網(wǎng)絡(luò)互聯(lián)技術(shù)第07章訪問控制列表(編輯修改稿)
2025-05-27 06:26 本頁面
【文章內(nèi)容簡介】 路由器虛擬終端的訪問，基于安全考慮，對路由器虛擬終端的訪問和來自路由器虛擬終端的訪問都應(yīng)該被拒絕，以下設(shè)置：只允許 網(wǎng)段內(nèi)的主機訪問路由器的虛擬端口。 第三部分：擴展訪問控制列表 一、擴展訪問控制列表簡介 顧名思義，擴展的 IP訪問控制列表用于擴展報文過濾能力。一個擴展的 IP訪問控制列表允許用戶根據(jù)如下內(nèi)容過濾報文 :源地址、目的地址、協(xié)議類型、源端口、目的端口以及在特定報文字段中允許進行特殊位比較等等。例如，通過擴展 IP訪問控制列表用戶可以實現(xiàn)：允許外部 WEB通信量通過，而拒絕外來的 FTP和Tel通信量。 擴展 ACL既檢查數(shù)據(jù)包的源地址，也檢查數(shù)據(jù)包的目的地址。此外，還可以檢查數(shù)據(jù)包特定的協(xié)議類型、端口號等。這種擴展后的特性給管理員帶來了更大的靈活性，可以靈活多變地設(shè)置ACL的測試條件。數(shù)據(jù)包是否被允許通過出口，既可以基于它的源地址，也可以基于它的目的地址。 第三部分：擴展訪問控制列表 二、擴展訪問控制列表的定義 （ 1）語法格式： Router(config) accesslist accesslistnumber | permit |deny | protocol source [sourcewildcardmask destination desitinationwildcardmask] [operator port] （ 2）參數(shù)說明 ?list number：擴展 IP訪問控制列表的表號標識從 l00到 199 。 ?protocol：定義了需要被過濾的協(xié)議，例如 IP、 TCP、 UDP、ICMP. ?源端口號和目的端口號：源端口號可以用幾種不同的方法來指定。它可以顯式地指定，使用一個數(shù)字或者使用一個可識別的助記符。例如，我們可以使用 80或者 來指定 Web的超文本傳輸協(xié)議。目的端口號的指定方法與源端口號的指定方法相同。 第三部分：擴展訪問控制列表 三、常用的服務(wù)端口號 ?文件傳輸服務(wù)（ FTP ）使用的默認端口號為 21（其中數(shù)據(jù)傳輸使用端口 20 、控制命令的傳輸使用端口 21） ?Tel 遠程登錄服務(wù)使用的默認端口號為 23 ?簡單郵件服務(wù)（ SMTP ）使用的默認端口號為 25 ?簡單文件傳輸服務(wù)（ TFTP ）使用的默認端口號為 69 ?域名服務(wù)（ DNS ）使用的默認端口號為 53 ?WEB服務(wù)（ HTTP ）使用的默認端口號為 80 第三部分：擴展訪問控制列表 四、擴展訪問控制列表應(yīng)用一： ?Router(config) accesslist 116 deny ip host ?Router(config) accesslist 116 permit ip any any ?Router(config) interface ether 0/0 ?Router(configif) ip accessgroup 116 in 目的： 拒絕主機 對 網(wǎng)絡(luò)內(nèi)任何主機的任何訪問。 由于可根據(jù)目標 IP地址對數(shù)據(jù)包進行過濾，因此原則上擴展訪問控制列表應(yīng)放置離源主機最近的位置。這樣可減少無用數(shù)據(jù)飯的傳遞，從而減少網(wǎng)絡(luò)流量。 第三部分：擴展訪問控制列表 五、擴展訪問控制列表應(yīng)用二： ?Router(config) accesslist 118 permit tcp any eq ?Router(config) accesslist 118 permit tcp any eq 21 ?Router(config) accesslist 118 permit tcp any eq 20 ?Router(config) interface ether 0/0 ?Router(configif) ip accessgroup 118 in 目的 ： 不允許 內(nèi)除 WEB、 FTP服務(wù)以外的其他服務(wù)。 （由于默認禁止了 ICMP數(shù)據(jù)包，因此，雖然 絡(luò)內(nèi)的主機可以 WEB、 FTP方式訪問指定的主機，但無法 ping通提供 WEB、 FTP服務(wù)的主機：、 ） 第三部分：擴展訪問控制列表 六、擴展訪問控制列表應(yīng)用三： ?Router(config) accesslist 128 permit tcp any host eq ?Router(config) accesslist 128 permit tcp any host eq 21 ?Router(config) accesslist 128 permit tcp any host eq 20 ?Router(config) interface ether 0/1 ?Router(configif) ip accessgroup 128 out 目的 ： 只允許所有主機訪問 WEB和 FTP服務(wù)。 第三部分：擴展訪問控制列表 七、擴展訪問控制列表應(yīng)用四： Router(config) accesslist 101 deny tcp eq 21 Router(config) accesslist 101 permit ip any any Router(config) interface ether 0 Router(configif) ip a
物理相關(guān)推薦
鄂ICP備17016276號-1