PowerPoint 演示文稿

Size: px

Start display at page:

Download "PowerPoint 演示文稿"

菜是钮高
5 years ago
Views:

1 学习沉淀成长分享 ACL 访问控制列表红茶三杯 Latest update:

2 技术背景禁止 /24 及 /24 访问右侧的 IP 网络如何抓取感兴趣的流量? / / / /24 IP Network

3 ACL Access Control List, 简称 ACL, 访问控制列表, 是一个非常重要的基础性工具, 是一系列有序的条目, 每个条目包含条件以及动作两元素能够通过匹配 IP 报文中的相关字段对感兴趣数据包进行抓取除了能够抓取数据包, 还能够用于抓取特定路由, 以便执行路由策略 ACL 在报文过滤路由策略 NAT VPN QoS 等都有广泛的应用

4 ACL 的类型标准访问控制列表只能匹配报头中的源 IP 地址 ; 只能针对整个协议采取动作, 而无法针对特定的协议类型针对 IP 头中的源 IP 地址进行匹配 IP Header Data

5 ACL 的类型扩展访问控制列表能匹配报文中的源目的 IP 地址, 以及四层端口号等信息 ; 可以针对具体的协议类型进行匹配, 例如抓取 TCP UDP 或者 ICMP 流量可用于匹配源 IP 目的 IP, 以及四层端口号协议类型等内容 IP Header UCP/UDP Header Data

6 In / Out Data Flow 在此接口上部署 ACL 对如图所示的数量流量生效, 需应用在 in 方向在此接口上部署 ACL 对如图所示的数量流量生效, 需应用在 out 方向

7 In 方向的 ACL Data Flow 接口上是否应用 ACL? No 路由 Yes ACL 是否允许该流量通行? Yes No Data Flow

8 Out 方向的 ACL Data Flow 是否有匹配的路由条目 No Yes No 路由到出接口出接口是否应用 out 方向 ACL Yes ACL 是否允许该流量通行? Yes No Data Flow

9 Access-list access-list x 语句 1 ( 允许 / 拒绝 ) 匹配条件 1 语句 2 ( 允许 / 拒绝 ) 匹配条件 2 语句 N ( 允许 / 拒绝 ) 匹配条件 N ( 隐含 ) 拒绝所有

10 ACL 的匹配顺序 Deny Y If-Match criteria1 Y Permit N Deny Y If-Match criteria2 Y Permit Data Flow N Deny Y If-Match criterian Y Permit N Deny

11 ACL 的命名采用数字的方式命名标准访问控制列表 1-99, 扩展访问控制列表 , ACL 标准访问控制列表采用字符串的方式命名扩展访问控制列表

12 标准 ACL 的配置 ( 采用数字的方式命令 ) 创建标准 ACL Router(config)# access-list acl-number {permit deny} source [wildcard mask] 标准 ACL 的编号值范围 1-99, 通配符掩码未写, 则默认为 no access-list acl-num 将会删除整个 ACL 列表将创建好的 ACL 应用在接口上 Router(config-if)# ip access-group acl-num { in out } 当使用 ACL 进行报文过滤时,ACL 被应用在接口特定的接口, 同时关联要部署的方向 (In/Out)

13 Wildcard Mask 通配符掩码 Wildcard Mask, 通配符掩码, 常被称为反掩码, 长度为 32bits, 和 IPv4 地址搭配, 同于确定被匹配的 IP 中哪些位可以忽略, 哪些位必须一致通配符掩码中, 值为 1 的 bit 表示该位忽略, 值为 0 的 bit 表示该位需严格匹配被匹配对象 IP Address Wildcard Mask

14 Wildcard Mask 通配符掩码抓取及 1.3 这三个 IP 地址 /24 IP Network IP Address Wildcard Mask

15 通配符掩码的特殊值 = host = any

16 标准 ACL 配置示例 /24 Fast0/0 Fast1/0 Network A 只禁止左侧子网中的访问 A 网络, 其他流量放行 router(config)# access-list 1 deny 或者 access-list 1 deny 或 access-list 1 deny host router(config)# access-list 1 permit 或者 access-list 1 permit any! router(config)# interface fast0/0 router(config-if)# ip access-group 1 in

17 标准 ACL 配置示例 /24 Fast0/0 Fast1/0 Network A 只禁止左侧子网中的访问 A 网络, 其他流量放行 router(config)# access-list 1 deny router(config)# access-list 1 permit any router(config)# interface fast0/0 router(config-if)# ip access-group 1 in

18 扩展 ACL 的配置 ( 采用数字的方式命令 ) 创建扩展 ACL Router(config)# access-list acl-num {permit deny} protocol source srcwildcard [operator port] destination dst-wildcard [operator port] [established] [log] 扩展 ACL 的编号值范围 , 可以匹配源目的 IP 地址四层端口号协议类型等元素将创建好的 ACL 应用在接口上 Router(config-if)# ip access-group acl-num { in out }

19 扩展 ACL 配置示例 /24 Fast0/0 Fast1/0 Network A 只禁止 A 网段中的访问 A 网络的服务器其他流量放行 router(config)# access-list 100 deny ip host router(config)# access-list 100 permit any router(config)# interface fast0/0 router(config-if)# ip access-group 1 in

20 扩展 ACL 配置示例 2 Fast2/ /24 Fast0/0 Fast1/0 Network A 只禁止所有用户访问 A 网络的服务器的 Telnet 服务, 其他流量放行 router(config)# access-list 100 deny tcp any host eq 23 router(config)# access-list 100 permit ip any any router(config)# interface fast1/0 router(config-if)# ip access-group 1 out

21 配置命令的 ACL 创建一个使用字符来命名的 ACL Router(config)# ip access-list {standard extended} name Router(config {std- ext-}nacl)# [sequence-number] {permit deny} {ip access list test conditions} 可以在命令的前面使用序号来创建每条语句, 如果不手工输入序号, 则默认从 10 开始, 并以 10 为步长累加使用 no 加上特定的序号即刻删除该条语句将创建好的 ACL 应用在接口上 Router(config-if)# ip access-group acl-num { in out }

22 阶段性总结每个接口每个方向针对一种特定协议, 只能应用 1 个 ACL 提前组织好 ACL 语句的顺序, 将匹配几率最高条目的放在 ACL 的最顶部, 这可以提升网络设备的工作效率无法从 ACL 中删除某一条语句, 只能将 ACL 整个删除然后重新编写, 除非使用命名访问列表 ACL 在所有语句的末尾隐含了一条拒绝所有的语句 (deny any), 因此 ACL 里至少要有 1 条 permit 语句创建了 ACL 后要把它应用起来 ( 例如应用在接口上用于过滤数据 ), 否则该 ACL 并不生效 ACL 用于过滤经过设备的数据包, 它并不会过滤设备自己产生的数据包

23 Case /24 Fast0/0 Fast1/0 Network A router(config)# access-list 1 deny router(config)# access-list 1 permit host router(config)# interface fast0/0 router(config-if)# ip access-group 1 in 能否访问到 A 网段?

Case2 192.168.1.0/24 192.168.2.0/24 192.168.3.0/24 Network Fast0/0 NM PC 192.168.9.1/24 access-list 1 deny 192.168.1.0 0.0.0.255 access-list 1 deny 192.168.2.0 0.0.0.255 access-list 1 permit any interface fast0/0 ip access-group 1 in 当前路由器上部署了 ACL 应用在 fast0/0 口,ACL 如上图所示, 禁止 192.

24 Case / / /24 Network Fast0/0 NM PC /24 access-list 1 deny access-list 1 deny access-list 1 permit any interface fast0/0 ip access-group 1 in 当前路由器上部署了 ACL 应用在 fast0/0 口,ACL 如上图所示, 禁止 /24 及 /24 这两个网段的流量进入路由器的 fast0/0 现在需求变更, 要放开 /24 这个网段的流量工程师通过电脑远程登录到路由器, 他

25 学习沉淀成长分享红茶三杯 :weibo.com/vinsoney Thank You

<4D6963726F736F667420506F776572506F696E74202D20A1B6CFEEC4BFD2BB20B3F5CAB6BCC6CBE3BBFACDF8C2E7A1B7C8CECEF1C8FD20CAECCFA4544350A1A24950D0ADD2E9BACD4950B5D8D6B72E707074>

<4D6963726F736F667420506F776572506F696E74202D20A1B6CFEEC4BFD2BB20B3F5CAB6BCC6CBE3BBFACDF8C2E7A1B7C8CECEF1C8FD20CAECCFA4544350A1A24950D0ADD2E9BACD4950B5D8D6B72E707074> 项目一 : 初识计算机网络任务三熟悉 TCP/IP 协议和 IP 地址一. 学习要求 : 学习要求及难点 1. 了解 IP 协议 TCP 协议和 UDP 协议 2. 熟悉 IP 地址的划分和分类 3. 了解 IPV6 的地址结构二. 难点 : 1. IP 地址三. 学时 : 1. 理论教学 :6