cisco路由器配置acl詳解(存儲(chǔ)版)
【正文】 地址進(jìn)行過濾。擴(kuò)展訪問控制列表的格式：accesslist ACL號(hào) [permit|deny] [協(xié)議] [定義過濾源主機(jī)范圍]擴(kuò)展訪問控制列表實(shí)例由于CISCO默認(rèn)添加DENY ANY的命令，所以ACL只寫此一句即可。不過他存在一個(gè)缺點(diǎn)，那就是在沒有硬件ACL加速的情況下，擴(kuò)展ACL會(huì)消耗大量的路由器CPU資源。例如我們添加三條ACL規(guī)則permit 如果使用不是基于名稱的訪問控制列表的話，使用no permit 。這樣就可以有效的防范病毒的攻擊。二、反向訪問控制列表的格式配置實(shí)例：?；跁r(shí)間的訪問控制列表就屬于高級(jí)技巧之一。我們采用如圖所示的網(wǎng)絡(luò)結(jié)構(gòu)。宣告ACL101。log accesslist 101 permit tcp any eq logA用TCP訪問B時(shí)，所有B到A的數(shù)據(jù)都會(huì)有ACK（回應(yīng)）。如果有如下要求：A可以隨意用TCP訪問B，B不能訪問A。網(wǎng)絡(luò)管理員就是要能夠合理的管理公司的網(wǎng)絡(luò)，俗話說知己知彼方能百戰(zhàn)百勝，所以有效的記錄ACL流量信息可以第一時(shí)間的了解網(wǎng)絡(luò)流量和病毒的傳播方式。設(shè)置ACL，容許其他時(shí)間段和其他條件下的正常訪問。配置任務(wù)：，工作時(shí)間不能下載該FTP資源。上面我們介紹了標(biāo)準(zhǔn)ACL與擴(kuò)展ACL，實(shí)際上我們數(shù)量掌握了這兩種訪問控制列表就可以應(yīng)付大部分過濾網(wǎng)絡(luò)數(shù)據(jù)包的要求了。將ACL101宣告出去進(jìn)入E1端口這時(shí)我們可以使用反向控制列表來解決以上的問題。 總結(jié)：如果設(shè)置ACL的規(guī)則比較多的話，應(yīng)該使用基于名稱的訪問控制列表進(jìn)行管理，這樣可以減輕很多后期維護(hù)的工作，方便我們隨時(shí)進(jìn)行調(diào)整ACL規(guī)則。ip accesslist [standard|extended] [ACL名稱]基于名稱的訪問控制列表例如：accesslist 101 deny tcp any host eq （WWW）TCP連接的數(shù)據(jù)包丟棄。擴(kuò)展訪問控制列表使用的ACL號(hào)為100到199。擴(kuò)展訪問控制列表：標(biāo)準(zhǔn)訪問控制列表實(shí)例二將ACL 1宣告。實(shí)例1：。命令如下：accesslist 10 deny 由于ACL是使用包過濾技術(shù)來實(shí)現(xiàn)的，過濾的依據(jù)又僅僅只是第三層和第四層包頭中的部分信息，這種技術(shù)具有一些固有的局限性，如無法識(shí)別到具體的人，無法識(shí)別到應(yīng)用內(nèi)部的權(quán)限級(jí)別等。所有的網(wǎng)絡(luò)層訪問權(quán)限控制。由于ACL涉及的配置命令很靈活，功能也很強(qiáng)大，所以我們不能只通過一個(gè)小小的例子就完全掌握全部ACL的配置。這一點(diǎn)要特別注意，雖然我們可以修改這個(gè)默認(rèn)，但未改前一定要引起重視。其中最簡(jiǎn)單的就是標(biāo)準(zhǔn)訪問控制列表，標(biāo)準(zhǔn)訪問控制列表是通過使用IP包中的源IP地址進(jìn)行過濾，使用的訪問控制列表號(hào)1到99來創(chuàng)建相應(yīng)的ACL
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1