一，访问控制列表简介

ACL-访问控制列表

作用：读取第三层第四层的头部信息，根据预先定义好的规则对流量进行筛选过滤

三层头部信息：源目ip

四层头部信息：源目端口号，TCP/UDP协议

访问控制列表的调用方向：

入：流量将要进入本地路由器，将被本地路由器处理

出：已经被本地路由器处理过了，流量将离开本地路由器

策略做好后在入接口调用和出接口调用的区别：

入接口调用的话：是对本地路由器生效

出接口调用的话：对本地路由器不生效，流量将在数据转发的下一台路由器生效

访问控制列表的处理原则：

1）路由条目只会被匹配一次

2）路由条目在ACL控制列表中匹配的顺序是自上而下

3）ACL访问控制列表隐含一个拒绝所有

4）ACL访问控制列表至少要放行一条路由条目

二，访问控制列表的类型

1，标准访问控制列表

只能基于源ip地址进行过滤

标准访问控制列表的列表号是2000-2999

调用原则：靠近目标

2，扩展访问控制列表

可以根据源目ip地址，TCP/UDP协议，源目端口号进行过滤

相比较标准访问控制列表扩展访问控制列表流量控制的更加精准

扩展访问控制列表的列表号是3000-3999

调用原则：靠近源

三，ACL访问控制列表的配置

配置创建一个拓扑更好的理解

?配置命令

sw1设置
[sw1]vlan bat 10 20 创建vlan10 20
[sw1]int e0/0/1 进入接口
[sw1-Ethernet0/0/1]port link-ty acc 接口链路类型设为access
[sw1-Ethernet0/0/1]port def vlan 10 接口划分进vlan10
[sw1-Ethernet0/0/1]int e0/0/2 进入接口
[sw1-Ethernet0/0/2]port link-ty acc 接口链路类型设为access
[sw1-Ethernet0/0/2]port def vlan 20 接口划分进vlan20
[sw1-Ethernet0/0/2]int e0/0/3 进入接口
[sw1-Ethernet0/0/3]port link-ty acc 接口链路类型设为access
[sw1-Ethernet0/0/3]port def vlan 10 接口划分进vlan10
[sw1-Ethernet0/0/3]int e0/0/4 进入接口
[sw1-Ethernet0/0/4]port link-ty acc 接口链路类型设为access
[sw1-Ethernet0/0/4]port def vlan 20 接口划分进vlan20
[sw1-Ethernet0/0/4]int g0/0/1 进入接口
[sw1-GigabitEthernet0/0/1]port link-ty trunk 接口链路类型设为 ?? ?
[sw1-GigabitEthernet0/0/1]port trunk allow-pass vlan all 放行所有vlan
r1设置
[r1-ui-console0]int g0/0/0 进入接口
[r1-GigabitEthernet0/0/0]undo shut开启接口
[r1-GigabitEthernet0/0/0]int g0/0/0.1进入子接口1
[r1-GigabitEthernet0/0/0.1]dot1q termination vid 10 封装方式802.1q 接口划分进vlan10
[r1-GigabitEthernet0/0/0.1]ip add 192.168.10.1 24 设置ip和子网掩码长度?? ??? ?
[r1-GigabitEthernet0/0/0.1]arp broadcast enable 开启arp广播功能
[r1-GigabitEthernet0/0/0.1]int g0/0/0.2?? ?进入子接口2
[r1-GigabitEthernet0/0/0.2]dot1q termination vid 20 封装方式802.1q接口划分进vlan20
[r1-GigabitEthernet0/0/0.2]ip add 192.168.20.1 24设置ip和子网掩码长度?? ??? ?
[r1-GigabitEthernet0/0/0.2]arp broadcast enable 开启arp广播功能
[r1-GigabitEthernet0/0/0.2]int g0/0/1 进入接口
[r1-GigabitEthernet0/0/1]undo shut 开启接口
[r1-GigabitEthernet0/0/1]ip add 12.1.1.1 24 设置ip和子网掩码长度
添加默认路由目的网段0.0.0.0子网掩码长度0下一跳入接口12.1.1.2?? ?
[r1]ip route-static 0.0.0.0 0 12.1.1.2?
[r1]acl 2000 创建标准访问控制列表ACL2000
拒绝192.168.10.0网段路由条目
[r1-acl-basic-2000]rule deny source 192.168.10.0 0.0.0.255?? ?
[r1-acl-basic-2000]rule permit source any 放行其他路由条目
[r1-acl-basic-2000]int g0/0/0.2 进入子接口2
标准访问控制列表在出接口调用?? ?
[r1-GigabitEthernet0/0/0.2]traffic-filter outbound acl 2000?
[r1]acl 3000 创建扩展访问控制列表ACL3000
禁止192.168.10.10访问202.10.100.100ftp服务
[r1-acl-adv-3000]rule deny tcp source 192.168.10.10 0 destination 202.10.100.100
?0 destination-port eq 21
放行其他客户机访问ftp服务
[r1-acl-adv-3000]rule permit tcp source any destination-port eq 21
放行其他客户机网络流量?? ?
[r1-acl-adv-3000]rule permit ip source any destination any
[r1-acl-adv-3000]int g0/0/0.1 进入子接口1
扩展访问控制列表在入接口调用
[r1-GigabitEthernet0/0/0.1]traffic-filter inbound acl 3000
r2设置
[r2-ui-console0]int g0/0/0 进入接口
[r2-GigabitEthernet0/0/0]undo shut 开启接口
[r2-GigabitEthernet0/0/0]ip add 12.1.1.2 24 设置ip和子网掩码长度
[r2-GigabitEthernet0/0/0]int g0/0/1 进入接口
[r2-GigabitEthernet0/0/1]undo shut 开启接口
[r2-GigabitEthernet0/0/1]ip add 202.10.100.2 24 设置ip和子网掩码长度?? ?
添加默认路由目的网段0.0.0.0子网掩码长度0下一跳入接口ip12.1.1.1
[r2]ip route-static 0.0.0.0 0 12.1.1.1
client设置
client1:192.168.10.10/网关192.168.10.1设置客户机1ip子网掩码长度网关指向192.168.10.1
client2:192.168.20.10/网关192.168.20.1设置客户机2ip子网掩码长度网关指向192.168.20.1
client3:192.168.10.20/网关192.168.10.1设置客户机3ip子网掩码长度网关指向192.168.10.1
client4:192.168.20.20/网关192.168.20.1设置客户机4ip子网掩码长度网关指向192.168.20.1
server设置
202.10.100.100/24网关202.10.100.2 设置服务器ip和子网掩码长度网关指向20.10.100.2
服务器开启ftp服务
测试client1pingclient2，client3，client4
client2pingclient3，client4
client3pingclient4
client1，client2，client3，client4登录服务器ftp