cisco訪問控制列表(編輯修改稿)
2025-08-25 18:05 本頁面
【文章內(nèi)容簡介】 ACL加速的情況下，擴(kuò)展ACL會(huì)消耗大量的路由器CPU資源。所以當(dāng)使用中低檔路由器時(shí)應(yīng)盡量減少擴(kuò)展ACL的條目數(shù)，將其簡化為標(biāo)準(zhǔn)ACL或?qū)⒍鄺l擴(kuò)展ACL合一是最有效的方法?；诿Q的訪問控制列表 不管是標(biāo)準(zhǔn)訪問控制列表還是擴(kuò)展訪問控制列表都有一個(gè)弊端，那就是當(dāng)設(shè)置好ACL的規(guī)則后發(fā)現(xiàn)其中的某條有問題，希望進(jìn)行修改或刪除的話只能將全部ACL信息都刪除。也就是說修改一條或刪除一條都會(huì)影響到整個(gè)ACL列表。這一個(gè)缺點(diǎn)影響了我們的工作，為我們帶來了繁重的負(fù)擔(dān)。不過我們可以用基于名稱的訪問控制列表來解決這個(gè)問題。一、基于名稱的訪問控制列表的格式： ip accesslist [standard|extended] [ACL名稱] 例如：ip accesslist standard softer就建立了一個(gè)名為softer的標(biāo)準(zhǔn)訪問控制列表。 二、基于名稱的訪問控制列表的使用方法： 當(dāng)我們建立了一個(gè)基于名稱的訪問列表后就可以進(jìn)入到這個(gè)ACL中進(jìn)行配置了。 例如我們添加三條ACL規(guī)則 permit permit permit ，如果使用不是基于名稱的訪問控制列表的話，使用no permit 。正是因?yàn)槭褂昧嘶诿Q的訪問控制列表，我們使用no permit 。 總結(jié)：如果設(shè)置ACL的規(guī)則比較多的話，應(yīng)該使用基于名稱的訪問控制列表進(jìn)行管理，這樣可以減輕很多后期維護(hù)的工作，方便我們隨時(shí)進(jìn)行調(diào)整ACL規(guī)則。反向訪問控制列表： 我們使用訪問控制列表除了合理管理網(wǎng)絡(luò)訪問以外還有一個(gè)更重要的方面，那就是防范病毒，我們可以將平時(shí)常見病毒傳播使用的端口進(jìn)行過濾，將使用這些端口的數(shù)據(jù)包丟棄。這樣就可以有效的防范病毒的攻擊。 不過即使再科學(xué)的訪問控制列表規(guī)則也可能會(huì)因?yàn)槲粗《镜膫鞑ザ鵁o效，畢竟未知病毒使用的端口是我們無法估計(jì)的，而且隨著防范病毒數(shù)量的增多會(huì)造成訪問控制列表規(guī)則過多，在一定程度上影響了網(wǎng)絡(luò)訪問的速度。這時(shí)我們可以使用反向控制列表來解決以上的問題。一、反向訪問控制列表的用途 反向訪問控制列表屬于ACL的一種高級(jí)應(yīng)用。他可以有效的防范病毒。通過配置反向ACL可以保證AB兩個(gè)網(wǎng)段的計(jì)算機(jī)互相PING，A可以PING通B而B不能PING通A。 說得通俗些的話就是傳輸數(shù)據(jù)可以分為兩個(gè)過程，首先是源主機(jī)向目的主機(jī)發(fā)送連接請(qǐng)求和數(shù)據(jù)，然后是目的主機(jī)在雙方建立好連接后發(fā)送數(shù)據(jù)給源主機(jī)。反向ACL控制的就是上面提到的連接請(qǐng)求。二、反向訪問控制列表的格式 反向訪問控制列表格式非常簡單，只要在配置好的擴(kuò)展訪問列表最后加上established即可。我們還是通過實(shí)例為大家講解。反向訪問控制列表配置實(shí)例 網(wǎng)絡(luò)環(huán)境介紹： 我們采用如圖所示的網(wǎng)絡(luò)結(jié)構(gòu)。路由器連接了二個(gè)網(wǎng)段，,。 配置實(shí)例：。 路由器配置命令： accesslist 101 permit tcp established 定義ACL101，前提是TCP連接已經(jīng)建立了的。 int e 1 進(jìn)入E1端口 ip accessgroup 101 out 將ACL101宣告出去 。因?yàn)椴《疽雮鞑ザ际侵鲃?dòng)進(jìn)行TCP連接的，因此病毒無法順利傳播。 小提示：，PING不通則說明ACL配置成功。 通過上文配置的反向ACL會(huì)出現(xiàn)一個(gè)問題。解決的方法是在ESTABLISHED那句前頭再添加一個(gè)擴(kuò)展ACL規(guī)則，例如：accesslist 101 permit tcp eq 這樣根據(jù)“最靠近受控對(duì)象原則”即在檢查ACL規(guī)則時(shí)是采用自上而
數(shù)學(xué)相關(guān)推薦
鄂ICP備17016276號(hào)-1