6. 访问控制列表ACL
6.1 标准访问控制列表
（1）标准ACL
①标准ACL是基于IP数据包的源IP地址作为转发或是拒绝的条件。即，所有的条件都是基于源IP地址的。
②基本不允许或拒绝整个协议组。它不区分IP流量类型。如Telnet、UDP等服务。
（2）实战：只允许部分计算机访问Internet
①目标： 在Router0上定义标准ACL，只允许市场部（PC7例外）和财务部的计算机能够访问Internet。而服务器组中的计算机拒绝访问Internet
②在Router0的S3/0接口的出站访问控制
Router>en Router#config t //进入全局配置模式 Router(config)#access-list ? <1-99> IP standard access list //标准ACL的编号范围是1-99 <100-199> IP extended access list //扩展ACL的编号范围是100-199 //1. 在Router0上创建标准ACL，列表编号为10（可以是1-99之间的任何值）。 // A.允许192.168.2.0/24、192.168.1.0/24两个网段的数据包通过，注意使用 // 的是反转掩码 // B.控制列表的any与反转掩码0.0.0.0等价 // C.路由器在应用访问控制列表的规则时顺序很重要，它会从上到下检查，如 // 果匹配就不再检查ACL后面的设置。其原则是更加具体的地址放最前面。因 // 此被拒绝的主机要放前面，允许的放后面。ACL的最后一条会默认为拒绝所有！ // D.删除某个10号列表：Router(config)#no access-list 10 Router(config)#access-list 10 deny host 192.168.2.2 //第1条，要先写！ Router(config)#access-list 10 permit 192.168.2.0 0.0.0.255 //第2条 Router(config)#access-list 10 permit 192.168.1.0 0.0.0.255 //第3条 Router(config)#exit Router#show access-list 10 //查看ACL的10号列表 Standard IP access list 10 deny host 192.168.2.2 //第1条 permit 192.168.2.0 0.0.0.255 //第2条 permit 192.168.1.0 0.0.0.255 //第3条 Router(config)#access-list 10 permit 192.168.2.0 0.0.0.255 Router(config)#access-list 10 permit 192.168.1.0 0.0.0.255 //2. 将ACL10绑定到Router0的S3/0出口 Router(config)#interface serial 3/0 Router(config-if)#ip access-group 10 ? in inbound packets //in 表示进入接口时检查 out outbound packets //out 表示出接口时检查 Router(config-if)#ip access-group 10 out //将列表绑定到S3/0出口 //取消绑定：no ip access-group 10 out Router(config-if)#
③测试，分别从PC3、PC4、PC7和服务器组的ftp主机去ping 10.0.0.2。会发现PC3、PC4是会通的，但PC7和ftp主机ping不通。可见ACL列表己经完全起作用了。
6.2 扩展访问控制列表
（1）扩展ACL
①基于IP数据包的源地址、目标地址、协议和端口这些条件来决定是否转发数据包。
②比标准ACL的控制粒度更细。
③扩展ACL的语法：
access-list 编号{permit | deny} {TCP | UDP} 源地址 目标地址 eq 目标端口
access-list 编号{permit | deny} {IP | ICMP} 源地址 目标地址 //没目标端口！
【说明】如果协议是IP或ICMP，则后面没有目标端口；如果允许IP协议，就等同于允了所有TCP、UDP以及ICMP协议的流量。
（2）实验环境：
①目标：在Router0定义扩展ACL，使得市场部能访问Internet，财务部只能访问Internet上的Web服务器。服务器组中的计算机能ping通Internet中任何计算机。
②路由器上设置ACL
//1. 在Router0上创建扩展ACL Router#conf t Router(config)#access-list 101 permit ip 192.168.2.0 0.0.0.255 any //市场部允许访问Internet Router(config)#access-list 101 permit tcp 192.168.1.0 0.0.0.255 10.0.0.0 0.255.255.255 eq ? <0-65535> Port number ftp File Transfer Protocol (21) pop3 Post Office Protocol v3 (110) smtp Simple Mail Transport Protocol (25) telnet Telnet (23) www World Wide Web (HTTP, 80) //eq后面可以是端口或应用层协议名称！ //财务部计算机只允许访问10.0.0.0/8网段的Web服务器 Router(config)#access-list 101 permit tcp 192.168.1.0 0.0.0.255 10.0.0.0 0.255.255.255 eq 80 //服务器组的计算机只能ping internet的计算机 Router(config)#access-list 101 permit icmp 192.168.0.0 0.0.0.255 any //2. 将扩展ACL绑定到Router0的S3/0接口 Router(config)#interface serial 3/0 Router(config-if)#ip access-gr Router(config-if)#ip access-group 101 out Router(config-if)#exit
③验证扩展ACL。市场部的PC7能ping通Internet上的任何计算机（包括访问WebServer的网页）。财务部的PC2不能ping通Internet上的任何计算机，但能访问WebServer网站。服务器组的计算机能ping通Internet上任何计算机，但不能访问WebServer。
6.3 使用ACL保护路由
（1）保护路由器安全
①路由器一般都开启telnet功能，以便远程管理。
②路由器的任一接口都允许telnet，不可能为每个接口的入口都绑定ACL，可以使用标准ACL来控制访问VTY线路。
（2）实战：使用ACL保护路由器安全（要事先设置Router的telnet密码和enable密码）
①目标：只允许ITG部门的计算机能够telnet中路由器Router0。
②在Router0上创建标准ACL，并绑定到VTY线路。
Router#conf t Router(config)#access-list 12 permit 192.168.1.0 0.0.0.255 //定义ACL，只允许192.168.1.0/24网段 Router(config)#line vty 0 15 //进入VTY虚接口，0和15分别表示起始和结束的vty的0-15号接口。 Router(config-line)#access-class 12 in //将编号为12的ACL绑定到vty Router(config-line)#
③验证：在PC7上telnet 192.168.2.1会失败。但PC3上telnet 192.168.1.1会成功，只要输入正确的telnet密码和enable密码。
6.4 访问控制列表的位置
（1）标准ACL：尽可能靠近目的地址的位置。这是因为我们并不真正的要在自己的网络内使用表内的控制规则。不能将标准ACL放置在靠近源主机的位置，因为这样会过滤基于源地址的流量，而导致不能转发任何流量。
（2）扩展ACL：尽可能放置在靠近源地址的位置。它可以过滤每个特定的地址和协议，所以我们不希望流量穿过整个网络后再被拒绝，它可在使用有限的带宽之前过滤掉此流量。
