網(wǎng)絡(luò)硬件設(shè)備安全教材(編輯修改稿)
2025-02-26 14:31 本頁面
【文章內(nèi)容簡介】 拒絕 IP地址為 ? rule 20 permit 允許從 ? rule 30 deny . 拒絕從 ? rule 40 permit 允許來自172網(wǎng)段的任何主機的訪問 ② firewall packetfilter命令應(yīng)用 ? firewall packetfilter命令可把某個現(xiàn)有的 ACL與某個接口聯(lián)系起來。配置時必須先進入到目的接口 (如 S0/0)的接口配置模式。命令格式如下： ? firewall packetfilter aclnumber { inbound | outbound } [ matchfragments{ normally | exactly } ] ? 參數(shù) aclnumber是 ACL 的序號， inbound表示過濾從接口收上來的數(shù)據(jù)包， outbound表示過濾從接口轉(zhuǎn)發(fā)的數(shù)據(jù)包， matchfragments指定分片的匹配模式 (只有高級 ACL有此參數(shù) )， normally是標(biāo)準(zhǔn)匹配模式 (缺省模式 )， exactly是精確匹配模式。 ? 在實際配置基本 ACL時，可以應(yīng)用基本 ACL允許或禁止特定的通信流量，然后測試該 ACL是否達到預(yù)期結(jié)果。 (3) 高級 ACL的配置 ? 高級 ACL比基本 ACL使用更廣泛，因為它提供了更大的彈性和控制范圍。高級 ACL既可檢查分組的源地址和目的地址，也可檢查協(xié)議類型和TCP/UDP的端口號。 ? 高級 ACL可以基于分組的源地址、目的地址、協(xié)議類型、端口地址和應(yīng)用來決定訪問是被允許還是拒絕。高級 ACL可以在拒絕文件傳輸和網(wǎng)頁瀏覽的同時，允許從 E0/0的 Email通信流量抵達目的地 S0/0。一旦分組被丟棄，某些協(xié)議將返回一個回應(yīng)分組到源發(fā)送端，以表明目的不可達。 高級 ACL命令的完整語法為： ? rule [ ruleid ] { permit | deny | ment text } protocol [ source souraddr sourwildcard | any ] [ destination destaddr destmask | any ] [ soucreport operator port1 [ port2 ] ] [ destinationport operator port1 [ port2 ] ] [ icmptype { icmpmessage |icmptype icmpcode} ] [ dscp dscp ] [ precedence precedence ] [ tos tos ] [ timerange timename ] [ logging ] [ fragment ] [ vpninstance ] 刪除高級 ACL命令的完整語法為： ? undo rule ruleid [ ment text ] [ source ] [ destination ] [ sourceport ] [ destinationport ] [ icmptype ] [ dscp ] [ precedence ] [ tos ] [ timerange ][ logging ] [ fragment ] [ vpninstance vpninstancename ] 一個簡單的高級 ACL配置實例如下： ? rule 10 permit tcp any eq tel ? rule 20 permit tcp any eq ftp ? rule 30 permit tcp any eq ftpdata ? rule 40 deny any any ? 第 1條判斷語句設(shè)置允許 訪問外部網(wǎng)的 TELNET服務(wù)。 ? 第 2條判斷語句設(shè)置允許 訪問外部網(wǎng)的 FTP服務(wù)。 ? 第 3條判斷語句設(shè)置允許 訪問外部網(wǎng)的 FTP數(shù)據(jù)服務(wù)。 ? 第 4條判斷語句設(shè)置拒絕滿足前面三條 ACL要求的其他網(wǎng)絡(luò)服務(wù)。 4． NAT技術(shù) ? 隨著 Inter的迅速發(fā)展， IP地址短缺及路由規(guī)模越來越大已成為相當(dāng)嚴(yán)重的問題。為了解決這個問題，出現(xiàn)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1