cisco路由器配置acl詳解-wenkub.com
2024-08-11 10:12 本頁面
【正文】 有established的訪問列表允許有ACK的包通過，沒有ACK的不過（也就是B發(fā)起的訪問不過）。也就是說，A可以訪問B的時候，B也能訪問A。如果在擴(kuò)展ACL最后加上loginput，則不僅會保存流量信息，還會將數(shù)據(jù)包通過的端口信息也進(jìn)行保存。小提示：基于時間的ACL比較適合于時間段的管理，平時無法訪問。設(shè)置ACL。accesslist 101 deny tcp any eq ftp timerange softer路由器連接了二個網(wǎng)段，,。定義時間段及時間范圍。要想使基于時間的ACL生效需要我們配置兩方面的命令：配置實(shí)例： 筆者所在公司就使用的這種反向ACL的方式進(jìn)行防病毒的，運(yùn)行了一年多效果很不錯，也非常穩(wěn)定。這樣根據(jù)“最靠近受控對象原則”即在檢查ACL規(guī)則時是采用自上而下在ACL中一條條檢測的，只要發(fā)現(xiàn)符合條件了就立刻轉(zhuǎn)發(fā)，而不繼續(xù)檢測下面的ACL語句。解決的方法是在ESTABLISHED那句前頭再添加一個擴(kuò)展ACL規(guī)則，例如：accesslist 101 permit tcp eq 定義ACL101，前提是TCP連接已經(jīng)建立了的。accesslist 101 permit tcp established路由器配置命令：我們還是通過實(shí)例為大家講解。通過配置反向ACL可以保證AB兩個網(wǎng)段的計(jì)算機(jī)互相PING，A可以PING通B而B不能PING通A。不過即使再科學(xué)的訪問控制列表規(guī)則也可能會因?yàn)槲粗《镜膫鞑ザ鵁o效，畢竟未知病毒使用的端口是我們無法估計(jì)的，而且隨著防范病毒數(shù)量的增多會造成訪問控制列表規(guī)則過多，在一定程度上影響了網(wǎng)絡(luò)訪問的速度。正是因?yàn)槭褂昧嘶诿Q的訪問控制列表，我們使用no permit 。不過我們可以用基于名稱的訪問控制列表來解決這個問題。所以當(dāng)使用中低檔路由器時應(yīng)盡量減少擴(kuò)展ACL的條目數(shù)，將其簡化為標(biāo)準(zhǔn)ACL或?qū)⒍鄺l擴(kuò)展ACL合一是最有效的方法。擴(kuò)展ACL有一個最大的好處就是可以保護(hù)服務(wù)器，例如很多服務(wù)器為了更好的提供服務(wù)都是暴露在公網(wǎng)上的，這時為了保證服務(wù)正常提供所有端口都對外界開放，很容易招來黑客和病毒的攻擊，通過擴(kuò)展ACL可以將除了服務(wù)端口以外的其他端口都封鎖掉，降低了被攻擊的機(jī)率。 將ACL101宣告出去ip accessgroup 101 out進(jìn)入E1端口int e 1路由器連接了二個網(wǎng)段，,。這時候就需要使用擴(kuò)展訪問控制列表了。使用擴(kuò)展IP訪問列表可以有效的容許用戶訪問物理LAN而并不容許他使用某個特定服務(wù)（例如WWW，F(xiàn)TP等）。如果要更加復(fù)雜的控制數(shù)據(jù)包的傳輸就需要使用擴(kuò)展訪問控制列表了，他可以滿足我們到端口級的要求。將ACL1宣告，同理可以進(jìn)入E0端口后使用ip accessgroup 1 out來完成宣告。ip accessgroup 1 in 進(jìn)入E1端口另外在路由器連接網(wǎng)絡(luò)不多的情
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1