cisco路由器配置acl詳解(編輯修改稿)
2024-08-31 10:12 本頁面
【文章內(nèi)容簡介】 accesslist ACL號 [permit|deny] [協(xié)議] [定義過濾源主機范圍][定義過濾源端口] [定義過濾目的主機訪問] [定義過濾目的端口]例如：accesslist 101 deny tcp any host eq （WWW）TCP連接的數(shù)據(jù)包丟棄。小提示：同樣在擴展訪問控制列表中也可以定義過濾某個網(wǎng)段，當(dāng)然和標(biāo)準(zhǔn)訪問控制列表一樣需要我們使用反向掩碼定義IP地址后的子網(wǎng)掩碼。擴展訪問控制列表實例我們采用如圖所示的網(wǎng)絡(luò)結(jié)構(gòu)。路由器連接了二個網(wǎng)段，,。配置任務(wù)：，包括那臺服務(wù)器，而其他服務(wù)不能訪問。路由器配置命令：accesslist 101 permit tcp any eq 設(shè)置ACL101，容許源地址為任意IP。由于CISCO默認(rèn)添加DENY ANY的命令，所以ACL只寫此一句即可。int e 1進入E1端口ip accessgroup 101 out 將ACL101宣告出去擴展ACL有一個最大的好處就是可以保護服務(wù)器，例如很多服務(wù)器為了更好的提供服務(wù)都是暴露在公網(wǎng)上的，這時為了保證服務(wù)正常提供所有端口都對外界開放，很容易招來黑客和病毒的攻擊，通過擴展ACL可以將除了服務(wù)端口以外的其他端口都封鎖掉，降低了被攻擊的機率。如本例就是僅僅將80端口對外界開放?？偨Y(jié)：擴展ACL功能很強大，他可以控制源IP，目的IP，源端口，目的端口等，能實現(xiàn)相當(dāng)精細的控制，擴展ACL不僅讀取IP包頭的源地址/目的地址，還要讀取第四層包頭中的源端口和目的端口的IP。不過他存在一個缺點，那就是在沒有硬件ACL加速的情況下，擴展ACL會消耗大量的路由器CPU資源。所以當(dāng)使用中低檔路由器時應(yīng)盡量減少擴展ACL的條目數(shù)，將其簡化為標(biāo)準(zhǔn)ACL或?qū)⒍鄺l擴展ACL合一是最有效的方法?；诿Q的訪問控制列表不管是標(biāo)準(zhǔn)訪問控制列表還是擴展訪問控制列表都有一個弊端，那就是當(dāng)設(shè)置好ACL的規(guī)則后發(fā)現(xiàn)其中的某條有問題，希望進行修改或刪除的話只能將全部ACL信息都刪除。也就是說修改一條或刪除一條都會影響到整個ACL列表。這一個缺點影響了我們的工作，為我們帶來了繁重的負(fù)擔(dān)。不過我們可以用基于名稱的訪問控制列表來解決這個問題。一、基于名稱的訪問控制列表的格式：ip accesslist [standard|extended] [ACL名稱]例如：ip accesslist standard softer就建立了一個名為softer的標(biāo)準(zhǔn)訪問控制列表。二、基于名稱的訪問控制列表的使用方法：當(dāng)我們建立了一個基于名稱的訪問列表后就可以進入到這個ACL中進行配置了。例如我們添加三條ACL規(guī)則permit permit permit ，如果使用不是基于名稱的訪問控制列表的話，使用no permit 。正是
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1