计算机网络实验指导实验14 访问控制列表（ACL）实验

原创已于 2024-06-29 18:51:32 修改 · 730 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#计算机网络 #智能路由器 #网络 #网络协议

于 2024-04-07 00:00:00 首次发布

计算机网络实验专栏收录该内容

16 篇文章

订阅专栏

实验14 访问控制列表（ACL）实验

在实验12的基础上我们可以添加ACL，可以限制访问，给予访问权限，

我们先来了解一下ACL

ACL是什么，怎么用

ACL 是 Access Control List（访问控制列表）的缩写，它是用于控制网络设备上流量流动的一种策略配置。ACL 可以应用于路由器、交换机、防火墙等网络设备上，以限制或允许特定类型的流量通过设备。ACL通常基于源 IP 地址、目标 IP 地址、协议类型、端口号等条件进行匹配，并根据匹配结果执行允许或拒绝操作。

ACL 可以分为两种类型：

1. **标准 ACL（Standard ACL）**：基于源 IP 地址进行匹配的 ACL。标准 ACL通常用于简单的访问控制，例如允许或拒绝来自特定 IP 地址范围的流量。

标识号在（1 - 99）（1300 - 1999）之间的为标准ACL

2. **扩展 ACL（Extended ACL）**：除了源 IP 地址外，还可以基于目标 IP 地址、协议类型、端口号等多种条件进行匹配的 ACL。扩展 ACL 更加灵活，可以实现更精细的流量控制。

标识号在（100 - 199 ）（2000 - 2699）为扩展ACL

ACL 可以应用于接口的入向或出向方向，控制流入或流出该接口的流量。通过合理配置 ACL，可以提高网络安全性，并优化网络性能。

标准访问控制列表（ACL，Access Control List）是一种用于控制网络流量和限制访问的规则集。在网络设备（如路由器）上配置标准ACL时，可以根据源IP地址来允许或拒绝数据包。标准ACL只能基于源IP地址进行匹配，而不能基于目标IP地址或其他参数进行匹配。

标准ACL的配置格式如下：

access-list <ACL编号> <permit | deny> <源IP地址> <反掩码>

各个参数的作用解释如下：

access-list	关键字，用于开始标准ACL的配置命令。
ACL编号	指定该ACL的编号。标准ACL的编号范围是1到99，以及1300到1999。例如，可以使用1、50、1300等。
permit \| deny	指定是允许（permit）还是拒绝（deny）匹配的数据包。
源IP地址	指定需要匹配的源IP地址。可以是单个IP地址，也可以使用“任何”（any）关键字表示所有IP地址。
反掩码	用于指定需要匹配的IP地址范围。反掩码是子网掩码的补码。例如，子网掩码为255.255.255.0时，反掩码为0.0.0.255。反掩码中的0表示必须精确匹配相应位，反掩码中的1表示相应位可以是任意值。

应用ACL到接口

 ip access-group <ACL编号> in/out

配置好标准ACL后，需要将其应用到路由器的接口上，以实际控制数据包的进出。
解释：
-将编号为10的ACL应用到FastEthernet0/0接口。

in	表示ACL应用于入站数据包（进入接口的数据包）。
out	表示ACL应用于出站数据包（出接口的数据包）。

扩展ACL的配置格式如下：

扩展访问控制列表（Extended Access Control List，ACL）用于在网络设备上创建更精细和具体的访问控制策略。相比标准ACL，扩展ACL不仅可以基于源IP地址进行过滤，还可以基于目的IP地址、协议类型、源端口和目的端口等进行过滤。以下是扩展ACL的配置格式以及各个参数的作用：

扩展ACL配置格式

access-list <ACL编号> [permit|deny] <协议类型> <源IP地址> <源反掩码> [运算符 <源端口>] <目的IP地址> <目的反掩码> [运算符 <目的端口>] [其他选项]

### 各个参数的作用

access-list <ACL编号>	定义一个ACL编号。扩展ACL的编号范围通常为100-199或2000-2699。
permit\|deny	指定是否允许（permit）或拒绝（deny）匹配该条目条件的数据包。
<协议类型>	指定要过滤的协议类型，如`ip`、`tcp`、`udp`、`icmp`等。
<源IP地址>	指定数据包的源IP地址，可以使用具体的IP地址或关键字`any`表示任意地址。
<源反掩码>	与源IP地址一起使用，定义一个IP地址范围。反掩码表示某个位是“无关位”。
[运算符 <源端口>]	可选参数，指定源端口号或范围。运算符包括`eq`（等于）、`gt`（大于）、`lt`（小于）、`range`（范围）。
<目的IP地址>	指定数据包的目的IP地址，可以使用具体的IP地址或关键字`any`表示任意地址。
<目的反掩码>	与目的IP地址一起使用，定义一个IP地址范围。反掩码表示某个位是“无关位”。
[运算符 <目的端口>]	可选参数，指定目的端口号或范围。运算符包括`eq`（等于）、`gt`（大于）、`lt`（小于）、`range`（范围）。
[其他选项]	可选参数，指定其他匹配条件或设置，如`established`（只允许已经建立的TCP连接）。