访问控制列表---传输层&网络层

访问控制列表概述

访问控制列表（ACL）作用：
读取第三层网络层、第四层包头信息
根据预先定义好的规则对包进行过滤
访问控制列表的处理过程：
如果匹配第一条规则，则不再往下检查，路由器将决定该数据包允许通过或拒绝通过。
如果不匹配第一条规则，则依次往下检查，直到有任何一条规则匹配。
如果最后没有任何一条规则匹配，则路由器根据默认的规则将丢弃该数据包。
访问控制列表的类型：
标准访问控制列表
基于源IP地址过滤数据包 
列表号是1～99 
扩展访问控制列表
基于源IP地址、目的IP地址、指定协议、端口等来过滤数据包 
列表号是100～199 
标准访问控制列表：
标准访问控制列表的创建
Router(config)#access-list  1  deny  192.168.1.1  0.0.0.0
Router(config)#access-list  1  permit  192.168.1.0  0.0.0.255
通配符掩码：也叫做反码。用二进制数0和1表示，如果某位为1，表明这一位不需要进行匹配操作，如果为0表明需要严格匹配。
隐含拒绝语句：
access-list  1  deny  0.0.0.0  255.255.255.255
将ACL应用于接口
接口模式：ip  access-group  列表号 in或out
注：access-list  1  deny  192.168.1.1  0.0.0.0或写为
　　　　access-list  1  deny  host  192.168.1.1
　　　access-list  1  deny  0.0.0.0  255.255.255.255或写为

　　　access-list  1  deny  any

删除已建立的访问控制列表
Router(config)#no  access-list 列表号
接口上取消ACL

接口模式：no  ip  access-group  列表号in 或out

查看访问控制列表
Router#show  access-lists
扩展访问控制列表
1、作用
可以根据源IP地址，目的IP地址，指定协议，端口等过滤数据包。
2.扩展访问控制列表号:100-199
eq等于、lt小于、gt大于
4、扩展访问控制列表案例：
例1：Router(config)# access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
（允许192.168.1.0网络访问192.168.2.0网络的所有服务）
      Router(config)#access-list 101 deny ip any any
（拒绝所有）
例2：Router(config)# access-list 101 deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.2  eq  80
（拒绝192.168.1.0网段访问192.168.2.2的TCP的80端口）
       Router(config)#access-list  101  permit  ip  any  any（允许访问所有）
5、删除扩展ACL
       Router(config)#no  access-list  列表号
注：扩展与标准ACL不能删除单条ACL语句，只能删除整个ACL。

6、扩展ACL应该应用在离源地址最近的路由器上。