路由器访问控制列表基础知识问答

john541010

1、什么是访问控制列表？

访问控制列表在Cisco IOS软件中是一个可选机制，可以配置成过滤器来控制数据包，以决定该数据包是继续向前传递到它的目的地还是丢弃。

2、为什么要使用访问控制列表？

最初的网络只是连接有限的LAN和主机，随着路由器连接内部和外部的网络，加上互联网的普及，控制访问成为新的挑战，网络管理员面临两难的局面：如何拒绝不期望的访问而允许需要的访问？访问控制列表增加了在路由器接口上过滤数据包出入的灵活性，可以帮助管理员限制网络流量，也可以控制用户和设备对网络的使用，它根据网络中每个数据包所包含的信息内容决定是否允许该信息包通过接口。

3、访问控制列表有哪些类型？

访问控制列表主要可以分为以下两种：

A、标准访问控制列表：标准访问控制列表只能够检查可被路由的数据包的源地址，根据源网络、子网、主机IP地址来决定对数据包的拒绝或允许，使用的局限性大，其序列号范围是1-99。

B、扩展访问控制列表：扩展访问控制列表能够检查可被路由的数据包的源地址和目的地址，同时还可以检查指定的协议、端口号和其他参数，具有配置灵活、精确控制的特点，其序列号的范围是100-199。

以上两种类型都可以基于序列号和命名来配置，我们建议使用命名来配置访问控制列表，这样在以后的修改中也是很方便的。

4、访问控制列表具有什么样的特点？

A、它是判断语句，只有两种结果，要么是拒绝(deny),要么是允许(permit)；

B、它按照由上而下的顺序处理列表中的语句；

C、处理时，不匹配规则就一直向下查找，一旦找到匹配的语句就不再继续向下执行；

D、在思科中默认隐藏有一条拒绝所有的语句，也就默认拒绝所有(any);

由上面的特点可以总结出，访问控制列表中语句的顺序也是非常重要的，另外就是所配置的列表中必须有一条允许语句。

5、配置访问控制列表需要注意什么？

A、访问控制列表只能过滤流经路由器的流量，对路由器自身发出的数据包不起作用。

B、一个访问控制列表中至少有一条允许语句。

6、配置访问控制列表的步骤是什么？

第一步：创建访问控制列表：

access-list access-list-number {deny|permit} {test conditions}

//access-list-number：序列号，这个地方也可以写命名的名称；

//deny：拒绝；

//permit：允许；

//test conditions：过滤条件语句

第二步：应用访问控制列表：

A、首先要进入接口模式；

B、ip access-group access-list-number {in|out}

7、标准访问控制列表的格式：

access-list [list number| word] [permit|deny] [source address] [wildcard mask]

//[list number|word]列表序列号或者命名

//[permit|deny]允许或者拒绝

//[source address]源IP地址

//[wildcard mask]掩码，如果不使用掩码，则使用关键字Host ,例：host 192.168.2.4

8、扩展访问控制列表的格式：

access-list [list number| word] [permit | deny] [protocol | protocol key word] [source address] [source-swidcard mask] [source port] [destination address] [destination-wildceard mask] [destination port]

//[list number| word]访问控制列表的序列号或者命名

//[permit | deny]允许或者拒绝

//[protocol | protocol key word]协议或者协议号

//[source address]源IP地址

//[source-swidcard mask]源地址掩码，如果使用关键字host，则不用掩码

//[source port]源端口

//[destination address]目的地IP地址

//[destination-wildceard mask]目的地地址掩码，如果使用host关键字，则不用掩码

//[destination port]目的端口