CCNA基础巩固：DynamicACL的应用

会计考友

在CCNA和NP中我们了解到了ACL——思科为网络访问提供的一种安全手段，它是运行在CISCO的IOS上的一种程序。传统的ACL分三大类：标准ACL/扩展ACL/命名ACL.这里对其做简单的回顾：
Cisco routers can identify access-list using two methods：
access-list number——the number of the access list determines what protocol it is filtering：
——（1-99）and（1300-1399）—— standard IP access list
——（100-199）and（2000-2699）—— extended IP access list
0 n4 a( @/ k9 U7 m) v, f8 `; `9 oaccess list name （IOS versions gt 11.2）
6 y+ W* e+ e6 m7 ~, d+ `9 z" v" R4 R) VNames contain alphanumeric characters
4 }$ R7 S+ L# m; `; qNames connot contain spaces or punctuation and must begin with alphabetic character
名称访问列表可以包含数字和字母，但其不可以包含空格及标点符号，而且第一个字符要是字母。
0 N5 L& ~# e6 p3 WCisco router support two basic types of IP access lists：
——standard——Filter IP packets based on the source address only.
% H0 b2 w* B1 O1 g) `6 x# H. d- m标准访问列表针对源IP地址进行过滤

——Extended——Fiter IP packets based on several attributes.including：
' I/ T, D: h0 E——Protocol type.
——Source and desination IP address
——Source and destination TCP/UDP ports
9 t7 z1 f. Z2 J; O4 }( ^, o) `# R8 [——ICMP and IGMP message types.

会计考友

</p>扩展访问列表针对几种属性对数据包进行过滤：
% X4 p& u: z, j: E协议类型，源及目标的IP地址，源及目标的四层端口号，ICMP或者IGMP的报文类型。
一、标准ACL格式：access-list 列表号 deny或者permit 源IP地址 源IP掩码
0 n" q! y7 A5 E% l9 t. t6 a) C- y% XAccess-list 2 permit 1.1.1.0 0.0.0.255
1 n1 ~5 c, x& v! `6 ^' s  L( @4 S如果是标准的命名ACL，则写法为：
+ U& A0 P1 N, ?: r$ C2 x9 O  v（config）#ip access-list standard 名称
4 `. d- m- Z' ^) o! M. h& y& Y2 N; x（config-std-nacl）#deny 1.1.1.0 0.0.0.255
; ~2 a3 e0 E- R6 ?6 C  g二、扩展ACL格式：access-list 列表号 deny或permit 协议 {源IP 源反掩码|any|host} 源端口号 {目标IP 目标反掩码|any|host} 目标端口号 [established] [log| log-input]
Access-list 101 permit tcp 1.1.1.0 0.0.0.255 53 2.2.2.0 0.0.0.255 gt 1023
如果是扩展的命名ACL，则写法和标准类似，只是在定义访问策略时稍有不同
为访问列表打上标记，当你看到该ACL时，一目了然。
Remark message
例：Router（config）#access-list 100 remark traffic to http-server
Router（config）#access-list 100 permit ip any 1.1.1.1 0.0.0.255 eq 80
9 t: W' ~, @3 ~上面所说的仅仅是ACL的写法，都在全局配置模式下进行，但访问列表只是规则，需要有“人”来执行，那么执行者是谁？就是流量要通过的接口，访问列表编辑的再严密，逻辑性再强，安全性再高，如果不将其应用到接口上去，一切都是枉然！
在接口上的应用：
' e. q8 ]4 d* X4 Q1 gR（config）#int fa0/0
+ i" l0 z- C$ d! J. F1 {0 x$ \R（config-if）#ip access-group 100 in/out 或者 ip access-group cisco in/out
) G' ]/ o! U! f- {9 O% D; _上面分别是标准和命名访问表在接口上的应用方式。方向是非常重要的，in和out完全是两码事！
1、 标准的访问列表通常放置在离目标最近的地方；
! c9 h! \( P2 T% q5 M4 ]2、扩展的访问列表通常放置在离源最近的地方。