ACL訪問控制列表


1、如果在路由器R1上配置標準的訪問控制列表,阻止PC1訪問PC3,如配置的ACL爲access-list 1 deny 192.168.1.254 0.0.0.0 access-list1 permit any。如果將此訪問列表應用到f0/1接口int f0/1

 ip access-group 1 (in/out)不管此處是in還是out PC1都將無法訪問PC2,但是這兩種情況下,數據包被阻止的情況不一樣,如果應用的是 ip access-group 1 out,那麼從PC1傳送出來的數據包,只能傳到f0/1接口,但不能通過此接口,因爲此時訪問列表將PC1發送的數據包給阻止了。

但是如果應用的是 ip access-group 1 in應用到f0/1接口的,那麼從PC1傳輸的數據包可以通過f0/1接口到達PC2,但是,此時從PC2返回給PC1的流量將無法通過f0/1,因爲此時f0/1的的訪問列表應用的是in(即入口訪問方式),所以進入該接口的數據包將會被阻止。

 

2、但是如果此處用的不是標準的訪問控制列表(即使用的是擴展的訪問控制列表),情況將會有有所不同。

如  access-list 100 deny ip host 192.168.1.254 host 192.168.2.254   access-list 100 permit ip any any 如果將此訪問控制列表應用在f0/1接口下,如  int f0/1    ip access-group 100 (out/in)此處只有是使用的是out時,才能阻止PC1訪問PC2,因爲當PC1發送的數據包到達f0/1接口時,就被訪問控制列表所阻止了,所以無法到達目的主機PC2.

但是如果使用的是ip access-group in應用在f0/1接口下,PC1 的數據包將能通過f0/1的接口到達PC2,也許此有人會認爲,PC1的數據包能通過f0/1,但是PC2返回給PC1 的數據包通不過f0/1的,因爲f0/1應用的是in,可以阻止進入的流量,但是你有沒有考慮到此時,從PC2返回的給PC1的數據包的源地址和目的地址是什麼,(此時返回的源地址是PC2的IP地址,目的地址是PC1的IP地址),而應用在F0/1的ACL的阻止的源地址是PC1的IP地址,目的地址是PC2的IP地址,所以當將返回給PC1的數據包的源地址和目的地址與ACL中阻止的地址相比較的時候,根本就沒有匹配的,所以數據包就可以通過f0/1了。

 

發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章