[工學(xué)]ccna第10章-安全-wenkub.com
2025-02-19 00:51 本頁(yè)面
【正文】 入站接口 數(shù)據(jù)包 N Y 數(shù)據(jù)包丟棄桶 選擇 網(wǎng)絡(luò)接口 N 接口 是否使用 ACL ？ 路由表 是否存在 該路由 ？ Y 出站接口 數(shù)據(jù)包 S0 出站訪問(wèn)控制操作過(guò)程（續(xù)） N Y N 數(shù)據(jù)包 訪問(wèn)控制列表 邏輯測(cè)試 是否允許 ？ Y Y S0 E0 出站訪問(wèn)控制操作過(guò)程（續(xù)） 入站接口 數(shù)據(jù)包 路由表 是否存在 該路由 ？ 選擇 網(wǎng)絡(luò)接口 接口 是否使用 ACL ？ 數(shù)據(jù)包丟棄桶 數(shù)據(jù)包 出站接口 通知發(fā)送者 如果邏輯測(cè)試沒(méi)有任何匹配，則丟棄數(shù)據(jù)包 N Y N Y Y 丟棄數(shù)據(jù)包 N 數(shù)據(jù)包 S0 E0 出站訪問(wèn)控制操作過(guò)程（續(xù)） 入站接口 數(shù)據(jù)包 路由表 是否存在 該路由 ？ 選擇 網(wǎng)絡(luò)接口 接口 是否使用 ACL ？ 數(shù)據(jù)包丟棄桶 數(shù)據(jù)包 出站接口 訪問(wèn)控制列表 邏輯測(cè)試 是否允許 ？ ACL的邏輯測(cè)試過(guò)程 數(shù)據(jù)報(bào)文 報(bào)文丟棄桶 Y 目的接口 Deny Deny Y 匹配 第一條 規(guī)則 ? Permit Y Deny Deny Y Permit N Deny Permit 匹配 下一條 規(guī)則 ? Y Y ACL的邏輯測(cè)試過(guò)程 數(shù)據(jù)報(bào)文 目的接口 報(bào)文丟棄桶 匹配 第一條 規(guī)則 ? Y Deny Deny Y Permit N Deny Permit Deny 匹配 最后一條 規(guī)則 ? Y Y N Y Y Permit ACL的邏輯測(cè)試過(guò)程 數(shù)據(jù)報(bào)文 目的接口 報(bào)文丟棄桶 匹配 下一條 規(guī)則 ? 匹配 第一條 規(guī)則 ? Y Deny Y Permit N Deny Permit Deny Y Y N Y Y Permit 強(qiáng)制丟棄 若無(wú)任何匹配 則丟棄 Deny N ACL的邏輯測(cè)試過(guò)程 數(shù)據(jù)報(bào)文 目的接口 報(bào)文丟棄桶 匹配 第一條 規(guī)則 ? 匹配 下一條 規(guī)則 ? 匹配 最后一條 規(guī)則 ? 范圍 /標(biāo)識(shí) IP 199, 13001999 100199,20222699 Name (Cisco IOS and later) 800899 900999 10001099 Name (Cisco IOS . F and later) Standard Extended SAP filters Named Standard Extended Named ACL類型 IPX ACL分類 標(biāo)準(zhǔn) IP ACL（ 1到 99）根據(jù) IP報(bào)文的源地址測(cè)試 擴(kuò)展 IP ACL（ 100到 199）可以測(cè)試 IP報(bào)文的源、目的地址、協(xié)議、端口號(hào) 源地址 段 Segment （ 例如， TCP首部） 數(shù)據(jù) Data 報(bào)文 Packet （ IP首部） 幀 Frame 首部 （ 例如， HDLC） Deny Permit 使用 ACL規(guī)則語(yǔ)句 199 標(biāo)準(zhǔn) ACL 目的地址 源地址 協(xié)議（例如 TCP） 端口號(hào) 使用 ACL規(guī)則語(yǔ)句 100199 Deny Permit 擴(kuò)展 ACL 幀 Frame 首部 （ 例如， HDLC） 報(bào)文 Packet （ IP首部） 段 Segment （ 例如， TCP首部） 數(shù)據(jù) Data 第一步：創(chuàng)建 ACL Router(config) accesslist accesslistnumber { permit | deny } { test conditions } 第二步： 將 ACL綁定到指定接口 Router(configif) { protocol } accessgroup accesslistnumber {in | out} ACL配置 – 0代表檢查對(duì)應(yīng)地址位的值 – 1代表忽略對(duì)應(yīng)地址位的值 do not check address (ignore bits in octet) = 0 0 1 1 1 1 1 1 128 64 32 16 8 4 2 1 = 0 0 0 0 0 0 0 0 = 0 0 0 0 1 1 1 1 = 1 1 1 1 1 1 0 0 = 1 1 1 1 1 1 1 1 ignore last 6 address bits check all address bits (match all) ignore last 4 address bi
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1