cisco路由器配置acl詳解-在線瀏覽
2024-09-14 10:12本頁面
【正文】 st命令。路由器連接了二個(gè)網(wǎng)段。路由器配置命令accesslist 1 permit host 設(shè)置ACL。int e 1進(jìn)入E1端口。來自其他IP地址的數(shù)據(jù)包都無法通過E1傳輸。另外在路由器連接網(wǎng)絡(luò)不多的情況下也可以在E0端口使用ip accessgroup 1 out命令來宣告，宣告結(jié)果和上面最后兩句命令效果一樣。路由器配置命令：accesslist 1 deny host 設(shè)置ACL，accesslist 1 permit any設(shè)置ACL，容許其他地址的計(jì)算機(jī)進(jìn)行通訊int e 1 進(jìn)入E1端口ip accessgroup 1 in將ACL1宣告，同理可以進(jìn)入E0端口后使用ip accessgroup 1 out來完成宣告?？偨Y(jié)：標(biāo)準(zhǔn)ACL占用路由器資源很少，是一種最基本最簡單的訪問控制列表格式。如果要更加復(fù)雜的控制數(shù)據(jù)包的傳輸就需要使用擴(kuò)展訪問控制列表了，他可以滿足我們到端口級的要求。那么如果我們希望將過濾細(xì)到端口怎么辦呢？或者希望對數(shù)據(jù)包的目的地址進(jìn)行過濾。使用擴(kuò)展IP訪問列表可以有效的容許用戶訪問物理LAN而并不容許他使用某個(gè)特定服務(wù)（例如WWW，F(xiàn)TP等）。擴(kuò)展訪問控制列表的格式剛剛我們提到了標(biāo)準(zhǔn)訪問控制列表，他是基于IP地址進(jìn)行過濾的，是最簡單的ACL。這時(shí)候就需要使用擴(kuò)展訪問控制列表了。擴(kuò)展訪問控制列表使用的ACL號為100到199。小提示：同樣在擴(kuò)展訪問控制列表中也可以定義過濾某個(gè)網(wǎng)段，當(dāng)然和標(biāo)準(zhǔn)訪問控制列表一樣需要我們使用反向掩碼定義IP地址后的子網(wǎng)掩碼。路由器連接了二個(gè)網(wǎng)段，,。路由器配置命令：accesslist 101 permit tcp any eq 設(shè)置ACL101，容許源地址為任意IP。int e 1進(jìn)入E1端口ip accessgroup 101 out 將ACL101宣告出去擴(kuò)展ACL有一個(gè)最大的好處就是可以保護(hù)服務(wù)器，例如很多服務(wù)器為了更好的提供服務(wù)都是暴露在公網(wǎng)上的，這時(shí)為了保證服務(wù)正常提供所有端口都對外界開放，很容易招來黑客和病毒的攻擊，通過擴(kuò)展ACL可以將除了服務(wù)端口以外的其他端口都封鎖掉，降低了被攻擊的機(jī)率。總結(jié)：擴(kuò)展ACL功能很強(qiáng)大，他可以控制源IP，目的IP，源端口，目的端口等，能實(shí)現(xiàn)相當(dāng)精細(xì)的控制，擴(kuò)展ACL不僅讀取IP包頭的源地址/目的地址，還要讀取第四層包頭中的源端口和目的端口的IP。所以當(dāng)使用中低檔路由器時(shí)應(yīng)盡量減少擴(kuò)展ACL的條目數(shù)，將其簡化為標(biāo)準(zhǔn)ACL或?qū)⒍鄺l擴(kuò)展ACL合一是最有效的方法。也就是說修改一條或刪除一條都會影響到整個(gè)ACL列表。不過我們可以用基于名稱的訪問控制列表來解決這個(gè)問題。二、基于名稱的訪問控制列表的使用方法：當(dāng)我們建立了一個(gè)基于名稱的訪問列表后就可以進(jìn)入到這個(gè)ACL中進(jìn)行配置了。正是因?yàn)槭褂昧嘶诿Q的訪問控
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1