【SPOTO思博网络】访问控制列表ACL两大功能全解析
本帖最后由 SPOTO 于 2021-8-10 22:38 编辑马上点击咨询！【思博干货分享】访问控制列表ACL两大功能全解析
访问控制列表，ACL两大功能：流量控制匹配感兴趣流量ACL的3P规则：在每一个接口的每一个方向上，只能针对每种第三层协议应用一个ACLl每种协议一个 ACL ：要控制接口上的流量，必须为接口上启用的每种协议定义相应的 ACL。l每个方向一个 ACL ：一个 ACL 只能控制接口上一个方向的流量。要控制入站流量和出站流量，必须分别定义两个 ACL。l每个接口一个 ACL ：一个 ACL 只能控制一个接口上的流量。ACL的规范：l每个接口,每个方向,每种协议,你只能设置1 个ACL。lACL的语句顺序决定了对数据包的控制顺序。在ACL中各项语句的放置顺序是很重要的。当路由器决定某一数据包是被转发还是被丢弃时，会按照各项语句在ACL中的顺序，根据各语句的判断条件，对数据包进行检查，一旦找到了某一匹配条件就结束比较过程，不再检查以后的其他条件判断语句l把最有限制性的语句放在ACL语句的首行或者语句中靠近前面的位置上，把“全部允许”或者“全部拒绝”这样的语句放在末行或接近末行，可以防止出现诸如本该拒绝(放过)的数据包被放过(拒绝)的情况。l你不可能从ACL 从除去1 行,除去1 行意味你将除去整个ACL。l默认ACL 结尾语句是deny any，所以你要记住的是在ACL 里至少要有1 条permit 语句l创建了ACL 后要把它应用在需要过滤的接口上，lACL只能过滤穿过路由器的数据流量，不能过滤由本路由器上发出的数据包。l在路由选择进行以前，应用在接口in方向的ACL起作用。l在路由选择决定以后，应用在接口out方向的ACL起作用。标准访问控制列表：只能根据源地址做过滤针对整个协议采取相关动作（允许或禁止）建议将标准访问控制列表放在里目的地址近的地方，因为标准访问控制列表只能对源IP地址进行过滤扩展访问控制列表：能根据源、目的地地址、端口号等等进行过滤能允许或拒绝特定的协议建议将扩展的访问控制列表放在离源IP地址近的地方，因为扩展访问控制列表可以进行更细化的一些过滤ACL范围：ACL的入站及出站：ACL的入站及出站：入站：在路由选择进行以前，应用在接口in方向的ACL起作用。当接口入方向收到一个数据包，首先检查接口是否有调用ACL：l没有ACL，则根据IP包头中的目的地址查路由l有ACL，则根据语句顺序进行匹配，如果匹配中，动作为permit，查路由l有ACL，则根据语句顺序进行匹配，如果匹配中，动作为deny，则丢弃l有ACL，则根据语句顺序进行匹配，如果一条语句都没有匹配中，最后会被被deny any匹配中，则丢弃出站：在路由选择决定以后，应用在接口out方向的ACL起作用l根据IP包头中的目的地址查路由，有路由，则选择出接口，没有路由，则直接丢弃l根据路由查到出接口，出接口out方向是否调用ACL？l没有ACL，则直接从接口送出去l有ACL，则根据语句顺序进行匹配，如果匹配中，动作为permit，则从出接口送出去l有ACL，则根据语句顺序进行匹配，如果匹配中，动作为deny，则丢弃l有ACL，则根据语句顺序进行匹配，如果一条语句都没有匹配中，最后会被被deny any匹配中，则丢弃ACL的匹配流程：l根据语句顺序进行匹配，如果匹配中一条语句，则直接执行动作l如果第一条语句没有匹配中，则匹配第二条l末尾隐含deny any通配符掩码：0 表示严格匹配1 表示无所谓简写1：access-list 1 permit192.168.1.1 0.0.0.0access-list 1 permithost 192.168.1.1简写2：access-list 1 permit0.0.0.0 255.255.255.255access-list 1 permit any回帖下载详细文档
**** Hidden Message *****进入全国网络工程师交流群 ，请扫描下方二维码↓↓↓
群里有行业大咖、实战分享、技术交流、技术咨询、企业内推等机会
若群满，请添加老杨微信，邀你进群
更多更全学习资料与视频找思博
备考不用慌，大佬带你飞 : 每三位CCIE，有两位来自思博
666 123456 {:6_267:}{:6_290:} {:6_263:} {:6_290:} 11111111111111111111 111111111111111111 1111111111111111 谢谢分享 Thanks
写的挺详细 干货满满 谢谢分享 谢谢分享 11111111111111111111