ACL访问控制列表
1、两种类型：
标准ACL：检查源地址，通常允许或拒绝的是完整的协议。
扩展ACL：检查源地址和目的地址，通常允许或拒绝的是某个特定的协议。
2、两个方向：
in:进站
out:出站
标准ACL通常应用到离目标最近的端口，方向为out。
扩展ACL通常应用到离源最近的端口，方向为in。
3、两个动作：
deny:拒绝
permit:允许：
4、两种命名方式：
名称命名：
standard:
extended:
编号命名：
标准ACL：1～99
扩展ACL：100～199，2000～2699
5、有一条默认拒绝所有的规则，所以配置拒绝条目后，必须要配置被允许的条目。
6、执行顺序：从上至下，一旦匹配，不再往下执行。
案例一
- 拒绝学生宿舍访问财务室网络
- 拒绝行政楼主机：192.168.20.1访问财务网络
编号命名标准ACL：
R2(config)#access-list 10 deny 192.168.10.0 0.0.0.255
R2(config)#access-list 10 deny 192.168.20.1
R2(config)#access-list 10 permit any
R2(config)#int fa0/0
R2(config-if)#ip access-group 10 out
名称命名标准ACL：
R2(config)#ip access-list standard A1
R2(config-std-nacl)#deny 192.168.10.0 0.0.0.255
R2(config-std-nacl)#deny 192.168.20.1 0.0.0.0
R2(config-std-nacl)#permit any
R2(config)#int f0/0
R2(config-if)#ip access-group A1 out
删除配置到端口的规则
R2(config)#int f0/0
R2(config-if)#ip access-group A1 out
R2(config)#no ip acc standard A1
案例二
- 拒绝学生宿舍访问www服务
编号命名拓展ACL：
R1(config)#access-list 100 deny tcp 192.168.10.0 0.0.0.255 host 192.168.100.1 eq www
R1(config)#access-list 100 permit ip any any
R1(config)#int fa0/0
R1(config-if)#ip access-group 100 in
名称命名拓展ACL：
R1(config)#ip access-list extended A1
R1(config-ext-nacl)#deny tcp 192.168.10.0 0.0.0.255 host 192.168.100.1 eq www
R1(config-ext-nacl)#permit ip any any
R1(config)#int f0/0
R1(config-if)#ip acc A1 in
删除部分规则：
R1#sh ip acc
R1(config)#ip acc extended A1
R1(config-ext-nacl)#no 10
R1(config-ext-nacl)#no 20
案例三
- 拒绝学生宿舍ping服务器，但可以访问网站
编号命名拓展ACL：
R1(config)#access-list 101 deny icmp 192.168.10.0 0.0.0.255 host 192.168.100.1 echo
R1(config)#access-list 101 permit ip any any
R1(config)#int fa0/0
R1(config-if)#ip access-group 101 in
名称命名拓展ACL：
R1(config)#ip access-list extended A1
R1(config-ext-nacl)#deny icmp 192.168.10.0 0.0.0.255 192.168.100.0 0.0.0.255 echo
R1(config-ext-nacl)#permit ip any any
案例四
- 学生宿舍不可以ping服务器，不能用www.zlt.com访问网站，但可以用地址访问网站
编号命名拓展ACL：
R1(config)#access-list 102 deny icmp 192.168.10.0 0.0.0.255 192.168.100.0 0.0.0.255 echo
R1(config)#access-list 102 deny udp 192.168.10.0 0.0.0.255 192.168.100.0 0.0.0.255 eq domain
R1(config)#access-list 102 permit ip any any
R1(config)#int fa0/0
R1(config-if)#ip access-group 102 in
名称命名拓展ACL：
R1(config)#ip acc extended A1
R1(config-ext-nacl)#deny icmp 192.168.10.0 0.0.0.255 192.168.100.0 0.0.0.255 echo
R1(config-ext-nacl)#deny udp 192.168.10.0 0.0.0.255 192.168.100.0 0.0.0.255 eq domain
R1(config-ext-nacl)#permit ip any any