项目五 配置访问控制列表ACLVWord文档下载推荐.docx

项目五 配置访问控制列表ACLVWord文档下载推荐.docx

《项目五 配置访问控制列表ACLVWord文档下载推荐.docx》由会员分享，可在线阅读，更多相关《项目五 配置访问控制列表ACLVWord文档下载推荐.docx（12页珍藏版）》请在冰豆网上搜索。

R2（config-router）#net172.16.1.00.0.0.255

R2（config-router）#noauto-summary

（3）配置R3

R3（config）#routereigrp100

R3（config-router）#net23.23.23.00.0.0.255

R3（config-router）#net192.168.1.00.0.0.255

R3（config-router）#noauto-summary

3．认证

R1#showiproute

Gatewayoflastresortisnotset

10.0.0.0/24issubnetted,1subnets

C10.1.1.0isdirectlyconnected,FastEthernet0/0矚慫润厲钐瘗睞枥庑赖。

12.0.0.0/24issubnetted,1subnets

C12.12.12.0isdirectlyconnected,Serial1/0聞創沟燴鐺險爱氇谴净。

23.0.0.0/24issubnetted,1subnets

D23.23.23.0[90/21024000]via12.12.12.2,00:

47:

41,Serial1/0残骛楼諍锩瀨濟溆塹籟。

172.16.0.0/24issubnetted,1subnets

D172.16.1.0[90/20514560]via12.12.12.2,00:

41,Serial1/0酽锕极額閉镇桧猪訣锥。

D192.168.1.0/24[90/21026560]via12.12.12.2,00:

41,Serial1/0彈贸摄尔霁毙攬砖卤庑。

R2#showiproute

D10.1.1.0[90/20514560]via12.12.12.1,00:

49:

02,Serial1/0謀荞抟箧飆鐸怼类蒋薔。

C12.12.12.0isdirectlyconnected,Serial1/0厦礴恳蹒骈時盡继價骚。

C23.23.23.0isdirectlyconnected,Serial1/1茕桢广鳓鯡选块网羈泪。

C172.16.1.0isdirectlyconnected,FastEthernet0/0鹅娅尽損鹌惨歷茏鴛賴。

D192.168.1.0/24[90/20514560]via23.23.23.3,00:

07,Serial1/1籟丛妈羥为贍偾蛏练淨。

R3#showiproute

D10.1.1.0[90/21026560]via23.23.23.2,00:

51:

11,Serial1/1預頌圣鉉儐歲龈讶骅籴。

D12.12.12.0[90/21024000]via23.23.23.2,00:

16,Serial1/1渗釤呛俨匀谔鱉调硯錦。

C23.23.23.0isdirectlyconnected,Serial1/1铙誅卧泻噦圣骋贶頂廡。

D172.16.1.0[90/20514560]via23.23.23.2,00:

16,Serial1/1擁締凤袜备訊顎轮烂蔷。

C192.168.1.0/24isdirectlyconnected,FastEthernet0/0贓熱俣阃歲匱阊邺镓騷。

二、在R1配置ACL

1.配置

R1（config）#access-list101denytcp10.1.1.00.0.0.255host192.168.1.100eq80坛摶乡囂忏蒌鍥铃氈淚。

R1（config）#access-list101denyicmp10.1.1.00.0.0.255any蜡變黲癟報伥铉锚鈰赘。

R1（config）#access-list101permitipanyany

R1（config）#intf0/0

R1（config）#ipaccess-group101in

2.认证

R1#showaccess-list

ExtendedIPaccesslist101

denytcp10.1.1.00.0.0.255host192.168.1.100eqwww買鲷鴯譖昙膚遙闫撷凄。

denyicmp10.1.1.00.0.0.255any

permitipanyany

R1#showipinterface

FastEthernet0/0isup,lineprotocolisup（connected）綾镝鯛駕櫬鹕踪韦辚糴。

Internetaddressis10.1.1.1/24

Broadcastaddressis255.255.255.255

Addressdeterminedbysetupcommand

MTUis1500bytes

Helperaddressisnotset

Directedbroadcastforwardingisdisabled

Outgoingaccesslistisnotset

Inboundaccesslistis101

……

如图5.2所示，主机A无法访问Web服务器。

图5.2主机A访问Web服务器

如图5.3所示，主机A无法ping通主机C。

图5.3主机Aping主机C

三．在R2配置ACL

1．配置

R2（config）#access-list100permittcphost172.16.1.100host172.16.1.2eq23驅踬髏彦浃绥譎饴憂锦。

R2（config）#access-list100permittcphost172.16.1.100host12.12.12.2eq23猫虿驢绘燈鮒诛髅貺庑。

R2（config）#access-list100permittcphost172.16.1.100host23.23.23.2eq23锹籁饗迳琐筆襖鸥娅薔。

R2（config）#access-list100denytcpanyhost23.23.23.2eq23構氽頑黉碩饨荠龈话骛。

R2（config）#access-list100denytcpanyhost12.12.12.2eq23輒峄陽檉簖疖網儂號泶。

R2（config）#access-list100denytcpanyhost172.16.1.2eq23尧侧閆繭絳闕绚勵蜆贅。

R2（config）#access-list100permitipanyany

R2（config）#ints1/0

R2（config）#ipaccess-group100in

R2（config）#ints1/1

R2（config）#intf0/0

2．认证

R2#showipinterface

FastEthernet0/0isup,lineprotocolisup（connected）识饒鎂錕缢灩筧嚌俨淒。

Internetaddressis172.16.1.2/24

Inboundaccesslistis100

Serial1/0isup,lineprotocolisup（connected）

Internetaddressis12.12.12.2/24

Serial1/1isup,lineprotocolisup（connected）

Internetaddressis23.23.23.2/24

在R2上设置telnet登录密码：

R2（config）#linevty04

R2（config-line）#passwordcisco

R2（config-line）#login

在主机C上telnet路由器R2:

PC>

telnet12.12.12.2

Trying12.12.12.2...

UserAccessVerification

Password:

R2>

在主机A上telnet路由器R2:

telnet23.23.23.2

Trying23.23.23.2...

%Connectiontimedout。

remotehostnotresponding

［知识链接］

一．什么是ACL?

访问控制列表AccesscontrolList简称为ACL，访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。

该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持。

凍鈹鋨劳臘锴痫婦胫籴。

二．访问控制列表使用原则

由于ACL涉及的配置命令很灵活，功能也很强大，所以我们不能只通过一个小小的例子就完全掌握全部ACL的配置。

在介绍例子前为大家将ACL设置原则罗列出来，方便各位读者更好的消化ACL知识。

恥諤銪灭萦欢煬鞏鹜錦。

1．最小特权原则

只给受控对象完成任务所必须的最小的权限。

也就是说被控制的总规则是各个规则的交集，只满足部分条件的是不容许通过规则的。

鯊腎鑰诎褳鉀沩懼統庫。

2．最靠近受控对象原则

所有的网络层访问权限控制。

也就是说在检查规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。

硕癘鄴颃诌攆檸攜驤蔹。

3、默认丢弃原则

在CISCO路由交换设备中默认最后一句为ACL中加入了DENYANYANY，也就是丢弃所有不符合条件的数据包。

这一点要特别注意，虽然我们可以修改这个默认，但未改前一定要引起重视。

阌擻輳嬪諫迁择楨秘騖。

由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。

因此，要达到端到端的权限控制目的，需要和系统级及应用级的访问权限控制结合使用。

氬嚕躑竄贸恳彈瀘颔澩。

三．ACL工作过程

图5.4ACL对数据包检查过程

图5.5ACL工作过程

四．标准访问列表

访问控制列表ACL分很多种，不同场合应用不同种类的ACL。

其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用的访问控制列表号1到99来创建相应的ACL釷鹆資贏車贖孙滅獅赘。

1．标准访问控制列表的格式

标准访问控制列表是最简单的ACL。

它的具体格式如下：

access-listACL号permit|deny{test-condition}

如：

access-list10deny192.168.1.00.0.0.255//将所有来自192.168.1.0网段的数据包丢弃怂阐譜鯪迳導嘯畫長凉。

access-list10denyhost192.168.1.1//将所有来自192.168.1.1地址的数据包丢弃谚辞調担鈧谄动禪泻類。

access-list10permitany

{test-condition}中有三种情况：

（1）网段地址反掩码

（2）hostip地址

（3）any，表示任何ip地址

对于标准访问控制列表来说，默认的命令是HOST，也就是说access-list10deny192.168.1.1表示的是拒绝192.168.1.1这台主机数据包通讯，可以省去我们输入host命令。

嘰觐詿缧铴嗫偽純铪锩。

注意，一旦添加了访问控制列表，最后默认为denyany，所以，一般，在ACL最后要加上permitany规则。

熒绐譏钲鏌觶鷹緇機库。

2．将访问控制列表应用到某一接口上

例如：

inte1//进入E1端口。

　　ipaccess-group10in//将ACL1宣告

标准ACL占用路由器资源很少，是一种最基本最简单的访问控制列表格式。

应用比较广泛，经常在要求控制级别较低的情况下使用。

如果要更加复杂的控制数据包的传输就需要使用扩展访问控制列表了，他可以满足我们到端口级的要求。

鶼渍螻偉阅劍鲰腎邏蘞。

五．扩展访问控制列表

上面我们提到的标准访问控制列表是基于IP地址进行过滤的，是最简单的ACL。

那么如果我们希望将过滤细到端口怎么办呢?

或者希望对数据包的目的地址进行过滤。

这时候就需要使用扩展访问控制列表了。

使用扩展IP访问列表可以有效的容许用户访问物理LAN而并不容许他使用某个特定服务（例如WWW，FTP等）。

扩展访问控制列表使用的ACL号为100到199。

纣忧蔣氳頑莶驅藥悯骛。

扩展访问控制列表是一种高级的ACL，配置命令的具体格式如下：

access-listACL号[permit|deny][协议][定义过滤源主机范围][定义过滤源端口][定义过滤目的主机访问][定义过滤目的端口]颖刍莖蛺饽亿顿裊赔泷。

access-list101denytcpanyhost192.168.1.1eqwww这句命令是将所有主机访问192.168.1.1这个地址网页服务（WWW）TCP连接的数据包丢弃。

濫驂膽閉驟羥闈詔寢賻。

同样在扩展访问控制列表中也可以定义过滤某个网段，当然和标准访问控制列表一样需要我们使用反向掩码定义IP地址后的子网掩码。

銚銻縵哜鳗鸿锓謎諏涼。

表5-1常见端口号

扩展ACL有一个最大的好处就是可以保护服务器，例如很多服务器为了更好的提供服务都是暴露在公网上的，这时为了保证服务正常提供所有端口都对外界开放，很容易招来黑客和病毒的攻击，通过扩展ACL可以将除了服务端口以外的其他端口都封锁掉，降低了被攻击的机率。

挤貼綬电麥结鈺贖哓类。

扩展ACL功能很强大，他可以控制源IP，目的IP，源端口，目的端口等，能实现相当精细的控制，扩展ACL不仅读取IP包头的源地址/目的地址，还要读取第四层包头中的源端口和目的端口的IP。

不过他存在一个缺点，那就是在没有硬件ACL加速的情况下，扩展ACL会消耗大量的路由器CPU资源。

所以当使用中低档路由器时应尽量减少扩展ACL的条目数，将其简化为标准ACL或将多条扩展ACL合一是最有效的方法。

赔荊紳谘侖驟辽輩袜錈。

六．基于名称的访问控制列表

不管是标准访问控制列表还是扩展访问控制列表都有一个弊端，那就是当设置好ACL的规则后发现其中的某条有问题，希望进行修改或删除的话只能将全部ACL信息都删除。

也就是说修改一条或删除一条都会影响到整个ACL列表。

这一个缺点影响了我们的工作，为我们带来了繁重的负担。

不过我们可以用基于名称的访问控制列表来解决这个问题。

塤礙籟馐决穩賽釙冊庫。

基于名称的访问控制列表的格式：

ipaccess-list[standard|extended][ACL名称]

ipaccess-liststandardsofter就建立了一个名为softer的标准访问控制列表。

裊樣祕廬廂颤谚鍘羋蔺。

当我们建立了一个基于名称的访问列表后就可以进入到这个ACL中进行配置了。

例如我们添加三条ACL规则：

　　permit1.1.1.10.0.0.0

　　permit2.2.2.20.0.0.0

　　permit3.3.3.30.0.0.0

如果我们发现第二条命令应该是2.2.2.1而不是2.2.2.2，如果使用不是基于名称的访问控制列表的话，使用nopermit2.2.2.20.0.0.0后整个ACL信息都会被删除掉。

正是因为使用了基于名称的访问控制列表，我们使用nopermit2.2.2.20.0.0.0后第一条和第三条指令依然存在。

仓嫗盤紲嘱珑詁鍬齊驁。

如果设置ACL的规则比较多的话，应该使用基于名称的访问控制列表进行管理，这样可以减轻很多后期维护的工作，方便我们随时进行调整ACL规则。

绽萬璉轆娛閬蛏鬮绾瀧。

七．反向访问控制列表

我们使用访问控制列表除了合理管理网络访问以外还有一个更重要的方面，那就是防范病毒，我们可以将平时常见病毒传播使用的端口进行过滤，将使用这些端口的数据包丢弃。

这样就可以有效的防范病毒的攻击。

骁顾燁鶚巯瀆蕪領鲡赙。

不过即使再科学的访问控制列表规则也可能会因为未知病毒的传播而无效，毕竟未知病毒使用的端口是我们无法估计的，而且随着防范病毒数量的增多会造成访问控制列表规则过多，在一定程度上影响了网络访问的速度。

这时我们可以使用反向控制列表来解决以上的问题。

瑣钋濺暧惲锟缟馭篩凉。

反向访问控制列表格式非常简单，只要在配置好的扩展访问列表最后加上established即可。

　　access-list101permittcp172.16.3.00.0.0.255172.16.4.00.0.0.255established鎦诗涇艳损楼紲鯗餳類。

定义ACL101，容许所有来自172.16.3.0网段的计算机访问172.16.4.0网段中的计算机，前提是TCP连接已经建立了的。

当TCP连接没有建立的话是不容许172.16.3.0访问172.16.4.0的。

栉缏歐锄棗鈕种鵑瑶锬。

八．基于时间的访问控制列表

上面我们介绍了标准ACL与扩展ACL，实际上我们数量掌握了这两种访问控制列表就可以应付大部分过滤网络数据包的要求了。

不过实际工作中总会有人提出这样或那样的苛刻要求，这时我们还需要掌握一些关于ACL的高级技巧。

基于时间的访问控制列表就属于高级技巧之一。

辔烨棟剛殓攬瑤丽阄应。

九．动态ACL

动态ACL是对传统访问表的一种重要功能增强。

动态ACL是能够自动创建动态访问表项的访问列表。

传统的标准访问列表和扩展的访问列表不能创建动态访问表项。

一旦在传统访问列表中加入了一个表项，除非手工删除，该表项将一直产生作用。

而在动态访问表中，读者可以根据用户认证过程来创建特定的、临时的访问表项，一旦某个表项超时，就会自动从路由器中删除。

峴扬斕滾澗辐滠兴渙藺。