CCNA：IP訪問控制列表(ACL)知識總結
訪問控制列表
建立訪問控制列表，可對數據流量進行簡單的控制，以及通過這種控制達到一不定程度的安全性，允許或拒絕數據包通過路由器，從而達到對數據包進行過濾的目的。
另外，也可以在VTY線路接口上使用訪問控制列表，來保證telnet的連接的安全性。
因為接口的數據流是有進口和出口兩個方向的，所以在接口上使用訪問控制列表也有進和出兩個方向。
進方向的工作流程
進入接口的數據包——進方向的訪問控制列表——判斷
是否匹配——不匹配，丟棄，匹配，進入路由表——判斷是否有相應的路由條目——無，丟棄，有從相應接口轉發出去
出口方向的工作流程
進入接口數據包——進入路由表，判斷是否是相應的路由條目——無，丟棄，有，數據包往相應接口——判斷出口是否有訪問控制列表——無，數據被轉發，有，判斷條件是否匹配——不匹配，丟棄，匹配，轉發。
比較看，盡可能使用進方向的訪問控制列表，但是使用哪個方向的應根據實際情況來定。
類型
標準訪問控制列表
所依據的條件的判斷條件是數據包的源IP地址，只能過濾某個網絡或主機的數據包，功能有限，但方便使用。
命令格式
先在全局模式下創建訪問控制列表
Router（config）＃access－list access－list－number ｛permit or deny｝ soure ｛soure－wildcard｝ log
注：access－list－number 是訪問控制列表號，標準的訪問控制列表號為0～99;permit是語句匹配時允許通過，deny是語句不匹配時，拒絕通過。soure是源IP地址，soure－wildcard是通配符，log是可選項，生成有關分組匹配情況的日志消息，發到控制臺
補：當表示某一特定主機時，soure ｛soure－wildcard｝這項例如：192.168.1.1 0.0.0.255 可表示為host 192.168.1.1
創建了訪問控制列表后，在接口上應用
Router（config－if）＃ip access－group access－list－number ｛in or out｝
擴展訪問控制列表
擴展訪問控制列表所依據的判斷條件是目標、源ip地址、協議及數據所要訪問的端口。由此可得出，在判斷條件上，擴展訪問控制列表具有比標準的訪問控制列表更加靈活的優勢，能夠完成很多標準訪問不能完成的工作。
命令格式
同樣在全局模式下創建列表
Router（config）＃access－list access－list－number ｛dynamic dynamic－name｝｛timeout mintes｝｛permit or deny｝protocol soure soure－wildcard destination destination－wildcard ｛precdence precedence｝ ｛tos tos} {time-range time-range-name}
命名訪問控制列表
cisco ios 軟件11.2版本中引入了IP命名ACL，其允許在標準和擴展訪問控制列表中使用名字代替數字來表示ACL編號。
創建命名ACL語法格式：
router（config）＃ip access－list ｛extend or standard} name router（config-ext-nacl)#{permit or deny } protocols soure soure－wildcard {operator｝destination destination－wildcard ｛operator｝｛established｝
注：established 是可選項，只針對于tcp 協議
還有vty的限制，其ACL的建立與在端口上建立ACL一樣，只是應用在vty ACL 到虛擬連接時，用命令access－class 代替命令access－group
放置ACL
一般原則：盡可能把擴展acl 放置在距離要被拒絕的通信流量近的地方。標準ACL由于不能指定目的地址，所以它們應該盡可能放置在距離目的地最近的地主。
【編輯推薦】
