扩展访问列表

先决条件：访问控制列表（ACL），标准访问控制列表
访问控制列表（ACL）是一组用于控制网络流量、减少网络攻击的规则。这些规则可以用来根据为网络的入站或出站所定义的一系列规则来过滤流量。
扩展访问列表 – 
这是一种常见的访问控制列表类型。因为它能够区分不同类型的IP流量，所以与传统的访问控制列表相比，这种列表不会拒绝或允许所有的流量。这类ACL会同时使用源地址、目标地址以及端口号来区分不同的IP流量。在这种ACL中，我们还可以指定哪些IP流量应该被允许或拒绝。这些范围的设定为：100-199和2000-2699。
特点/特色 – 
 

1. 扩展访问列表通常应用于数据源附近，但并非总是如此。
2. 在扩展访问列表中，数据包的过滤是基于源IP地址、目标IP地址以及端口号来进行的。
3. 在扩展的访问列表中，某些服务可以被允许，而另一些则会被拒绝。
4. 扩展ACL的编号范围为100到199，而其完整的范围则是从2000到2699。
5. 如果使用了带有扩展Access-list的编号方式，那么需要注意的是：这些规则是无法被删除的。如果其中一条规则被删除了，那么整个Access列表也会随之被删除。
6. 如果使用了带有扩展Access-list的命名方式，那么我们就可以灵活地删除Access列表中的某个规则。
    

配置 – 
 

这里有一个小型的拓扑结构，其中包含三个部门：销售部、财务部和市场部。销售部的网络地址为172.16.10.40/24；财务部的网络地址为172.16.50.0/24；市场部的网络地址为172.16.60.0/24。现在，我们希望禁止从销售部到财务部的FTP连接，同时也禁止从销售部和市场部向财务部发起Telnet连接。
现在，首先需要配置一个编号的扩展访问列表，以阻止从销售部门到财务部门的FTP连接。
 

R1# config terminalR1(config)# access-list 110             deny tcp 172.16.40.0 0.0.0.255 172.16.50.0 0.0.0.255 eq 21 

首先，我们创建一个编号的Access-list。在这个列表中，我们使用110作为编号范围，同时禁止销售网络（172.16.40.0）与财务网络（172.16.50.0）之间进行FTP连接。
注意：在这里，FTP使用的是TCP协议以及端口号21。因此，我们需要根据具体情况来指定是否允许或拒绝该请求。此外，在“eq”之后，我们还需要使用指定应用层协议的端口号。
现在，我们必须禁止销售部门和市场营销部门与财务部门进行Telnet连接。也就是说，任何人都不应该与财务部门进行Telnet通信。需要对此进行相应的配置。
 

R1(config)# access-list 110             deny tcp any 172.16.50.0 0.0.0.255 eq 23

在这里，我们使用了关键字“any”，这意味着可以接受任何IP地址。也就是说，可以是来自任何子网掩码下的任何IP地址。由于Telnet使用的是端口号23，因此我们需要在“eq”之后指定端口号23。
 

R1(config)# access-list 110 permit ip any

现在，这是最关键的部分了。正如我们所知，每个访问列表的末尾都包含了一个隐含的拒绝条件。也就是说，如果流量不符合任何一条规则的话，那么这种流量就会被丢弃。
通过指定任何这意味着，任何拥有特定IP地址的流量都会到达财务部门，不过那些不符合我们制定的规则的流量则不会如此。现在，我们需要在路由器的接口上应用相应的访问列表规则了。
 

R1(config)# int fa0/1R1(config-if)# ip access-group 110 out

正如我们所记得的那样，我们必须将扩展的访问列表尽可能地靠近源地址来应用。不过在这里，我们将其应用到离目标地址较近的位置，因为我们需要阻止来自销售部和营销部的流量。因此，我们必须将访问列表应用到离目标地址较近的位置。否则，我们就需要为fa0/0和fa1/0这两个接口分别设置单独的访问列表来处理入站流量。
名为“access-list”的示例—— 
 

现在，考虑到相同的拓扑结构，我们将创建一个带有名称的扩展访问列表。
 

R1(config)# ip access-list extended blockacl

通过使用这条命令，我们创建了一个名为“blockacl”的访问控制列表。
 

R1(config-ext-nacl)# deny tcp 172.16.40.0 0.0.0.255 172.16.50.0 0.0.0.255 eq 21 R1(config-ext-nacl)# deny tcp any 172.16.50.0 0.0.0.255 eq 23R1(config-ext-nacl)# permit ip any

然后，我们仍然使用在编号的access-list中使用的相同配置方式。
 

R1(config)# int fa0/1R1(config-if)# ip access-group blockacl out