cisco路由器配置acl詳解(編輯修改稿)
2024-08-31 10:12 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 accesslist ACL號(hào) [permit|deny] [協(xié)議] [定義過濾源主機(jī)范圍][定義過濾源端口] [定義過濾目的主機(jī)訪問] [定義過濾目的端口]例如：accesslist 101 deny tcp any host eq （WWW）TCP連接的數(shù)據(jù)包丟棄。小提示：同樣在擴(kuò)展訪問控制列表中也可以定義過濾某個(gè)網(wǎng)段，當(dāng)然和標(biāo)準(zhǔn)訪問控制列表一樣需要我們使用反向掩碼定義IP地址后的子網(wǎng)掩碼。擴(kuò)展訪問控制列表實(shí)例我們采用如圖所示的網(wǎng)絡(luò)結(jié)構(gòu)。路由器連接了二個(gè)網(wǎng)段，,。配置任務(wù)：，包括那臺(tái)服務(wù)器，而其他服務(wù)不能訪問。路由器配置命令：accesslist 101 permit tcp any eq 設(shè)置ACL101，容許源地址為任意IP。由于CISCO默認(rèn)添加DENY ANY的命令，所以ACL只寫此一句即可。int e 1進(jìn)入E1端口ip accessgroup 101 out 將ACL101宣告出去擴(kuò)展ACL有一個(gè)最大的好處就是可以保護(hù)服務(wù)器，例如很多服務(wù)器為了更好的提供服務(wù)都是暴露在公網(wǎng)上的，這時(shí)為了保證服務(wù)正常提供所有端口都對(duì)外界開放，很容易招來(lái)黑客和病毒的攻擊，通過擴(kuò)展ACL可以將除了服務(wù)端口以外的其他端口都封鎖掉，降低了被攻擊的機(jī)率。如本例就是僅僅將80端口對(duì)外界開放。總結(jié)：擴(kuò)展ACL功能很強(qiáng)大，他可以控制源IP，目的IP，源端口，目的端口等，能實(shí)現(xiàn)相當(dāng)精細(xì)的控制，擴(kuò)展ACL不僅讀取IP包頭的源地址/目的地址，還要讀取第四層包頭中的源端口和目的端口的IP。不過他存在一個(gè)缺點(diǎn)，那就是在沒有硬件ACL加速的情況下，擴(kuò)展ACL會(huì)消耗大量的路由器CPU資源。所以當(dāng)使用中低檔路由器時(shí)應(yīng)盡量減少擴(kuò)展ACL的條目數(shù)，將其簡(jiǎn)化為標(biāo)準(zhǔn)ACL或?qū)⒍鄺l擴(kuò)展ACL合一是最有效的方法。基于名稱的訪問控制列表不管是標(biāo)準(zhǔn)訪問控制列表還是擴(kuò)展訪問控制列表都有一個(gè)弊端，那就是當(dāng)設(shè)置好ACL的規(guī)則后發(fā)現(xiàn)其中的某條有問題，希望進(jìn)行修改或刪除的話只能將全部ACL信息都刪除。也就是說(shuō)修改一條或刪除一條都會(huì)影響到整個(gè)ACL列表。這一個(gè)缺點(diǎn)影響了我們的工作，為我們帶來(lái)了繁重的負(fù)擔(dān)。不過我們可以用基于名稱的訪問控制列表來(lái)解決這個(gè)問題。一、基于名稱的訪問控制列表的格式：ip accesslist [standard|extended] [ACL名稱]例如：ip accesslist standard softer就建立了一個(gè)名為softer的標(biāo)準(zhǔn)訪問控制列表。二、基于名稱的訪問控制列表的使用方法：當(dāng)我們建立了一個(gè)基于名稱的訪問列表后就可以進(jìn)入到這個(gè)ACL中進(jìn)行配置了。例如我們添加三條ACL規(guī)則permit permit permit ，如果使用不是基于名稱的訪問控制列表的話，使用no permit 。正是
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1