项目五 配置访问控制列表ACLVWord文档下载推荐.docx

1、R2（config-router）#net 172.16.1.0 0.0.0.255R2（config-router）#no auto-summary（3）配置R3R3（config）#router eigrp 100R3（config-router）#net 23.23.23.0 0.0.0.255R3（config-router）#net 192.168.1.0 0.0.0.255R3（config-router）#no auto-summary3 认证R1#show ip routeGateway of last resort is not set10.0.0.0/24 is subne

2、tted, 1 subnetsC 10.1.1.0 is directly connected, FastEthernet0/0矚慫润厲钐瘗睞枥庑赖。12.0.0.0/24 is subnetted, 1 subnetsC 12.12.12.0 is directly connected, Serial1/0聞創沟燴鐺險爱氇谴净。23.0.0.0/24 is subnetted, 1 subnetsD 23.23.23.0 90/21024000 via 12.12.12.2, 00:47:41, Serial1/0残骛楼諍锩瀨濟溆塹籟。 172.16.0.0/24 is subnetted,

3、 1 subnetsD 172.16.1.0 90/20514560 via 12.12.12.2, 00:41, Serial1/0酽锕极額閉镇桧猪訣锥。D 192.168.1.0/24 90/21026560 via 12.12.12.2, 00:41, Serial1/0彈贸摄尔霁毙攬砖卤庑。R2#show ip routeD 10.1.1.0 90/20514560 via 12.12.12.1, 00:49:02, Serial1/0謀荞抟箧飆鐸怼类蒋薔。C 12.12.12.0 is directly connected, Serial1/0厦礴恳蹒骈時盡继價骚。C 23.23.2

4、3.0 is directly connected, Serial1/1茕桢广鳓鯡选块网羈泪。C 172.16.1.0 is directly connected, FastEthernet0/0鹅娅尽損鹌惨歷茏鴛賴。D 192.168.1.0/24 90/20514560 via 23.23.23.3, 00:07, Serial1/1籟丛妈羥为贍偾蛏练淨。R3#show ip routeD 10.1.1.0 90/21026560 via 23.23.23.2, 00:51:11, Serial1/1預頌圣鉉儐歲龈讶骅籴。D 12.12.12.0 90/21024000 via 23.23

5、.23.2, 00:16, Serial1/1渗釤呛俨匀谔鱉调硯錦。C 23.23.23.0 is directly connected, Serial1/1铙誅卧泻噦圣骋贶頂廡。D 172.16.1.0 90/20514560 via 23.23.23.2, 00:16, Serial1/1擁締凤袜备訊顎轮烂蔷。C 192.168.1.0/24 is directly connected, FastEthernet0/0贓熱俣阃歲匱阊邺镓騷。二、在R1配置ACL1. 配置R1（config）#access-list 101deny tcp 10.1.1.0 0.0.0.255 host 19

6、2.168.1.100 eq 80坛摶乡囂忏蒌鍥铃氈淚。R1（config）#access-list 101 deny icmp 10.1.1.0 0.0.0.255 any蜡變黲癟報伥铉锚鈰赘。R1（config）#access-list 101 permit ip any anyR1（config）#int f0/0R1（config）#ip access-group 101 in2. 认证R1#show access-listExtended IP access list 101 deny tcp 10.1.1.0 0.0.0.255 host 192.168.1.100 eq www買

7、鲷鴯譖昙膚遙闫撷凄。 deny icmp 10.1.1.0 0.0.0.255 any permit ip any anyR1#show ip interfaceFastEthernet0/0 is up, line protocol is up （connected）綾镝鯛駕櫬鹕踪韦辚糴。 Internet address is 10.1.1.1/24 Broadcast address is 255.255.255.255 Address determined by setup command MTU is 1500 bytes Helper address is not set Dire

8、cted broadcast forwarding is disabled Outgoing access list is not set Inbound access list is 101如图5.2所示，主机A无法访问Web服务器。图5.2 主机A访问Web服务器如图5.3所示，主机A无法ping通主机C。图5.3 主机A ping主机C三在R2配置ACL1配置R2（config）# access-list 100 permit tcp host 172.16.1.100 host 172.16.1.2 eq 23驅踬髏彦浃绥譎饴憂锦。R2（config）# access-list 100

9、 permit tcp host 172.16.1.100 host 12.12.12.2 eq 23猫虿驢绘燈鮒诛髅貺庑。R2（config）# access-list 100 permit tcp host 172.16.1.100 host 23.23.23.2 eq 23锹籁饗迳琐筆襖鸥娅薔。R2（config）# access-list 100 deny tcp any host 23.23.23.2 eq 23構氽頑黉碩饨荠龈话骛。R2（config）# access-list 100 deny tcp any host 12.12.12.2 eq 23輒峄陽檉簖疖網儂號泶。R2（

10、config）# access-list 100 deny tcp any host 172.16.1.2 eq 23尧侧閆繭絳闕绚勵蜆贅。R2（config）# access-list 100 permit ip any anyR2（config）#int s1/0R2（config）#ip access-group 100 inR2（config）#int s1/1R2（config）#int f0/02认证R2#show ip interfaceFastEthernet0/0 is up, line protocol is up （connected）识饒鎂錕缢灩筧嚌俨淒。 Intern

11、et address is 172.16.1.2/24Inbound access list is 100Serial1/0 is up, line protocol is up （connected） Internet address is 12.12.12.2/24Serial1/1 is up, line protocol is up （connected） Internet address is 23.23.23.2/24在R2上设置telnet登录密码：R2（config）#line vty 0 4R2（config-line）#password ciscoR2（config-lin

12、e）#login在主机C上telnet路由器R2:PCtelnet 12.12.12.2Trying 12.12.12.2 .User Access VerificationPassword: R2在主机A上telnet路由器R2:telnet 23.23.23.2Trying 23.23.23.2 .% Connection timed out。 remote host not responding知识链接一什么是ACL?访问控制列表Access control List简称为ACL，访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，

13、根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持。凍鈹鋨劳臘锴痫婦胫籴。二访问控制列表使用原则由于ACL涉及的配置命令很灵活，功能也很强大，所以我们不能只通过一个小小的例子就完全掌握全部ACL的配置。在介绍例子前为大家将ACL设置原则罗列出来，方便各位读者更好的消化ACL知识。恥諤銪灭萦欢煬鞏鹜錦。1最小特权原则只给受控对象完成任务所必须的最小的权限。也就是说被控制的总规则是各个规则的交集，只满足部分条件的是不容许通过规则的。鯊腎鑰诎褳鉀沩懼統庫。2最靠近受控对象原则所有的网络层访问权

14、限控制。也就是说在检查规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。硕癘鄴颃诌攆檸攜驤蔹。3、默认丢弃原则在CISCO路由交换设备中默认最后一句为ACL中加入了DENY ANY ANY，也就是丢弃所有不符合条件的数据包。这一点要特别注意，虽然我们可以修改这个默认，但未改前一定要引起重视。阌擻輳嬪諫迁择楨秘騖。由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。因此，要达到端到端的权限控制目的，需要和系统级及应用级的访问

15、权限控制结合使用。氬嚕躑竄贸恳彈瀘颔澩。三ACL工作过程图5.4 ACL对数据包检查过程图5.5ACL工作过程四标准访问列表访问控制列表ACL分很多种，不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用的访问控制列表号1到99来创建相应的ACL釷鹆資贏車贖孙滅獅赘。1标准访问控制列表的格式标准访问控制列表是最简单的ACL。它的具体格式如下：access-list ACL号 permit|denytest-condition如：access-list 10 deny 192.168.1.0 0.0.0.255 / 将所有来

16、自192.168.1.0网段的数据包丢弃怂阐譜鯪迳導嘯畫長凉。access-list 10 deny host 192.168.1.1 / 将所有来自192.168.1.1地址的数据包丢弃谚辞調担鈧谄动禪泻類。access-list 10 permit any test-condition中有三种情况：（1） 网段地址 反掩码（2） host ip地址（3） any ，表示任何ip地址对于标准访问控制列表来说，默认的命令是HOST，也就是说access-list 10 deny 192.168.1.1表示的是拒绝192.168.1.1这台主机数据包通讯，可以省去我们输入host命令。嘰觐詿缧铴

17、嗫偽純铪锩。注意，一旦添加了访问控制列表，最后默认为deny any，所以，一般，在ACL最后要加上permit any规则。熒绐譏钲鏌觶鷹緇機库。2将访问控制列表应用到某一接口上例如：int e1 / 进入E1端口。ip access-group 10 in/ 将ACL 1宣告标准ACL占用路由器资源很少，是一种最基本最简单的访问控制列表格式。应用比较广泛，经常在要求控制级别较低的情况下使用。如果要更加复杂的控制数据包的传输就需要使用扩展访问控制列表了，他可以满足我们到端口级的要求。鶼渍螻偉阅劍鲰腎邏蘞。五扩展访问控制列表上面我们提到的标准访问控制列表是基于IP地址进行过滤的，是最简单的AC

18、L。那么如果我们希望将过滤细到端口怎么办呢?或者希望对数据包的目的地址进行过滤。这时候就需要使用扩展访问控制列表了。使用扩展IP访问列表可以有效的容许用户访问物理LAN而并不容许他使用某个特定服务（例如WWW，FTP等）。扩展访问控制列表使用的ACL号为100到199。纣忧蔣氳頑莶驅藥悯骛。扩展访问控制列表是一种高级的ACL，配置命令的具体格式如下：access-list ACL号 permit|deny 协议 定义过滤源主机范围 定义过滤源端口 定义过滤目的主机访问 定义过滤目的端口颖刍莖蛺饽亿顿裊赔泷。access-list 101 deny tcp any host 192.168.1.

19、1 eq www这句命令是将所有主机访问192.168.1.1这个地址网页服务（WWW）TCP连接的数据包丢弃。濫驂膽閉驟羥闈詔寢賻。同样在扩展访问控制列表中也可以定义过滤某个网段，当然和标准访问控制列表一样需要我们使用反向掩码定义IP地址后的子网掩码。銚銻縵哜鳗鸿锓謎諏涼。表5-1 常见端口号扩展ACL有一个最大的好处就是可以保护服务器，例如很多服务器为了更好的提供服务都是暴露在公网上的，这时为了保证服务正常提供所有端口都对外界开放，很容易招来黑客和病毒的攻击，通过扩展ACL可以将除了服务端口以外的其他端口都封锁掉，降低了被攻击的机率。挤貼綬电麥结鈺贖哓类。扩展ACL功能很强大，他可以控制源

20、IP，目的IP，源端口，目的端口等，能实现相当精细的控制，扩展ACL不仅读取IP包头的源地址/目的地址，还要读取第四层包头中的源端口和目的端口的IP。不过他存在一个缺点，那就是在没有硬件ACL加速的情况下，扩展ACL会消耗大量的路由器CPU资源。所以当使用中低档路由器时应尽量减少扩展ACL的条目数，将其简化为标准ACL或将多条扩展ACL合一是最有效的方法。赔荊紳谘侖驟辽輩袜錈。六基于名称的访问控制列表不管是标准访问控制列表还是扩展访问控制列表都有一个弊端，那就是当设置好ACL的规则后发现其中的某条有问题，希望进行修改或删除的话只能将全部ACL信息都删除。也就是说修改一条或删除一条都会影响到整个

21、ACL列表。这一个缺点影响了我们的工作，为我们带来了繁重的负担。不过我们可以用基于名称的访问控制列表来解决这个问题。塤礙籟馐决穩賽釙冊庫。基于名称的访问控制列表的格式：ip access-list standard|extended ACL名称ip access-list standard softer就建立了一个名为softer的标准访问控制列表。裊樣祕廬廂颤谚鍘羋蔺。当我们建立了一个基于名称的访问列表后就可以进入到这个ACL中进行配置了。例如我们添加三条ACL规则：permit 1.1.1.1 0.0.0.0permit 2.2.2.2 0.0.0.0permit 3.3.3.3 0.0.

22、0.0如果我们发现第二条命令应该是2.2.2.1而不是2.2.2.2，如果使用不是基于名称的访问控制列表的话，使用no permit 2.2.2.2 0.0.0.0后整个ACL信息都会被删除掉。正是因为使用了基于名称的访问控制列表，我们使用no permit 2.2.2.2 0.0.0.0后第一条和第三条指令依然存在。仓嫗盤紲嘱珑詁鍬齊驁。如果设置ACL的规则比较多的话，应该使用基于名称的访问控制列表进行管理，这样可以减轻很多后期维护的工作，方便我们随时进行调整ACL规则。绽萬璉轆娛閬蛏鬮绾瀧。七反向访问控制列表我们使用访问控制列表除了合理管理网络访问以外还有一个更重要的方面，那就是防范病毒，

23、我们可以将平时常见病毒传播使用的端口进行过滤，将使用这些端口的数据包丢弃。这样就可以有效的防范病毒的攻击。骁顾燁鶚巯瀆蕪領鲡赙。不过即使再科学的访问控制列表规则也可能会因为未知病毒的传播而无效，毕竟未知病毒使用的端口是我们无法估计的，而且随着防范病毒数量的增多会造成访问控制列表规则过多，在一定程度上影响了网络访问的速度。这时我们可以使用反向控制列表来解决以上的问题。瑣钋濺暧惲锟缟馭篩凉。反向访问控制列表格式非常简单，只要在配置好的扩展访问列表最后加上established即可。access-list 101 permit tcp 172.16.3.0 0.0.0.255 172.16.4.0

24、0.0.0.255 established 鎦诗涇艳损楼紲鯗餳類。定义ACL101，容许所有来自172.16.3.0网段的计算机访问172.16.4.0网段中的计算机，前提是TCP连接已经建立了的。当TCP连接没有建立的话是不容许172.16.3.0访问172.16.4.0的。栉缏歐锄棗鈕种鵑瑶锬。八基于时间的访问控制列表上面我们介绍了标准ACL与扩展ACL，实际上我们数量掌握了这两种访问控制列表就可以应付大部分过滤网络数据包的要求了。不过实际工作中总会有人提出这样或那样的苛刻要求，这时我们还需要掌握一些关于ACL的高级技巧。基于时间的访问控制列表就属于高级技巧之一。辔烨棟剛殓攬瑤丽阄应。九动态ACL动态ACL是对传统访问表的一种重要功能增强。动态ACL是能够自动创建动态访问表项的访问列表。传统的标准访问列表和扩展的访问列表不能创建动态访问表项。一旦在传统访问列表中加入了一个表项，除非手工删除，该表项将一直产生作用。而在动态访问表中，读者可以根据用户认证过程来创建特定的、临时的访问表项，一旦某个表项超时，就会自动从路由器中删除。峴扬斕滾澗辐滠兴渙藺。