np_10園區(qū)網(wǎng)安全技術(編輯修改稿)
2025-03-31 17:02 本頁面
【文章內(nèi)容簡介】 行 訪問外網(wǎng)的安全控制 訪問列表 ? 訪問控制列表的作用： ? 內(nèi)網(wǎng)布署安全策略，保證內(nèi)網(wǎng)安全權限的資源訪問 ? 內(nèi)網(wǎng)訪問外網(wǎng)時，進行安全的數(shù)據(jù)過濾 ? 防止常見病毒、木馬、攻擊對用戶的破壞 訪問列表規(guī)則的應用 ? 路由器應用訪問列表對流經(jīng)接口的數(shù)據(jù)包進行控制 ? 入站應用（ in） 經(jīng)某接口進入設備內(nèi)部的數(shù)據(jù)包進行安全規(guī)則過濾 ? 出站應用（ out） 設備從某接口向外發(fā)送數(shù)據(jù)時進行安全規(guī)則過濾 ? 一個接口在一個方向只能應用一組訪問控制列表 F1/0 F1/1 IN OUT 訪問列表的入站應用 N Y 是否 允許 ? Y 是否應用 訪問列表 ? N 查找路由表 進行 選路轉(zhuǎn)發(fā) 以 ICMP信息通知源發(fā)送方 訪問列表的出站應用 N Y 選擇出口 S0 路由是 否存在 ? N Y 是否 允許 ? Y 是否應用 訪問列表 ? N S0 S0 以 ICMP信息通知源發(fā)送方 查看訪問列表 的陳述 ACL工作原理及規(guī)則 ? 基本規(guī)則 ? ACL規(guī)則按名稱或編號進行分組 ? 列表中每條 ACL語句有一組條件和一個操作，如果需要多個條件或多個操作，則必須使用多個 ACL語句來完成 ? 如果當前語句的條件沒有匹配，則處理列表中的下一條語句 ? 如果條件匹配，則執(zhí)行語句后面的操作，且不再與其他ACL語句進行匹配 ? 如果列表中的所有語句都不匹配，那么丟棄該數(shù)據(jù)包 ACL工作原理及規(guī)則 ? 特點 ? 由于 ACL語句默認是拒絕不匹配的數(shù)據(jù)包，所以在列表中至少要有一個允許的操作。否則，所有數(shù)據(jù)包都會被拒絕掉 ? 注意語句的順序。條件嚴的語句應該放在列表的頂部，條件寬的語句應該放在列表的底部。從而，避免條件嚴的語句永遠也得不到執(zhí)行 ? 規(guī)則匹配原則 ? 從頭到尾，至頂向下的匹配方式 ? 匹配成功馬上停止 ? 立刻使用該規(guī)則的“允許 /拒絕 ……” ACL工作原理及規(guī)則 ? 注意事項 ? 一個 ACL列表中至少要有一條允許或拒絕的語句 ? 只能在設備的每個接口、每個協(xié)議、每個方向上應用一個 ACL ? ACL只能應用在接口上 ? 先處理入站 ACL，再進行數(shù)據(jù)路由 ? 先進行數(shù)據(jù)路由，再處理出站接口上的出站 ACL ? ACL會影響通過接口的流量和速度，但不會過濾路由器本身產(chǎn)生的流量 ACL工作原理及規(guī)則 ? 放置位置 ? 只過濾數(shù)據(jù)包源地址的 ACL應該放置在離目的地盡量近的地方 ? 過濾數(shù)據(jù)包的源地址和目的地址以及其他信息的ACL，則應該盡量放在離源地址近的地方 Intra Intra ACL的種類 ? ACL種類： ? 標準 ACL：只能過濾 IP數(shù)據(jù)包頭中的源 IP地址 ? 擴展 ACL：可以過濾源 IP地址、目的 IP地址、協(xié)議（ TCP/IP）、協(xié)議信息（端口號、標志代碼）等 ? MAC ACL：可以過濾源 MAC、目標 MAC等 ? 專家 ACL：可以過濾源 IP、源 MAC、源端口、目標IP、目標 MAC、目標端口、時間等 ? 時間 ACL：可以根據(jù)時間段進行擴展 ACL過濾 IP標準 ACL ? IP標準 ACL只能過濾 IP數(shù)據(jù)包頭中的源 IP地址 ? 標準 ACL通常配置在路由器上實現(xiàn)以下功能： ? 限制通過 VTY線路對路由器的訪問（ tel、 SSH） ? 限制通過 HTTP或 HTTPS對路由器的訪問 ? 過濾路由更新 源地址 TCP/UDP 數(shù)據(jù) IP IP標準 ACL ? 通過兩種方式創(chuàng)建標準 ACL：編號或名稱 ? 使用編號創(chuàng)建 ? 創(chuàng)建 ACL (config)accesslist listnumber { permit | deny } address [ wildcard–mask ] ? 在接口上應用 (configif)ip accessgroup {id|name} {in|out} ? In：當數(shù)據(jù)流入路由器接口時 ? Out：當數(shù)據(jù)流出路由器接口時 IP標準 ACL ? 通過兩種方式創(chuàng)建標準 ACL：編號或名稱 ? 使用命名創(chuàng)建 ? 定義 ACL名稱 (config)ip accesslist standard name ? 定義規(guī)則 (configstdnacl)deny|permit [ source wildcard |any ] ? 在接口上應用 (configif)ip accessgroup {id|name} {in|out} IP擴展 ACL ? 擴展的 IP訪問表用于擴展報文過濾的能力。 ? 擴展訪問列表允許過濾內(nèi)容： ? 源和目的地址、協(xié)議、源和目的端口以及在特定報文字段中允許進行特殊位比較的各種選項。 目的地址 源地址 協(xié)議 端口號 TCP/UDP 數(shù)據(jù) IP IP擴展 ACL ? 通過兩種方式創(chuàng)建擴展 ACL：編號或名稱 ? 使用編號創(chuàng)建 ? 創(chuàng)建 ACL (config)accesslist listnumber { permit | deny } protocol { source sourcewildcard–mask |host source| any} { destination destinationwildcard–mask |host destination | any} [operator operand] ? 在接口上應用 (configif)ip accessgroup {id|name} {in|out} IP擴展 ACL ? 通過兩種方式創(chuàng)建擴展 ACL：編號或名稱 ? 使用命名創(chuàng)建 ? 定義 ACL名稱 (config)ip accesslist extended name ? 定義規(guī)則 (configextnacl){permit | deny } protocol {source sourcewildcard |host source| any} { destination destinationwildcard |host destination | any} [operator port] ? 在接口上應用 (configif)ip accessgroup {id|name} {in|out} 反掩碼（通配符） ? 0表示檢查相應的地址比特 ? 1表示不檢查相應的地址比特 0 0 1 1 1 1 1 1 128 64 32 16 8 4 2 1 0 0 0 0 0 0 0 0 0 0 0 0 1 1 1 1 1 1 1 1 1 1 0 0 1 1 1 1 1 1 1 1 do not check address (ignore bits in octet) ignore last 6 address bits check all address bits (match all) ignore last 4 address bits check last 2 address bits Examples ACL 編號 ACL類型 編號范圍 IP 標準 ACL 199,13001999 IP擴展 ACL 100199,20232699 MAC擴展 ACL 700799 專家擴展 ACL 27002899 IPX標準 ACL 800899 IPX擴展 ACL 900999 IPX SAP 10001099 課程議題 IP 訪問 控制列表 配置 示例 IP標準 ACL配置示例 E0 S0 E1 Non accesslist 1 permit (implicit deny all not visible in the list) (accesslist 1 deny ) interface ether 0 ip accessgroup 1 out interface ether 1 ip accessgroup 1 out ? Permit my work only IP標準 ACL配置示例 E0 S0 E1 Non acc
教學課件相關推薦
鄂ICP備17016276號-1