收递归的架构显示，因格式显示不懂之处望谅解！）
（本文手打之，命令关键字大多使用简写，如有不明最好是键入命令时惯用tab补全！）
访问控制列表ACL-小猪详谈：
简单总结：
（接口启用应用acl后，所有acl只有应用到接口上才起作用，执行出入规则允许或拒绝，默认为丢弃！）
（包过滤技术，过滤三四层包头信息，网络层和会话层）
（标准访问控制列表，扩展访问控制列表，命名访问控制列表、动态acl-通过定义时间段-这里不做详解）
（标准和扩展都无法随意更改编辑规则，命名的则可）
（标准和扩展acl删除是只能删除真个表，而不能只删除其中的一个规则语句）
（标准acl规则一般应用到离目标地址较近的路由口上，扩展acl则一般应用在离源地址较劲的路由口上）
1、标准访问控制列表配置：
（只根据数据包的源ip地址进行执行规则允许或拒绝）
router(config)#access-list access-list-number {permit |deny } source [souce-wildcard]
access-list-number:acl表号，标准acl表号范围：1-99
permit | deny ：允许或拒绝规则命令关键字
source：数据包源ip地址，可以是网段也可以是主机地址
source-wildcard：反码（通配符掩码）
举例配置如下：
access-list 1 permit 192.168.1.0 0.0.0.255 (表示允许此网段通过）
access-list 1 deny 192.168.1.1 0.0.0.0 (表示拒绝192.168.1.1这个ip主机出入）
access-list 1 deny 0.0.0.0 255.255.255.255 (此为默认隐藏的拒绝所有语句置于每个acl最后）
access-list 1 permit host 192.168.1.100 (这里host为主机关键字，当配置单个ip时使用）
access-list 1 deny any (这里any为所有关键字，当配置针对所有ip规则时使用）
no access-list access-list-number (此为删除某个acl表）
(标准acl中，使用host命令时，可以省略）
router(config）#int f*/*
router(config-if)#ip access-group access-list-number {in | out}
(将acl策略应用到接口上使用并开始执行工作，no则取消工作）
（每个方向上只能有一个acl，每个接口最多两个acl，一个入方向，一个出方向，不可重叠）
2、扩展访问控制列表配置：
（可根据源ip、目标ip、指定协议、端口号以及标志来定义允许拒绝规则）
router(config)#access-list access-list-number {permit|deny} protocol {source source-wildcard destination destination-wildcard} [operator operan]
access-list-number :表号100-199
protocol:定义协议类型，如ip、icmp、tcp、udp
destination：目的地址，同理，后面的为目的地址的反掩码
operator operan：lt小于、gt大于、eq等于、neq不等于一个端口号,用于定义协议端口
举例配置如下：
access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
（允许192.168.1.0 访问192.168.2.0）
access-list 100 deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.1 eq 21
（拒绝192.168.1.0的主机访问192.168.2.1的ftp服务）
access-list 100 deny icmp 192.168.1.0 0.0.0.255 host 192.168.2.1 echo
（拒绝192.168.1.0的主机ping192.168.2.1的icmp请求）
no access-list access-list-number (删除已经创建的acl规则表）
router(config）#int f*/*
router(config-if)#ip access-group access-list-number {in | out}
(将acl策略应用到接口上使用并开始执行工作，no则取消工作）
3、命名访问控制列表配置：
（过滤规则允许可以在标准和扩展规则中使用名称代替表号）
router(config)#ip access-list {standard|extended} access-list-name (创建acl）
standard|extended：表示创建标准还是扩展acl关键字
access-list-name :由字母数字组成的字符串，为acl表名
举例配置如下：
router(config)#ip access-list standard test1 (创建标准命名acl表）
router(config-std-nacl)#[sequence-number] {permit|deny} source [source wildcard]
(sequence-number:此为命名acl语句在acl表中的位置序号，默认是10,20，依次类推）
(sequence-number对acl作用可随意修改编辑删除命名acl表中的任意语句）
router(conifg)#ip access-list extended test2 (创建扩展命名acl表）
router(config-ext-nacl)#[sequence-number] {permit|deny} protocol {source s-wildcard distination d-wildcard } [operator operan]
router(config-std-nacl)#no 10 (在标准命名acl子模式下，可以直接编辑删除其语句）
router(config)#no ip access-list standard test1 （删除整条acl表）
详细举例配置如下：
router(config)#ip acc stan test3
router(config-sta-nacl)#permit 192.168.1.0
router(config-sta-nacl)#deny any
router(config)#ip acc ext test4
router(config-ext-nacl)#deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.1 eq 21
router(config-ext-nacl)#15 deny ip host 192.168.1.1 host 192.168.2.1
router(config-ext-nacl)#16 permit any any
router(config）#int f*/*
router(config-if)#ip access-group access-list-number {in | out}
(将acl策略应用到接口上使用并开始执行工作，no则取消工作）
举例配置如下：
router(config)#int f0/0
router(config-if)#ip access-g test1 in
router(config-if)#ip access-g test2 out
(以上为cisco路由设备上acl的整体配置，到此结束，需要多练，应多了解不同规则策略！下期小猪将给大家整理cisco-sw-三层交换-VLAN间路由协议，敬请关注！）
本文出自 “乡野小猪” 博客，请务必保留此出处http://8873146.blog.51cto.com/8863146/1585320
cisco-router-访问控制列表ACL策略