cisco訪問控制列表(編輯修改稿)
2025-08-25 18:05 本頁面
【文章內(nèi)容簡介】 ACL加速的情況下，擴展ACL會消耗大量的路由器CPU資源。所以當使用中低檔路由器時應(yīng)盡量減少擴展ACL的條目數(shù)，將其簡化為標準ACL或?qū)⒍鄺l擴展ACL合一是最有效的方法?；诿Q的訪問控制列表 不管是標準訪問控制列表還是擴展訪問控制列表都有一個弊端，那就是當設(shè)置好ACL的規(guī)則后發(fā)現(xiàn)其中的某條有問題，希望進行修改或刪除的話只能將全部ACL信息都刪除。也就是說修改一條或刪除一條都會影響到整個ACL列表。這一個缺點影響了我們的工作，為我們帶來了繁重的負擔。不過我們可以用基于名稱的訪問控制列表來解決這個問題。一、基于名稱的訪問控制列表的格式： ip accesslist [standard|extended] [ACL名稱] 例如：ip accesslist standard softer就建立了一個名為softer的標準訪問控制列表。 二、基于名稱的訪問控制列表的使用方法： 當我們建立了一個基于名稱的訪問列表后就可以進入到這個ACL中進行配置了。 例如我們添加三條ACL規(guī)則 permit permit permit ，如果使用不是基于名稱的訪問控制列表的話，使用no permit 。正是因為使用了基于名稱的訪問控制列表，我們使用no permit 。 總結(jié)：如果設(shè)置ACL的規(guī)則比較多的話，應(yīng)該使用基于名稱的訪問控制列表進行管理，這樣可以減輕很多后期維護的工作，方便我們隨時進行調(diào)整ACL規(guī)則。反向訪問控制列表： 我們使用訪問控制列表除了合理管理網(wǎng)絡(luò)訪問以外還有一個更重要的方面，那就是防范病毒，我們可以將平時常見病毒傳播使用的端口進行過濾，將使用這些端口的數(shù)據(jù)包丟棄。這樣就可以有效的防范病毒的攻擊。 不過即使再科學的訪問控制列表規(guī)則也可能會因為未知病毒的傳播而無效，畢竟未知病毒使用的端口是我們無法估計的，而且隨著防范病毒數(shù)量的增多會造成訪問控制列表規(guī)則過多，在一定程度上影響了網(wǎng)絡(luò)訪問的速度。這時我們可以使用反向控制列表來解決以上的問題。一、反向訪問控制列表的用途 反向訪問控制列表屬于ACL的一種高級應(yīng)用。他可以有效的防范病毒。通過配置反向ACL可以保證AB兩個網(wǎng)段的計算機互相PING，A可以PING通B而B不能PING通A。 說得通俗些的話就是傳輸數(shù)據(jù)可以分為兩個過程，首先是源主機向目的主機發(fā)送連接請求和數(shù)據(jù)，然后是目的主機在雙方建立好連接后發(fā)送數(shù)據(jù)給源主機。反向ACL控制的就是上面提到的連接請求。二、反向訪問控制列表的格式 反向訪問控制列表格式非常簡單，只要在配置好的擴展訪問列表最后加上established即可。我們還是通過實例為大家講解。反向訪問控制列表配置實例 網(wǎng)絡(luò)環(huán)境介紹： 我們采用如圖所示的網(wǎng)絡(luò)結(jié)構(gòu)。路由器連接了二個網(wǎng)段，,。 配置實例：。 路由器配置命令： accesslist 101 permit tcp established 定義ACL101，前提是TCP連接已經(jīng)建立了的。 int e 1 進入E1端口 ip accessgroup 101 out 將ACL101宣告出去 。因為病毒要想傳播都是主動進行TCP連接的，因此病毒無法順利傳播。 小提示：，PING不通則說明ACL配置成功。 通過上文配置的反向ACL會出現(xiàn)一個問題。解決的方法是在ESTABLISHED那句前頭再添加一個擴展ACL規(guī)則，例如：accesslist 101 permit tcp eq 這樣根據(jù)“最靠近受控對象原則”即在檢查ACL規(guī)則時是采用自上而
數(shù)學相關(guān)推薦
鄂ICP備17016276號-1