第八章訪問控制列表與端口安全-wenkub
2023-04-03 20:33:54 本頁面
【正文】 3 17 應(yīng)用訪問控制列表到接口 ? Ip accessgroup accesslistnumber in|out ? 訪問控制列表只有被應(yīng)用到某個接口才能達到報文過濾的目的。 ? （ 3）標準的 IP訪問控制列表只匹配源地址，一般都使用擴展的 IP訪問控制列表以達到精確的要求。 – accesslist 10 permit – accesslist 10 permit any 1/20/2023 14 配置訪問控制列表的步驟 ? 第一步是配置訪問控制列表語句 ? 第二步是把配置好的訪問控制列表應(yīng)用到某個端口上。 1/20/2023 13 兩個特殊的關(guān)鍵字 ? Host：表示一種精確匹配，是通配符掩碼 式。 ? （ 5）每個 ACL的結(jié)尾有一個隱含的 deny all（拒絕的所有數(shù)據(jù)包）語句。 1/20/2023 7 訪問控制列表類型 ? 標準 IP訪問控制列表 –編號的標準 IP訪問控制列表 –命名的標準 IP訪問控制列表 ? 擴展 IP訪問控制列表 –編號的擴展 IP訪問控制列表 –命名的擴展 IP訪問控制列表 1/20/2023 8 ACL的一些相關(guān)特性 ? （ 1）每一個接口可以在進入（ Inbound）和離開（ Outbound）兩個方向上分別應(yīng)用一個 ACL，且每個方向上只能應(yīng)用一個ACL。在路由器或交換機的接口上配置訪問控制列表后，可以對進出接口及通過接口中繼的數(shù)據(jù)包進行安全檢測。 ? （ 2）人為但屬于操作人員無意的失誤造成的數(shù)據(jù)丟失或損壞。 ? （ 3）來自園區(qū)網(wǎng)外部和內(nèi)部人員的惡意攻擊和破壞。配置訪問控制列表的目的主要基于以下兩點。 ? （ 2） ACL語句包括兩個動作，一個是拒絕（ Deny），一個是允許（ Permit）。因此，如果包不匹配 ACL中的任何語句，將被拒絕。例如，只檢查 IP地址為 ，可使用以下兩種 ACL語句。 1/20/2023 15 訪問控制列表配置的注意事項 ? （ 1）注意訪問控制列表中語句的次序，盡量把作用范圍小的語句放在前面。 ? （ 4）標準的訪問控制列表盡量靠近目的，擴展的訪問控制列表盡量靠近過濾源的位置，以免訪問控制列表影響其他接口上的數(shù)據(jù)流。 ? 接口上通過的報文有兩個方向，一個是通過接口進入路由器的報文，即 in方向的報文，一個是通過接口離開路由器的報文，即 out方向的報文， out也是訪問控制列表的默認方向。 ? 源端口號：端口號的范圍是 0~65535 1/20/2023 21 端口范圍運算符 運算符及其語法 描 述 例 eq portnumber 等于，用于指定單個的端口 eq 21或 eq ftp gt portnumber 大于，用于指定大于某個端口的一個端口范圍 gt 1024 lt portnumber 小于，用于指定小于某個端口的一個端口范圍 lt 1024 neq portnumber 不等于，用于指定除了某個端口以外的所有端口 neq 21 range portnumber1 portnumber2 指位于兩個端口號間的一個端口范圍 range 135 145 1/20/2023 22 命名訪問控制列表的引入 ? 不管是標準 IP訪問控制列表，還是擴展的 IP訪問控制列表，其編號的范圍都不超過 100個，這樣，就可能出現(xiàn)編號不夠用的情況；還有就是僅用編號區(qū)分的訪問控制列表不便于網(wǎng)絡(luò)管理員對訪問控制列表作用的識別 。在名稱的中間可以包含任何字母數(shù)字混合使用的字符，名稱的最大長度為 100個字符。 ? （ 4）命名訪問控制列表是一個全局命令，它將使用者進入到命名 IP列表的子模式，在該子模式下建立匹配和允許／拒絕動作的相關(guān)語句。 ? （ 2） ip accesslist standard {name}用數(shù)字或名字來定義一條 Standard IP ACL并進入 accesslist配置模式。 ? （ 5） show accesslists [name]顯示該接入控制列表，如果不指定 accesslist及 name參數(shù)，則顯示所有接入控制列表。 ? （ 3） {deny|permit} protocol {source sourcewildcard|host source|any} [operatorport] {destination destinationwildcard|host destination|any} [operator port] ? 在 accesslist配置模式，聲明一個或多個的允許通過（ permit）或丟棄（ deny）的條件以用于決定匹配條件的報文是轉(zhuǎn)發(fā)或還是丟棄。如果操作符在 destination destinationwildcard之后，則報文的目的端口匹配指定值條件生效。 ? （ 5） show accesslists [name]顯示該接入訪問控制列表，如果不指定 name參數(shù)，則顯示所有接入訪問控制列表。 1/20/2023 28 路由器時鐘設(shè)置 ? 路由器時鐘設(shè)置在特權(quán)模式下進行，分為兩步：首先設(shè)置系統(tǒng)日期時間，然后用當前系統(tǒng)時鐘更新路由器實時時鐘。 1/20/2023 30 定義絕對時間范圍 ? Absolute [start startttme startdate] [end endtime enddate] ? startime、 endtime分別用于指定開始和結(jié)束時間，使用24小時表示，其格式為“小時：分鐘”， startdate和enddate分別用于指定開始的日期和結(jié)束的日期，使用日 /月 /年的時間格式，而不是通常采用的月 /日 /年格式，這一點必須注意。它可以使用大量的參數(shù)，其范圍可以是一個星期中的某一天、某幾天的組合，或者使用關(guān)鍵字 daily
教學課件相關(guān)推薦
鄂ICP備17016276號-1