本文共 5315 字，大约阅读时间需要 17 分钟。
扩展ACL：
能够同时匹配IP数据包的(源IP 目标IP) 传输层协议IP-ACL（3层ACL，针对的是3层流量）扩展ACL匹配流量，更加精确： 确定流量的唯一5元组： 源IP、目标IP、源端口、目标端口、传输层协议。 对数据而言，凡是能够通过“传输层协议+端口号”的方式 进行表示的，则表示该数据是属于“应用层”。 路由器查找路由表时，有一个最长匹配原则， 匹配的越长，表示地址越精确。
实验名称：扩展ACL的原理与应用
实验拓扑：实验需求：
R1可以ping通R4； R1的 loopback 10 无法 telnet R4 ； 实验步骤： 1、确保网络互通 基于拓扑图，配置设备端口地址； 配置静态路由，确保网段互通； &默认路由： 0.0.0.0 0.0.0.0 -> 0.0.0.0/0 ,表示所有网络。2、配置ACL策略 想要抓取一个流量 必须了解一个流量 配置命令：(R2) ip access-list extended Deny-telnet 10 deny tcp 10.10.1.0 0.0.0.255 10.10.4.0 0.0.0.255 eq telnet 20 deny tcp 10.10.1.0 0.0.0.255 192.168.34.0 0.0.0.255 eq telnet 30 permit ip any any
!
或者ip access-list extended Deny-telnet 10 deny tcp 10.10.1.1 0.0.0.0 10.10.4.4 0.0.0.0 eq telnet 20 deny tcp 10.10.1.1 0.0.0.0 192.168.34.4 0.0.0.0 eq telnet 30 permit ip 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.2553、调用ACL策略 R2: interface fas0/1 ip access-group Deny-telnet in 4、验证ACL策略 R2: show ip access-list show ip interface fas0/1 R1: telnet 10.10.4.4 /source-interface loopback 0 -> no telnet 192.168.34.4 /source-interface loopback 0 -> no 其他所有地址之间的所有类型流量，都是通的。
注意：
ACL不会对本地设备发起的流量起作用，仅仅对穿越流量起作用； 实验过程： R1>en R1#conf R1#configure t R1#configure terminal Enter configuration commands, one per line. End with CNTL/Z. R1(config)#int f0/0 R1(config-if)#no shu R1(config-if)#ip add 192.Dec 11 20:51:01.215: %LINK-3-UPDOWN: Interface FastEthernet0/0, changed state to upDec 11 20:51:02.215: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to up R1(config-if)#ip add 192.168.12.1 255.255.255.0 R1(config-if)#exit R1(config)#int l R1(config)#int loopback 10 R1(config-if)#ip add 10.10.1.1 255.255.255.0 R1(config-if)#exit R1(config)#ip routing R1(config)#ip route 192.168.23.0 255.255.255.0 192.168.12.2 R1(config)#no ip route 192.168.23.0 255.255.255.0 192.168.12.2 R1(config)#ip route 0.0.0.0 0.0.0.0 192.168.12.2 R1(config)#exit R1#ping 192.168.34.4 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 192.168.34.4, timeout is 2 seconds: ...!! Success rate is 40 percent (2/5), round-trip min/avg/max = 88/90/92 ms R1#ping 192.168.34.4Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.34.4, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 100/135/192 ms R1# telnet 10.10.4.4 /source-interface loopback 10 Trying 10.10.4.4 ... % Connection timed out; remote host not respondingR2>
R2>en R2#conf R2#configure t R2#configure terminal Enter configuration commands, one per line. End with CNTL/Z. R2(config)#int f0/1 R2(config-if)#no shu R2(config-if)#ip add Dec 11 20:55:18.379: %LINK-3-UPDOWN: Interface FastEthernet0/1, changed state to upDec 11 20:55:19.379: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1, changed state to up R2(config-if)#ip add 192.168.12.2 255.255.255.0 R2(config-if)#exit R2(config)#int f0/0 R2(config-if)#no shu R2(config-if)#ip add 192.168.23.2 255.255.255.0 R2(config-if)#exit R2(config)#ip routing R2(config)#ip route 192.168.34.0 255.255.255.0 192.168.23.3 R2(config)#ip route 10.10.1.0 255.255.255.0 192.168.23.3 R2(config)#ip route 10.10.4.0 255.255.255.0 192.168.23.3 R2(config)#exit R2#conf R2#configure t R2#configure terminal Enter configuration commands, one per line. End with CNTL/Z. R2(config)#ip access-list extended deny-telnet（设置扩展ACL拒绝远程访问） R2(config-ext-nacl)#10 deny tcp 10.10.1.1 0.0.0.0 10.10.4.4 0.0.0.0 eq 23 （拒绝 tcp是第7层应用层，源主机 精确位数 目标主机 精确位数 eq是等于 协议telnet或23是知名端口） R2(config-ext-nacl)#20 deny tcp 10.10.1.1 0.0.0.0 192.168.34.0 0.0.0.255 eq$ 10.10.1.1 0.0.0.0 192.168.34.0 0.0.0.255 eq 23 R2(config-ext-nacl)#30 permit ip any any（允许所有） R2(config-ext-nacl)#exit R2(config)#int fas0/1 R2(config-if)#ip acces R2(config-if)#ip access-group deny-telnet in（对应端口） R2(config-if)#exit R2(config)#R3>en
R3#conf R3#configure t R3#configure terminal Enter configuration commands, one per line. End with CNTL/Z. R3(config)#int f0/1 R3(config-if)#no shu R3(config-if)#ip add 192.168.23.3 255.255.255.0 R3(config-if)#exit R3(config)#int f0/0 R3(config-if)#no shu R3(config-if)#ip add 192.168.34.3 255.255.255.0 R3(config-if)#exit R3(config)#ip routing R3(config)#ip route 192.168.12.0 255.255.255.0 192.168.23.2 R3(config)#ip route 10.10.1.0 255.255.255.0 192.168.23.2 R3(config)#ip route 10.10.4.0 255.255.255.0 192.168.34.4R4>en
R4#conf R4#configure t R4#configure terminal Enter configuration commands, one per line. End with CNTL/Z. R4(config)#int f0/0 R4(config-if)#no shu R4(config-if)#ip add 192.168.34.4 255.255.255.0 R4(config-if)#exit R4(config)#int l R4(config)#int loopback 20 （虚拟端口，回环） R4(config-if)#ip add 10.10.4.4 255.255.255.0 R4(config-if)#exit R4(config)#ip routing R4(config)#ip route 0.0.0.0 0.0.0.0 192.168.34.3 R4(config)#ena R4(config)#enable p R4(config)#enable password 123 R4(config)#li R4(config)#line vt R4(config)#line vty 0 4 （设置远程访问） R4(config-line)#pass R4(config-line)#password 123456 R4(config-line)#本文转自 linuxpp 51CTO博客，原文链接：http://blog.51cto.com/13505118/2049982，如需转载请自行联系原作者