組網(wǎng)技術(shù)-第六章訪問(wèn)控制列表(編輯修改稿)
2024-11-12 21:07 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 eny 允許或拒絕 ?Protocol 協(xié)議 (IP、 TCP、 UDP或其他的 IP子協(xié)議 ) ?Sourceaddr 源地址， sourcewildcard源通配符掩碼 ?destinationaddr 目的地址， destinationwildcard目的通配符掩碼 ?Operator關(guān)系運(yùn)算符 (大于 gt、小于 lt、等于 eq、不等于 ) ? operand 端口號(hào) ?Established如果數(shù)據(jù)包使用一個(gè)已建連接，便可允許 tcp信息通過(guò) 常見(jiàn)端口號(hào) 端口號(hào) (Port Number) 20 文件傳輸協(xié)議（ FTP）數(shù)據(jù) 21 文件傳輸協(xié)議（ FTP）程序 23 遠(yuǎn)程登錄（ Tel） 25 簡(jiǎn)單郵件傳輸協(xié)議（ SMTP） 69 普通文件傳送協(xié)議（ TFTP） 80 超文本傳輸協(xié)議 (HTTP) 53 域名服務(wù)系統(tǒng)（ DNS） 擴(kuò)展 ACL實(shí)例 1 accesslist 101 deny tcp eq 21 accesslist 101 deny tcp eq 20 accesslist 101 permit ip any any interface ether 0 ip accessgroup 101 out 要求： E0轉(zhuǎn)發(fā)出的 FTP流量 E0 S0 E1 Non ACL在端口綁定的規(guī)則 ? 命令行是用于過(guò)濾經(jīng)過(guò) router的數(shù)據(jù)包 ,它并不會(huì)過(guò)濾 router本身所產(chǎn)生的數(shù)據(jù)包 ? 盡可能的把 IP標(biāo)準(zhǔn)訪問(wèn)列表放置在離目標(biāo)地址近的地方，把 IP擴(kuò)展訪問(wèn)列表放置在離源地址近的地方。 E0 S0 E1 標(biāo)準(zhǔn) ACL與擴(kuò)展 ACL比較 標(biāo)準(zhǔn)（ Standard） 擴(kuò)展（ Extended） 過(guò)濾基于源 （ Filters Based onSource.） 過(guò)濾基于源和目的（ Filters Based on Source and destination.） 允許或拒絕整個(gè)協(xié)議族（ Permit or deny entire TCP/IP protocol suite.） 允許或拒絕特定的 IP協(xié)議或端口 （ Specifies a specific IP protocol and port number.） 范圍（ 100199） Range is 100 through 199. 范圍（ 199） Range is 1 through 99 擴(kuò)展 ACL實(shí)例 2 擴(kuò)展 ACL實(shí)例 2—— 問(wèn)題 1 ? 拒絕 FTP通信通過(guò) E1 ? Accesslist 101 deny tcp eq 21 ? //拒絕 tcp 21 ? Accesslist 101 permit ip ? //允許 向任何其他的地方發(fā)任何包 ? Interface ether 1 ? //設(shè)置 E1 ? Ip accessgroup 101 in ? //應(yīng)用 ACL101 擴(kuò)展 ACL實(shí)例 2—— 問(wèn)題 2 ? 僅僅允許從 mail流量，拒絕所有其他來(lái)源各類型的通信流量。 ? Accesslist 101 permit tcp any eq 25 ? //允許 tcp 25 ? Accesslist 101 deny ip any any ? //其余通信一律拒絕 ? Interface ether 1 ? //配置 E1 ? Ip accessgroup 101 in ? //應(yīng)用 ACL101 訪問(wèn)列表綜合實(shí)例 (1)實(shí)例 1 標(biāo)準(zhǔn)訪問(wèn)列表 ? router有 3個(gè) LAN的連接 1個(gè) Inter的連接 .現(xiàn)在 ,銷售部的用戶不允許訪問(wèn)金融部的用戶 ,但是允許他們?cè)L問(wèn)市場(chǎng)部和 Inter連接。 訪問(wèn)列表綜合實(shí)例 ——標(biāo)準(zhǔn) ? 配置如下 : Router(config)accesslist 10 deny Router(config)accesslist 10 permit any ? 接下來(lái)把訪問(wèn)列表綁定在接口上 ,盡可能的把標(biāo)準(zhǔn)IP 訪問(wèn)列表放置在離目標(biāo)地址近的地方，所以把訪問(wèn)列表 10放在 E1接口 ,方向?yàn)槌?,即 : Router(config)int e1 Router(configif)ip accessgroup 10 out 訪問(wèn)列表綜合實(shí)例 ——擴(kuò)展 ? 假如要拒絕所有主機(jī)訪問(wèn)位于金融部的一臺(tái)主機(jī) 上的 Tel和 FTP服務(wù)，配置如下 : ? Router(config)accesslist
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1