路由器訪問控制列表基礎(chǔ)知識問答
2024-09-12 21:53:29
供稿：網(wǎng)友
1、什么是訪問控制列表？訪問控制列表在Cisco IOS軟件中是一個可選機(jī)制，可以配置成過濾器來控制數(shù)據(jù)包，以決定該數(shù)據(jù)包是繼續(xù)向前傳遞到它的目的地還是丟棄。 2、為什么要使用訪問控制列表？最初的網(wǎng)絡(luò)只是連接有限的LAN和主機(jī)，隨著路由器連接內(nèi)部和外部的網(wǎng)絡(luò)，加上互聯(lián)網(wǎng)的普及，控制訪問成為新的挑戰(zhàn)，網(wǎng)絡(luò)管理員面臨兩難的局面：如何拒絕不期望的訪問而允許需要的訪問？訪問控制列表增加了在路由器接口上過濾數(shù)據(jù)包出入的靈活性，可以幫助管理員限制網(wǎng)絡(luò)流量，也可以控制用戶和設(shè)備對網(wǎng)絡(luò)的使用，它根據(jù)網(wǎng)絡(luò)中每個數(shù)據(jù)包所包含的信息內(nèi)容決定是否允許該信息包通過接口。 3、訪問控制列表有哪些類型？訪問控制列表主要可以分為以下兩種：A、標(biāo)準(zhǔn)訪問控制列表：標(biāo)準(zhǔn)訪問控制列表只能夠檢查可被路由的數(shù)據(jù)包的源地址，根據(jù)源網(wǎng)絡(luò)、子網(wǎng)、主機(jī)IP地址來決定對數(shù)據(jù)包的拒絕或允許，使用的局限性大，其序列號范圍是1-99。B、擴(kuò)展訪問控制列表：擴(kuò)展訪問控制列表能夠檢查可被路由的數(shù)據(jù)包的源地址和目的地址，同時還可以檢查指定的協(xié)議、端口號和其他參數(shù)，具有配置靈活、精確控制的特點，其序列號的范圍是100-199。以上兩種類型都可以基于序列號和命名來配置，我們建議使用命名來配置訪問控制列表，這樣在以后的修改中也是很方便的。 4、訪問控制列表具有什么樣的特點？A、它是判斷語句，只有兩種結(jié)果，要么是拒絕(deny),要么是允許(permit)；B、它按照由上而下的順序處理列表中的語句；C、處理時，不匹配規(guī)則就一直向下查找，一旦找到匹配的語句就不再繼續(xù)向下執(zhí)行；D、在思科中默認(rèn)隱藏有一條拒絕所有的語句，也就默認(rèn)拒絕所有(any);由上面的特點可以總結(jié)出，訪問控制列表中語句的順序也是非常重要的，另外就是所配置的列表中必須有一條允許語句。 5、配置訪問控制列表需要注意什么？A、訪問控制列表只能過濾流經(jīng)路由器的流量，對路由器自身發(fā)出的數(shù)據(jù)包不起作用。B、一個訪問控制列表中至少有一條允許語句。 6、配置訪問控制列表的步驟是什么？第一步：創(chuàng)建訪問控制列表：access-list access-list-number {deny|permit} {test conditions}//access-list-number：序列號，這個地方也可以寫命名的名稱；//deny：拒絕；//permit：允許；//test conditions：過濾條件語句第二步：應(yīng)用訪問控制列表：A、首先要進(jìn)入接口模式；B、ip access-group access-list-number {in|out} 7、標(biāo)準(zhǔn)訪問控制列表的格式：access-list [list number| word] [permit|deny] [source address] [wildcard mask]//[list number|word]列表序列號或者命名//[permit|deny]允許或者拒絕//[source address]源IP地址//[wildcard mask]掩碼，如果不使用掩碼，則使用關(guān)鍵字Host ,例：host 192.168.2.4 8、擴(kuò)展訪問控制列表的格式：access-list [list number| word] [permit | deny] [protocol | protocol key word] [source address] [source-swidcard mask] [source port] [destination address] [destination-wildceard mask] [destination port]//[list number| word]訪問控制列表的序列號或者命名//[permit | deny]允許或者拒絕//[protocol | protocol key word]協(xié)議或者協(xié)議號//[source address]源IP地址//[source-swidcard mask]源地址掩碼，如果使用關(guān)鍵字host，則不用掩碼//[source port]源端口//[destination address]目的地IP地址//[destination-wildceard mask]目的地地址掩碼，如果使用host關(guān)鍵字，則不用掩碼//[destination port]目的端口
