CCNA-ACL（访问控制列表）标准ACL 扩展ACL 命名ACL

ACL的基本概念

(一) ACL应用位置

主要用于给数据流进行分类；定义。
第三层：网络层IP；第四层往上：应用层协议：层数据流。

(二) ACL使用场景

【1】过滤access-group
【2】NAT
【3】VTY控制 access-class

(三) ACL接口相关

• 接口过滤 ip access-group
• ACL如果用于出接口out：先查路由表，再执行出口的ACL；
• ACL如果用于进接口in：先执行ACL，再查路由表；

(四) ACL分类

ACL类型	ACL序号范围	应用场景
标准ACL	1-99	匹配源IP地址
扩展ACL	100-199	匹配源IP、目的IP地址、协议，源端口，目的端口(五元组-四元组)
命名ACL	[标准-standard、扩展-extended]	自定义ACL名称

(五) ACL配置案例练习

access-list 1 permit/deny 1.1.1.0 0.0.0.255
access-list 1 permit/deny 45.45.45.5 0.0.0.0
access-list 1 permit 0.0.0.0 255.255.255.255（所有的流量）等同于下一行
access-list 1 permit any

access-list [100-199] permit/deny [协议] [源IP] [目标IP]
access-list 100 permit ip 12.12.12.0 0.0.0.255 23.23.23.0 0.0.0.255
access-list 100 permit tcp 12.12.12.1 0.0.0.0 34.34.34.4 0.0.0.0 eq 23
access-list 100 deny tcp any 34.34.34.4 0.0.0.0 eq 23
access-list 100 permit ip （ospf/eigrp） any any（表示剩下的流量都放行）

---

ACL综合应用

(一) ACL匹配机制及匹配顺序

ACL：匹配顺序自上而下
没有匹配的流量，默认在ACL都是deny
自身产生的流量，无法使用ACL过滤

IP协议[3层]：tcp\udp\OSPF\EIGRP\ICMP [ping/traceroute]……

(二) ACL弊端

标准ACL、扩展ACL：删掉其中一个条目，整个ACL会丢失；
补进去的ACL都放在最后；

解决方法——使用Named-ACL
remark 注释
10 deny
15 ……
20 permit

ip access-list extended netbox
permit tcp host 12.12.12.1 host 34.34.34.4 eq telnet
permit eigrp any any
deny tcp any any eq telnet
permit ip any any

(三) ACL案例分析

1、标准ACL案例

标准ACL案例一

标准ACL案例二：

标准ACL案例三：

2、扩展ACL案例

扩展ACL 案例一：

扩展ACL 案例二：

3、命名ACL案例

命名ACL 案例一：命名标准型

命名ACL 案例二：命名扩展型

---

ACL实验练习

实验要求

---

1、R1拒绝所有ping包
2、VTY远程登陆：telnet【TCP 23】，先设置密码
R4拒绝R1远程登陆
3、对于R3上通行的TCP流量，只允许R2远程登陆R4的流量通行；
其它所有TCP流量全部拒绝deny

---

TELNET远程登陆设置：
line vty 0 4 [ 0-4五条线路 ]
password netbox [设置密码]
login [调用密码]

R1>enable
R1#
enable密码设置：
#enable password netbox 明文
#enable secret cisco 暗文

show user 显示被登陆了哪些线路

实验具体操作

1、R1拒绝所有ping包

R1(config)#access-list 101 deny icmp any host 12.12.12.1
R1(config)#int f0/0
R1(config-if)#ip access-group 101 in

问题：发现与R1相关联的EIGRP邻居被断开，原因：ACL策略的最后一条默认拒绝所有流量的通行所以要在末尾补充允许线路的通行。

这条ACL策略配置时记得要写上哦
R1(config)#access-list 101 permit ip any any

2、VTY远程登陆：telnet【TCP 23】，先设置密码

 R4拒绝R1远程登陆

在R4上设置远程登录配置

R4(config)#line vty 0 4
R4(config-line)#password 123456
R4(config-line)#login
R4(config-line)#exit
这个是设置进入特权模式的密码
R4(config)#enable secret 654321

配置ACL 指令 R4拒绝R1远程登陆

R4(config)#access-list 102 deny tcp 12.12.12.1 0.0.0.255 34.34.34.4 0.0.0.255 eq 23
上面这句命令还可以这么写：
R4(config)#access-list 102 deny tcp host 12.12.12.1 host 34.34.34.4 eq 23
使用host表示具体匹配该路由器的设备，所以可以不需要写反掩码。
R4(config)#access-list 102 permit ip any any
R4(config)#int f0/0
R4(config-if)#ip access-group 102 in
R4(config-if)#do sh access-list
Extended IP access list 102
10 deny tcp 12.12.12.0 0.0.0.255 34.34.34.0 0.0.0.255 eq telnet (129 matches)
20 permit ip any any (54 matches)

3、对于R3上通行的TCP流量，只允许R2远程登陆R4的流量通行；

其它所有TCP流量全部拒绝deny

对R3

R3(config)#access-list 133 permit tcp host 23.23.23.2 host 34.34.34.4 eq 23
R3(config)#access-list 133 deny tcp any any
R3(config)#access-list 133 permit ip any any
R3(config)#int f1/0
R3(config-if)#ip access-group 133 out

在R2上验证

在R1上验证

注意：从R3依然可以远程登录R4 可以验证ACL无法阻断自身设备的流量的结论。

4、R4不允许R3远程登录

(标准ACL应用于VTY中，似乎扩展ACL无法应用)】

R4(config)#access-list 4 deny 34.34.34.3
R4(config)#line vty 0 4
R4(config-line)#access-class 4 in