1 学习访问控制列表命令的使用

例1 为名称为“主楼13”的交换机进行端口配置

命令如下：

ZL13#>config t（回车） ：进入特权模式

ZL13 config#>interface fastEthernet 0/1（回车） ：进入交换机1号端口（百兆端口） ZL13 config#> switchport port-security（回车） ：安全

ZL13 config#>exit（回车） ：退出交换机1号端口

ZL13 config#>inter g 0/2（回车） ：进入交换机2号端口（百兆端口）

例2：假定客户划分了Vlan 3和Vlan 5两个虚网,IP地址段分别是192.168.3.0/24和192.168.5.0/24,如下面针对Vlan3配置了名为”test”的ACL,使得其他网段的机器只能通过ICMP访问Vlan3.比如只能Ping通Vlan3的机器,但是无法正常访问.

命令如下：

console(config)#access-list test permit icmp any 192.168.3.0 0.0.0.255

console(config)#access-list test permit icmp 192.168.3.0 0.0.0.255 any

console(config)#interface vlan 3

console(config-if-vlan3)#ip access-group test

例3 上例中，如果仅仅只能允许Vlan5的机器访问Vlan3:

命令如下：

console(config)#access-list test permit ip 192.168.5.0 0.0.0.255 192.168.3.0 0.0 .0.255(仅仅配置这一条规则,Vlan3和Vlan5是不能通信的)

console(config)#access-list test permit ip 192.168.3.0 0.0.0.255 192.168.5.0 0.0 .0.255(加上这一条规则,允许返回的数据包,这样才能实现Vlan3和Vlan5的通信)

例4例2中，

绑定IP地址和MAC地址

Arp 192.168.100.1 01-02-03-04-05-06-07 arpa

2 赵旭老师讲解关于telnet控制交换机的使用 telnet 172.16.251.249(回车) ：连接到目标交换机

username:输入用户名(回车)

password:输入密码(回车)

xxxxxxx>enable(回车) ：进入特权模式

password: 输入密码(回车) ：输入特权模式的密码

xxxxxxx#config(回车) ：进入配置模式

xxxxxxx(config)#show interface GigabitEthernet 0/1 ：查看1号端口的信息

判断：如果信息中含有“shutdown”， ：1号端口是关闭状态

xxxxxxx(config)# interface GigabitEthernet 0/1 ：进入1号端口

no shutdown ：打开1号端口

switchport port-security ip-address 219.217.251.122 ：端口和IP地址绑定 xxxxxxx(config)# exit(回车) ：退出端口

xxxxxxx(config)# wr(回车) ：使以上配置生效

第二篇：访问控制列表(ACL)总结

个人资料 严禁复制

访问控制列表（ACL）总结

一、什么是ACL？

访问控制列表简称为ACL，访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持了。

二、访问控制列表使用原则

由于ACL涉及的配置命令很灵活，功能也很强大，所以我们不能只通过一个小小的例子就完全掌握全部ACL的配置。在介绍例子前为大家将ACL设置原则罗列出来，方便各位读者更好的消化ACL知识。

1、最小特权原则

只给受控对象完成任务所必须的最小的权限。集，只满足部分条件的是不容许通过规则的。

2、最靠近受控对象原则

所有的网络层访问权限控制。中一条条检ACL

3、默认丢弃原则

在CISCO，也就是丢弃所有不符合条件的数据包。但未改前一定要引起重视。

由于ACL部分信息，无法识别到应用内部的权限级别等。因此，制结合使用。

三、标准访问列表

ACL。其中最简单的就是标准访包中的源IP地址进行过滤，使用的访问控制列表号1ACL

不同场合应用不同种类的ACL。其中最简单的就是标准访包中的源IP地址进行过滤，使用的访问控制列表号1到99ACL

access-list ACL号 permit|deny host ip地址

例：access-list 10 deny host 192.168.1.1这句命令是将所有来自192.168.1.1地址的数据包丢弃。

当然我们也可以用网段来表示，对某个网段进行过滤。命令如下：access-list 10 deny 192.168.1.0 0.0.0.255

通过上面的配置将来自192.168.1.0/24的所有计算机数据包进行过滤丢弃。为什么后头的子网掩码表示的是0.0.0.255呢？这是因为CISCO规定在ACL中用反向掩玛表示子网掩码，反向掩码为0.0.0.255的代表他的子网掩码为255.255.255.0。

注：对于标准访问控制列表来说，默认的命令是HOST，也就是说access-list 10 deny 192.168.1.1表示的是拒绝192.168.1.1这台主机数据包通讯，可以省去我们输入host命令。

标准访问控制列表实例一：

个人资料 严禁复制

我们采用如图所示网络结构。路由器连接二个网段，分别为24。在172.16.4.0/24网段中有一台服务器提供WWW服务，IP

实例1：禁止172.16.4.0/24网段中除172.16.4.13机。172.16.4.13可以正常访问172.16.3.0/24。

路由器配置命令：

access-list 1 permit host 172.16.4.13 设置ACL

access-list 1 deny any 设置ACL

int e 1 进入E1端口。

ip access-group 1 in 将ACL 1宣告。

经过设置后E1这个来自其他IPE1

注：由于CISCO默认添加了的语句在每个ACLaccess-list 1 deny any这句命E0ip access-group 1 out命令来宣告，

172.16.3.0/24网段的访问，而172.16.4.0/24

设置ACL，禁止172.16.4.13的数据包通过

ACL，容许其他地址的计算机进行通讯

int e 1 端口

将ACL1宣告，同理可以进入E0端口后使用ip access-group 1 out来完成宣告。

配置完毕后除了172.16.4.13其他IP地址都可以通过路由器正常通讯，传输数据包。 总结：标准ACL占用路由器资源很少，是一种最基本最简单的访问控制列表格式。应用比较广泛，经常在要求控制级别较低的情况下使用。如果要更加复杂的控制数据包的传输就需要使用扩展访问控制列表了，他可以满足我们到端口级的要求。

四、扩展访问控制列表

上面提到的标准访问控制列表是基于IP地址进行过滤的，是最简单的ACL。如果我们希望将过滤细到端口怎么办？或者希望对数据包的目的地址进行过滤。这时候就需要使用扩展访问控制列表了。使用扩展IP访问列表可以有效的容许用户访问物理LAN而并不容许他使用某个特定服务（例如 WWW，FTP等）。扩展访问控制列表使用的ACL号为101到199。

个人资料 严禁复制

扩展访问控制列表的格式：

access-list ACL标号 [permit|deny] [协议] [定义过滤源主机范围] [定义过滤源端口] [定义过滤目的主机访问] [定义过滤目的端口]

例：access-list 101 deny tcp any host 192.168.1.1 eq www这句命令是将所有主机访问192.168.1.1这个地址网页服务（WWW）TCP连接的数据包丢弃。

注：同样在扩展访问控制列表中也可以定义过滤某个网段，当然和标准访问控制列表一样需要我们使用反向掩码定义IP地址后的子网掩码。

扩展访问控制列表实例：

我们采用如图所示网络结构。路由器连接二个网段，分别为172.16.4.0/24,172.16.3.0/24。在172.16.4.0/24网段中有一台服务器提供WWW服务，IP地址为172.16.4.13。

配置任务：禁止172.16.3.0的计算机访问172.16.4.0惟独可以访问172.16.4.13上的WWW服务，而其他服务不能访问。

路由器配置命令：

access-list 101 permit tcp any 172.16.4.13 0.0.0.0 eq www 意IP，目的地址为172.16.4.13主机的80端口即WWW服务。的命令，所以ACL只写此一句即可。

int e 1 进入E1端口

ip access-group 101 out 将ACL101

设置完毕后172.16.3.0172.16.4.13开启了FTP的WWW服务了。而172.16.4.0的计算机访问172.16.3.0

扩展ACL都是暴露在公网上的，很容易招来黑客和病毒的攻击，通过扩展ACL降低了被攻击的机率。如本例就是仅仅将

总结：扩展ACLIP，目的IP，源端口，目的端口等，能实ACLIP/ 目的地址，还要读取第四层包头IPACL加速的情况下，扩展ACL 资源。所以当使用中低档路由器时应尽量减少扩展ACL或将多条扩展ACL合一是最有效的方法。

ACL希望进行修改或删除的话只能将全部ACL信息都删除。也ACL列表。这一个缺点影响了我们的工作，为我们带来了繁重的负担。不过我们可以用基于名称的访问控制列表来解决这个问题。

一、基于名称的访问控制列表的格式：

ip access-list [standard|extended] [ACL名称]

例如：ip access-list standard softer就建立了一个名为softer的标准访问控制列表。

二、基于名称的访问控制列表的使用方法：

当我们建立了一个基于名称的访问列表后就可以进入到这个ACL中进行配置了。

例如我们添加三条ACL规则

permit 1.1.1.1 0.0.0.0

permit 2.2.2.2 0.0.0.0

permit 3.3.3.3 0.0.0.0

个人资料 严禁复制

如果我们发现第二条命令应该是2.2.2.1而不是2.2.2.2，如果使用不是基于名称的访问控制列表的话，使用no permit 2.2.2.2 0.0.0.0后整个ACL信息都会被删除掉。正是因为使用了基于名称的访问控制列表，我们使用no permit 2.2.2.2 0.0.0.0后第一条和第三条指令依然存在。

总结：如果设置ACL的规则比较多的话，应该使用基于名称的访问控制列表进行管理，这样可以减轻很多后期维护的工作，方便我们随时进行调整ACL规则。

六、反向访问控制列表：

我们使用访问控制列表除了合理管理网络访问以外还有一个更重要的方面，那就是防范病毒，我们可以将平时常见病毒传播使用的端口进行过滤，将使用这些端口的数据包丢弃。这样就可以有效的防范病毒的攻击。

毕竟未知病毒使用的端口是我们无法估计的，多，在一定程度上影响了网络访问的速度。题。

反向访问控制列表的用途及格式：

一、反向访问控制列表的用途

反向访问控制列表属于ACLACL可以保证AB两个网段的计算机互相PING，AB而通A。

求和数据，ACL控制的就是上面提到的连接请求。

二、反向访问控制列表的格式：

established

分别为172.16.4.0/24,172.16.3.0/24。在172.16.4.0/24ACL设置保护这些服务器免受来自172.16.3.0

24172.16.4.0/24这个服务器网段。 定义

ACL101网段的计算机访问172.16.4.0网段中的计算机，前提是TCP172.16.3.0访问172.16.4.0的。

int e 1 端口

将ACL101宣告出去

设置完毕后病毒就不会轻易的从172.16.3.0传播到172.16.4.0的服务器区了。因为病毒要想传播都是主动进行TCP连接的，由于路由器上采用反向ACL禁止了172.16.3.0网段的TCP主动连接，因此病毒无法顺利传播。

注：检验反向ACL是否顺利配置的一个简单方法就是拿172.16.4.0里的一台服务器PING在172.16.3.0中的计算机，如果可以PING通的话再用172.16.3.0那台计算机PING172.16.4.0的服务器，PING不通则说明ACL配置成功。

通过上文配置的反向ACL会出现一个问题，那就是172.16.3.0的计算机不能访问服务器的服务了，假如图中172.16.4.13提供了 WWW服务的话也不能正常访问。解决的方法是在ESTABLISHED那句前头再添加一个扩展ACL规则，例如：access-list 101 permit tcp 172.16.3.0 0.0.0.255 172.16.4.13 0.0.0.0 eq www

个人资料 严禁复制

这样根据“最靠近受控对象原则”即在检查ACL规则时采用自上而下在ACL中一条条检测，只要发现符合条件就立刻处理，而不继续检测下面的ACL语句。172.16.3.0的计算机就可以正常访问该服务器的WWW服务了，而下面的ESTABLISHED防病毒命令还可以正常生效。

七、基于时间的访问控制列表

上面我们介绍了标准ACL与扩展ACL，实际上我们掌握了这两种访问控制列表就可以应付大部分过滤网络数据包的要求了。不过实际工作中总会有人提出这样或那样的苛刻要求，这时我们还需要掌握一些关于ACL的高级技巧。基于时间的访问控制列表就属于高级技巧之一。

配置实例：

要想使基于时间的ACL生效需要我们配置两方面的命令：

1、定义时间段及时间范围。

2、ACL自身的配置，即将详细的规则添加到ACL中。

3、宣告ACL，将设置好的ACL添加到相应的端口中。

网络环境介绍： 我们采用如图所示网络结构。路由器连接二个网段，。在172.16.4.0/24网段中有一台服务器提供FTP。

配置任务：只容许172.16.3.0FTP工作时间不能下载该FTP资源。

路由器配置命令：

time-range softer periodic weekend 00:00 to 23:59 6，日）的0点到23点59分。当然可以使用

设置ACL，禁止在时间段softer范围内访问的FTP

int e 1 进入E1宣告通过上面的设置172.16.3.0的用户就只能在

俗话说知己知彼方能百战百胜，所以有下面这篇文章就为方法就是在扩展ACL规则最后加上LOG命令。

实现方法：

log 192.168.1.1 为路由器指定一个日志服务器地址，该地址为192.168.1.1

access-list 101 permit tcp any 172.16.4.13 0.0.0.0 eq www log 在希望监测的扩展ACL最后加上LOG命令，这样就会把满足该条件的信息保存到指定的日志服务器192.168.1.1中。

注：如果在扩展ACL最后加上log-input，则不仅会保存流量信息，还会将数据包通过的端口信息也进行保存。

使用LOG记录了满足访问控制列表规则的数据流量就可以完整的查询公司网络哪个地方流量大，哪个地方有病毒了。简单的一句命令就完成了很多专业工具才能完成的工作。

柯木

20xx年x月x日星期六