cisco路由器配置acl詳解-文庫吧在線文庫
【正文】 訪問控制列表ACL分很多種，不同場合應(yīng)用不同種類的ACL。路由器連接了二個網(wǎng)段。int e 1另外在路由器連接網(wǎng)絡(luò)不多的情況下也可以在E0端口使用ip accessgroup 1 out命令來宣告，宣告結(jié)果和上面最后兩句命令效果一樣。ip accessgroup 1 in如果要更加復(fù)雜的控制數(shù)據(jù)包的傳輸就需要使用擴展訪問控制列表了，他可以滿足我們到端口級的要求。這時候就需要使用擴展訪問控制列表了。進入E1端口 將ACL101宣告出去擴展ACL有一個最大的好處就是可以保護服務(wù)器，例如很多服務(wù)器為了更好的提供服務(wù)都是暴露在公網(wǎng)上的，這時為了保證服務(wù)正常提供所有端口都對外界開放，很容易招來黑客和病毒的攻擊，通過擴展ACL可以將除了服務(wù)端口以外的其他端口都封鎖掉，降低了被攻擊的機率。所以當(dāng)使用中低檔路由器時應(yīng)盡量減少擴展ACL的條目數(shù)，將其簡化為標(biāo)準ACL或?qū)⒍鄺l擴展ACL合一是最有效的方法。正是因為使用了基于名稱的訪問控制列表，我們使用no permit 。accesslist 101 permit tcp established這樣根據(jù)“最靠近受控對象原則”即在檢查ACL規(guī)則時是采用自上而下在ACL中一條條檢測的，只要發(fā)現(xiàn)符合條件了就立刻轉(zhuǎn)發(fā)，而不繼續(xù)檢測下面的ACL語句。要想使基于時間的ACL生效需要我們配置兩方面的命令：路由器連接了二個網(wǎng)段，,。accesslist 101 deny tcp any eq ftp timerange softer小提示：有established的訪問列表允許有ACK的包通過，沒有ACK的不過（也就是B發(fā)起的訪問不過）。也就是說，A可以訪問B的時候，B也能訪問A。如果在擴展ACL最后加上loginput，則不僅會保存流量信息，還會將數(shù)據(jù)包通過的端口信息也進行保存。基于時間的ACL比較適合于時間段的管理，平時無法訪問。設(shè)置ACL。定義時間段及時間范圍。配置實例： 筆者所在公司就使用的這種反向ACL的方式進行防病毒的，運行了一年多效果很不錯，也非常穩(wěn)定。解決的方法是在ESTABLISHED那句前頭再添加一個擴展ACL規(guī)則，例如：accesslist 101 permit tcp eq 定義ACL101，前提是TCP連接已經(jīng)建立了的。路由器配置命令：我們還是通過實例為大家講解。通過配置反向ACL可以保證AB兩個網(wǎng)段的計算機互相PING，A可以PING通B而B不能PING通A。不過即使再科學(xué)的訪問控制列表規(guī)則也可能會因為未知病毒的傳播而無效，畢竟未知病毒使用的端口是我們無法估計的，而且隨著防范病毒數(shù)量的增多會造成訪問控制列表規(guī)則過多，在一定程度上影響了網(wǎng)絡(luò)訪問的速度。不過我們可以用基于名稱的訪問控制列表來解決這個問題。ip accessgroup 101 outint e 1路由器連接了二個網(wǎng)段，,。使用擴
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1