欢迎进入网络技术社区论坛，与200万技术人员互动交流>>进入什么是ACL?

　　访问控制列表简称为ACL,访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持了。

　　访问控制列表的原理

　　对路由器接口来说有两个方向

　　出：已经经路由器的处理，正离开路由器接口的数据包

　　入：已经到达路由器接口的数据包，将被路由器处理。

　　匹配顺序为：自上而下，依次匹配.默认为

　　访问控制列表的类型

　　标准访问控制列表：一般应用在out出站接口。配置在离目标端最近的路由上

　　扩展访问控制列表：配置在离源端最近的路由上，一般应用在入站in方向

　　命名访问控制列表：允许在标准和扩展访问列表中使用名称代替表号

　　访问控制列表使用原则

　　1、最小原则

　　只给受控对象完成任务所必须的最小的权限。也就是说被控制的总规则是各个规则的交集，只满足部分条件的是不容许通过规则的。

　　2、最靠近受控对象原则

　　所有的网络层访问权限控制。也就是说在检查规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。

　　3、默认丢弃原则

　　在CISCO路由交换设备中默认最后一句为ACL中加入了DENYANYANY,也就是丢弃所有不符合条件的数据包。这一点要特别注意，虽然我们可以修改这个默认，但未改前一定要引起重视。

　　由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。因此，要达到端到端的权限控制目的，需要和系统级及应用级的访问权限控制结合使用。

　　一、标准访问列表

　　访问控制列表ACL分很多种，不同场合应用不同种类的ACL.其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用访问控制列表号1到99来创建相应的ACL.

　　它的具体格式：

　　access-listaccess-list-number[permitdeny][sourceaddress][wildcard-mask]

　　access-list-number为1-99或者1300-1999之间的数字，这个是访问列表号。

　　例如：access-list10denyhost192.168.1.1这句命令是将所有来自192.168.1.1地址的数据包丢弃。

　　当然我们也可以用网段来表示，对某个网段进行过滤。命令如下：access-list10deny192.168.1.00.0.0.255

　　通过的配置将来自192.168.1.0/24的所有计算机数据包进行过滤丢弃。为什么后头的子网掩码表示的是0.0.0.255呢？这是因为CISCO在ACL中用反向掩玛表示子网掩码，反向掩码为0.0.0.255的代表他的子网掩码为255.255.255.0.

　　小提示：对于标准访问控制列表来说，默认的命令是HOST,也就是说access-list10deny192.168.1.1表示的是192.168.1.1这台主机数据包通讯，可以省去我们输入host命令。

　　标准访问列表配置实例：

　　R1（config）#access-list10deny192.168.2.00.0.0.255

　　R1（config）#access-list10permitany

　　R1（config）#int0/0.1

　　R1（config-subif）#ipaccess-group10out

　　配置的含义是来自网段192.168.2.0的机器从int0/0.1端口出去，访问列表在配置好之后，要把它在端口上应用，否则配置了还是无效的。

　　注意事项：

　　1、标准访问列表，一般来说配置尽量靠近目的端。

　　2、配置的第二条命令中的any相当于0.0.0.0255.255.255.255

　　3、一定要加pemintany,使其他的网络可通。

　　4、访问列表是从上到下一条一条进行匹配的，所以在设置访问列表的时候要注意顺序。如果从第一条匹配到最后一条还是不知道要怎么做，路由器就会丢弃这个数据包，也就是为什么的例子中上一定要加permitany.

　　5、如果只一个主机，那可以用host192.168.1.12或者192.168.1.120.0.0.0,这两种配置是等价的。

　　删除已建立的标准ACL

　　//192.168.1.1R1（config）#noaccess-list+access-listnumber

　　对标准的ACL来说，不能删除单个acl语句，只能删除整个ACL

　　总结：标准ACL占用路由器资源很少，是一种最基本最简单的访问控制列表格式。应用比较广泛，经常在要求控制级别较低的情况下使用。如果要更加复杂的控制数据包的传输就需要使用扩展访问控制列表了，他可以满足我们到端口级的要求。

　　下一页

　　思科和华为交换机命令对比

　　5种方式来设置cisco路由器

　　教你摆脱路由器掉线困扰

　　破解网通封法总结

　　思科动态ACL配置完全详解

　　Cisco路由器的配置基础知识

　　华为路由器与CISCO路由器在配置上的区别分析

　　Cisco路由器故障诊断方法

　　Cisco路由器上防止DDOS

　　九大步骤通过路由器内网安全

　　·[CCIE]关于CCIE找工作的七大职业

　　·[布线]合理布线必须仰仗的六条定律

　　·[交换机]Cisco交换机STP负载均衡配置

　　·[资讯动态]思科2012财年推动合作伙伴发展战略

　　·[综合运用]NAT技术的原理与实现

　　·[认证资讯]所有CISCO专业化认证列表

　　·[交换配置]网络交换机消除40GbE盲点

　　·[路由基础]路由器硬件结构

　　·[路由配置]光纤无线路由上网设置

　　·[路由配置]tenda无线路由器设置全攻略