ACL文档格式.docx
- 文档编号:21057768
- 上传时间:2023-01-27
- 格式:DOCX
- 页数:11
- 大小:41.40KB
ACL文档格式.docx
《ACL文档格式.docx》由会员分享,可在线阅读,更多相关《ACL文档格式.docx(11页珍藏版)》请在冰豆网上搜索。
//设定访问控制列表;
Router_A(config)#interfaces0/0
Router_A(config-if)#ipaccess-group1in
//应用到端口,这一步总在上一步设定访问表之后。
去除访问表时则相反;
Router_A(config-if)#end
Router_A#
以下为显示的左边路由器A及右边路由器B的配置:
Router_A
……
interfaceSerial0/0
ipaddress192.168.1.1255.255.255.0
ipaccess-group1in//所有从s0/0进入的数据包都经过这个表的过滤;
!
interfaceEthernet0/0
ipaddress138.1.1.1255.255.255.0
ipclassless
!
access-list1permit139.1.1.00.0.0.255
//定义访问表规则,此处只允许一个网络通过;
//注意:
这儿紧跟着隐含有一个省略的语句:
denyanyany;
……
Router_B
interfaceLoopback0
ipaddress140.1.1.1255.255.255.0
noswitchport
ipaddress192.168.1.2255.255.255.0
ipaddress139.1.1.1255.255.255.0
nokeepalive//使该端口在不接设备时,也被激活;
接着,监测标准访问控制列表,使用路由器上扩展的ping命令:
Router_B#ping
Protocol[ip]:
//回车确认默认值;
TargetIPaddress:
192.168.1.1//输入目标地址;
Repeatcount[5]:
Datagramsize[100]:
Timeoutinseconds[2]:
//回车确认以上三项;
Extendedcommands[n]:
y//输入yes,使用扩展
ping命令;
Sourceaddressorinterface:
140.1.1.1//指定数据包发出的地方;
Typeofservice[0]:
SetDFbitinIPheader?
[no]:
Validatereplydata?
Datapattern[0xABCD]:
Loose,Strict,Record,Timestamp,Verbose[none]:
Sweeprangeofsizes[n]:
//回车确认以上个项;
Typeescapesequencetoabort.
Sending5,100-byteICMPEchosto192.168.1.1,timeoutis2seconds:
.....
Successrateis0percent(0/5)
此时,观察到的结果为不通。
重新使用扩展的ping命令,将源地址改成139.1.1.1;
此时,观察到的结果是通的。
两者比较,说明标准访问控制列表在工作、已经起作用了。
2、配置和引用扩展IP访问控制列表
使用扩展访问控制列表进行报文过滤。
如上图连接好设备并按图配置好地址,此处用二级IP地址来替代多台PC机。
我们希望做到路由器A允许所有从PC-C到PC-A的数据通过,而拒绝从PC-C到PC-B的数据通过。
这里对源IP和目的IP地址都要过滤,因此使用扩展访问控制列表。
两个路由器的最后配置如下:
hostnameRouter_A
ipsubnet-zero
ipaccess-group101in
ipaddress198.1.1.2255.255.255.0secondary//使用二级地址;
ipaddress198.1.1.3255.255.255.0secondary//使用二级地址;
ipaddress198.1.1.1255.255.255.0
nokeepalive//使该端口在不接设备时,也被激活;
iproute0.0.0.00.0.0.0192.168.1.2//缺省路由;
access-list101permitiphost199.1.1.2host198.1.1.2log//访问表项;
access-list101denyiphost199.1.1.2host198.1.1.3log
//前面提到,新添表项时,总添在表的末尾,而由于访问表中表项的顺序至关重要,所以,脱机编辑表项不失为一个好方法;
linecon0
lineaux0
linevty04
login
end
ipaddress197.1.1.1255.255.255.0
InterfaceSerial0/0
ipaddress199.1.1.2255.255.255.0secondary
ipaddress199.1.1.1255.255.255.0
nokeepalive
iproute0.0.0.00.0.0.0192.168.1.1
然后,监测所作的配置。
在路由器B上,使用扩展的ping命令:
198.1.1.2
y
199.1.1.2
Sending5,100-byteICMPEchosto198.1.1.2,timeoutis2seconds:
Successrateis100percent(5/5),round-tripmin/avg/max=1/2/4ms
将目的地址换成198.1.1.3,结果是U.U.U,就是目标不可达。
在路由器A上:
Router_A#shipaccess-lists
ExtendedIPaccesslist101
permitiphost199.1.1.2host198.1.1.2log(901matches)
//允许的报文,已有901次;
denyiphost199.1.1.2host198.1.1.3log(5matches)
//被拒绝的报文,已有5次;
可以看出路由器A上被拒绝的和通过的报文的次数。
在路由器A上作debug监测:
Router_A#debugippacket
IPpacketdebuggingison
01:
43:
07:
IP:
s=199.1.1.2(FastEthernet0/0),d=198.1.1.3,len100,accessdenied
09:
可以实时观察到报文被拒绝的情况。
问题与思考:
1、由于访问控制列表末尾总隐含有denyanyany语句,请思考以下问题并作出实验验证:
在上面实验内容3的扩展访问控制列表中,第二条访问控制列表项语句:
access-list101denyiphost199.1.1.2host198.1.1.3log是否可以省略?
2、上面扩展的访问控制列表中,可不可以将ipaccess-group101应用到端口e0/0上,如果可以,请说明是out还是in,如果不可以请说明理由。
并比较应用到端口e0/0和应用到s0/0口的优劣。
实验背景材料:
一、IP访问控制列表
访问控制列表(AaccessControlList,ACL)是一个有序的语句集合,它检测通过路由器的信包中有关字段与访问控制列表参数是否匹配,来允许信包通过或拒绝信包通过某个接口。
访问控制列表可以实现路由器一定的安全控制功能。
Cisco路由器支持两种类型的访问控制列表:
标准IP访问控制列表、扩展IP访问控制列表。
标准IP访问控制列表只允许过滤源地址;
扩展IP访问控制列表允许过滤源地址、目的地址、源端口、目的端口、协议。
1.标准IP访问控制列表
其基本格式为:
access-list[list-number][permit|deny][sourceaddress][wildcard-mask][log]
其中list-number是1到99之间的一个整数,表示访问控制列表编号。
若有多个list-number相同的语句,它们表示一个整体组。
用这样的方法,在这之后,可以方便将该编号组的访问控制规则应用到某个接口上。
permit或deny用来表示满足访问控制列表的信包是允许通过接口还是要过滤掉。
sourceaddress指明源地址。
一般常常过滤某一组地址,这时需要使用通配符掩码wildcard-mask,通常把通配符掩码也称作反向掩码,因为它的意义和普通掩码刚好相反。
例如,用普通掩码表示网络时:
192.168.10.1255.255.255.0表示192.168.10.1的网络地址192.168.10.0,而在访问控制列表中用反向掩码来表示同样的内容是:
192.168.10.00.0.0.255,也就是说,在反向掩码的二进制表示中,0表示“匹配”,1表示“不关心”,这刚好和普通掩码的意义相反,所以也可以说反向掩码是普通掩码的补值。
语句中的其它关键字还包括remark、host、any和log。
关键字remark紧跟在list-number之后,用于对这个访问控制列表的注释。
如果仅仅想表示单个IP地址,可用关键字host,host后跟一个地址就明确表示一个地址被允许或被拒绝。
如果要表示所有地址,则需要用关键字any。
host和any也可以用网段反向掩码表示,其反向掩码分别是0.0.0.0和255.255.255.255。
关键字log指示将所有能匹配访问控制列表permit或deny语句的信包记录进日志。
这样就可以在以后通过showlogging命令检查日志内容,以此判断一些流量(部分地址被允许的次数)或潜在的黑客活动(多次尝试活动被拒绝)。
2.扩展IP访问控制列表
扩展IP访问控制列表扩展了对信包的过滤能力,它可以根据以下内容过滤信包:
协议类型、源地址、目的地址、源端口、目的端口等。
access-list[list-number][permit|deny][protocol|protocolkeyword][sourceaddress]
[source-wildcard][sourceport][destinationaddress][destination-wildcard]
[destinationport][log]
其中list-number的含义和标准IP访问控制列表的相同,只是号码从100-199。
语句中的permit|deny项及sourceaddress,source-wildcard,destinationaddress,destination-wildcard的含义和标准IP访问控制列表的相同,分别表示允许、拒绝,源地址(网段)、目的地址(网段),如果仅过滤单个地址,前面加上host即可。
protocol表项定义了需要被过滤的协议,如IP、TCP、UDP、ICMP等。
source-port,destination-port表示的源和目的端口通常只使用在TCP或UDP协议时。
它们可以使用两种方式表示,显式方式:
用一个端口数字或可识别的助记符,如用80或HTTP来指定WEB服务器端口;
模糊方式:
用比较关系符gt(大于)、lt(小于)、eq(等于)、neq(不等于)后跟某个范围。
其它关键字还有:
remark,host,any,log和established
remark用于注释,和标准IP访问控制列表一样。
host,any,log也同前。
established仅用于TCP协议中,用于TCP在一个方向上响应另一端发起的会话时,使用established关键字的访问控制列表检查每个TCP报文,看它的ACK或RST位是否已经设置而决定允许或拒绝。
二、使用IP访问控制列表
使用IP访问控制列表的步骤包括三步:
1、定义IP访问控制列表
将要过滤哪些信包、如何过滤的策略通过access-list语句定义。
遵循以下规则:
自上而下的顺序、以及末尾隐含的denyany语句。
所谓自上而下的顺序,是指在过滤时,信包经过每条语句的检查,到匹配语句为止,否则一直往下检查,如果没有一条匹配,则最后有一条隐含的denyany将其拒绝。
要切记最后隐含的这条语句。
2、将该访问控制列表引用在哪个接口上
配置好访问控制列表后,要应用到具体的接口上才真正使它起作用。
在接口上使用访问控制列表时要用ipaccess-grouplist-number[in|out]命令。
过滤信包是在接口上实现的,一般在选择接口时,对于扩展IP访问控制列表,要尽量放在靠近过滤源的接口上,这样创建的过滤器就不会影响到其他接口的数据流;
对于标准IP访问控制列表,要尽量放在靠近目的地的接口上,这是因为:
标准IP访问控制列表只以源地址为过滤对象,放在离源地址近的地方会阻止这里的报文流向其他地方。
3、指定信包在接口上过滤的方向
ipaccess-grouplist-number[in|out]命令在接口上使用时还需要指定其过滤方向。
in表示“向内的”,即信包流流向路由器;
out表示“向外的”,即信包流从路由器流出。
三、命名的IP访问控制列表和访问控制列表的编辑
也可以用命名方式的访问控制列表来取代编号方式的访问控制列表,这样,不但不会受编号方式编号个数的限制,而且在命名时可以给出一个易理解、意思明确的名字,以便区分各个访问控制列表的过滤作用和意义,如名字denystudent,名字test,名字denyftp等等。
其具体格式为:
ipaccess-liststandardname或ipaccess-listextendedname,
此后,同一组访问控制列表语句中,跟着的其它语句的ipaccess-list字段就省去了,只从permit|deny开始。
使用命名的访问控制列表还有另一个优点:
编辑同一组访问控制列表语句中的某单个语句时,可以用no命令很方便地删去其中的一条,而用编号方式的访问控制列表时,no一条语句,会删去该编号所有的这一个组。
另外,在添加访问控制列表表项的时候(无论是编号方式的还是命名方式的),新添加的表项总是在访问控制列表的末尾,由于访问表是按序执行的,所以,加在末尾是否能实现想要的功能,也应加以考虑。
Cisco路由器配置软件与CCNA资料参考网址
[1]Cisco路由器模拟器软件router_eSIM_v1.1,
id=34&
filename=download/router_eSIM_v11.zip
[2]Cisco路由器模拟器软件SybexCCNAVirtualLab2.1,
/openfile.asp?
id=51&
filename=download/routersim.zip
[3]BonsonNetSim6.0路由器模拟器软件,
[4]BosonNetSim模拟器入门进阶(上册),
[5]BosonNetSim模拟器入门进阶(下册),
[6]在线教程CCNA1NetworkingBasicsv3.11,
311053022401441/ccna3theme/ccna3/start.html
[7]在线教程CCNA2RoutersandRoutingBasicsv3.11,
311053022482417/ccna3theme/ccna3/start.html
[8]在线教程CCNA3SwitchingBasicsandIntermediateRoutingv3.1,
.html
[9]Cisco教材中文版《CCNA学习指南》,
[10]SybexCCNA2.0StudyGuide,
[11]CCNAICNDExamCertificationGuide(Cisco出版社),
[12]CiscoCCNA认证考试电子书与资料系列,
[13]CiscoCCNA认证培训中文PPT幻灯片,
[14]CiscoCCNA认证新版中文PPT教程,
[15]中国石油大学思科网络技术学院,
[16]中国石油大学思科网络技术学院CCNA课程资料与软件系列,
[17]Cisco命令集,
[18]Cisco模块介绍,
[19]思科网络学院第一学期v3.0,
[20]思科网络学院第二学期v3.0,
[21]思科网络学院第三学期v3.0,http:
//download.c
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- ACL