組網(wǎng)技術(shù)-第六章訪問控制列表(編輯修改稿)
2024-11-12 21:07 本頁面
【文章內(nèi)容簡介】 eny 允許或拒絕 ?Protocol 協(xié)議 (IP、 TCP、 UDP或其他的 IP子協(xié)議 ) ?Sourceaddr 源地址， sourcewildcard源通配符掩碼 ?destinationaddr 目的地址， destinationwildcard目的通配符掩碼 ?Operator關(guān)系運(yùn)算符 (大于 gt、小于 lt、等于 eq、不等于 ) ? operand 端口號 ?Established如果數(shù)據(jù)包使用一個已建連接，便可允許 tcp信息通過 常見端口號 端口號 (Port Number) 20 文件傳輸協(xié)議（ FTP）數(shù)據(jù) 21 文件傳輸協(xié)議（ FTP）程序 23 遠(yuǎn)程登錄（ Tel） 25 簡單郵件傳輸協(xié)議（ SMTP） 69 普通文件傳送協(xié)議（ TFTP） 80 超文本傳輸協(xié)議 (HTTP) 53 域名服務(wù)系統(tǒng)（ DNS） 擴(kuò)展 ACL實(shí)例 1 accesslist 101 deny tcp eq 21 accesslist 101 deny tcp eq 20 accesslist 101 permit ip any any interface ether 0 ip accessgroup 101 out 要求： E0轉(zhuǎn)發(fā)出的 FTP流量 E0 S0 E1 Non ACL在端口綁定的規(guī)則 ? 命令行是用于過濾經(jīng)過 router的數(shù)據(jù)包 ,它并不會過濾 router本身所產(chǎn)生的數(shù)據(jù)包 ? 盡可能的把 IP標(biāo)準(zhǔn)訪問列表放置在離目標(biāo)地址近的地方，把 IP擴(kuò)展訪問列表放置在離源地址近的地方。 E0 S0 E1 標(biāo)準(zhǔn) ACL與擴(kuò)展 ACL比較 標(biāo)準(zhǔn)（ Standard） 擴(kuò)展（ Extended） 過濾基于源 （ Filters Based onSource.） 過濾基于源和目的（ Filters Based on Source and destination.） 允許或拒絕整個協(xié)議族（ Permit or deny entire TCP/IP protocol suite.） 允許或拒絕特定的 IP協(xié)議或端口 （ Specifies a specific IP protocol and port number.） 范圍（ 100199） Range is 100 through 199. 范圍（ 199） Range is 1 through 99 擴(kuò)展 ACL實(shí)例 2 擴(kuò)展 ACL實(shí)例 2—— 問題 1 ? 拒絕 FTP通信通過 E1 ? Accesslist 101 deny tcp eq 21 ? //拒絕 tcp 21 ? Accesslist 101 permit ip ? //允許 向任何其他的地方發(fā)任何包 ? Interface ether 1 ? //設(shè)置 E1 ? Ip accessgroup 101 in ? //應(yīng)用 ACL101 擴(kuò)展 ACL實(shí)例 2—— 問題 2 ? 僅僅允許從 mail流量，拒絕所有其他來源各類型的通信流量。 ? Accesslist 101 permit tcp any eq 25 ? //允許 tcp 25 ? Accesslist 101 deny ip any any ? //其余通信一律拒絕 ? Interface ether 1 ? //配置 E1 ? Ip accessgroup 101 in ? //應(yīng)用 ACL101 訪問列表綜合實(shí)例 (1)實(shí)例 1 標(biāo)準(zhǔn)訪問列表 ? router有 3個 LAN的連接 1個 Inter的連接 .現(xiàn)在 ,銷售部的用戶不允許訪問金融部的用戶 ,但是允許他們訪問市場部和 Inter連接。 訪問列表綜合實(shí)例 ——標(biāo)準(zhǔn) ? 配置如下 : Router(config)accesslist 10 deny Router(config)accesslist 10 permit any ? 接下來把訪問列表綁定在接口上 ,盡可能的把標(biāo)準(zhǔn)IP 訪問列表放置在離目標(biāo)地址近的地方，所以把訪問列表 10放在 E1接口 ,方向?yàn)槌?,即 : Router(config)int e1 Router(configif)ip accessgroup 10 out 訪問列表綜合實(shí)例 ——擴(kuò)展 ? 假如要拒絕所有主機(jī)訪問位于金融部的一臺主機(jī) 上的 Tel和 FTP服務(wù)，配置如下 : ? Router(config)accesslist
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1