[工學(xué)]ccna第10章-安全-文庫吧
2025-02-07 00:51 本頁面
【正文】 輯測試 是否允許 ？ ACL的邏輯測試過程 數(shù)據(jù)報(bào)文 報(bào)文丟棄桶 Y 目的接口 Deny Deny Y 匹配 第一條 規(guī)則 ? Permit Y Deny Deny Y Permit N Deny Permit 匹配 下一條 規(guī)則 ? Y Y ACL的邏輯測試過程 數(shù)據(jù)報(bào)文 目的接口 報(bào)文丟棄桶 匹配 第一條 規(guī)則 ? Y Deny Deny Y Permit N Deny Permit Deny 匹配 最后一條 規(guī)則 ? Y Y N Y Y Permit ACL的邏輯測試過程 數(shù)據(jù)報(bào)文 目的接口 報(bào)文丟棄桶 匹配 下一條 規(guī)則 ? 匹配 第一條 規(guī)則 ? Y Deny Y Permit N Deny Permit Deny Y Y N Y Y Permit 強(qiáng)制丟棄 若無任何匹配 則丟棄 Deny N ACL的邏輯測試過程 數(shù)據(jù)報(bào)文 目的接口 報(bào)文丟棄桶 匹配 第一條 規(guī)則 ? 匹配 下一條 規(guī)則 ? 匹配 最后一條 規(guī)則 ? 范圍 /標(biāo)識 IP 199, 13001999 100199,20222699 Name (Cisco IOS and later) 800899 900999 10001099 Name (Cisco IOS . F and later) Standard Extended SAP filters Named Standard Extended Named ACL類型 IPX ACL分類 標(biāo)準(zhǔn) IP ACL（ 1到 99）根據(jù) IP報(bào)文的源地址測試 擴(kuò)展 IP ACL（ 100到 199）可以測試 IP報(bào)文的源、目的地址、協(xié)議、端口號 源地址 段 Segment （ 例如， TCP首部） 數(shù)據(jù) Data 報(bào)文 Packet （ IP首部） 幀 Frame 首部 （ 例如， HDLC） Deny Permit 使用 ACL規(guī)則語句 199 標(biāo)準(zhǔn) ACL 目的地址 源地址 協(xié)議（例如 TCP） 端口號 使用 ACL規(guī)則語句 100199 Deny Permit 擴(kuò)展 ACL 幀 Frame 首部 （ 例如， HDLC） 報(bào)文 Packet （ IP首部） 段 Segment （ 例如， TCP首部） 數(shù)據(jù) Data 第一步：創(chuàng)建 ACL Router(config) accesslist accesslistnumber { permit | deny } { test conditions } 第二步： 將 ACL綁定到指定接口 Router(configif) { protocol } accessgroup accesslistnumber {in | out} ACL配置 – 0代表檢查對應(yīng)地址位的值 – 1代表忽略對應(yīng)地址位的值 do not check address (ignore bits in octet) = 0 0 1 1 1 1 1 1 128 64 32 16 8 4 2 1 = 0 0 0 0 0 0 0 0 = 0 0 0 0 1 1 1 1 = 1 1 1 1 1 1 0 0 = 1 1 1 1 1 1 1 1 ignore last 6 address bits check all address bits (match all) ignore last 4 address bits check last 2 address bits 示例 翻轉(zhuǎn)掩碼 – 例如： 表示檢查所有的地址位 – 可以使用關(guān)鍵字 host將上語句簡寫為： host 測試條件：檢查所有的地址位（ match all） 一個(gè) IP host關(guān)鍵字的示例如下： 反轉(zhuǎn)掩碼： host關(guān)鍵字 – 接受任何地址： – 可以使用關(guān)鍵字 any將上語句簡寫為： any 測試條件：忽略所有的地址位（ match any） 任何 IP地址 反轉(zhuǎn)掩碼： any關(guān)鍵字 標(biāo)準(zhǔn) ACL的配置 accesslist accesslistnumber {permit|deny} source [mask] Router(config) 為訪問控制列表增加一條測試語句 標(biāo)準(zhǔn) IP ACL的參數(shù) accesslistnumber 取值范圍從 1到 99或 1300到 1999 缺省反轉(zhuǎn)掩碼 = “no accesslist accesslistnumber” 命令刪除指定號碼的 ACL accesslist accesslistnumber {permit|de
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1