Cisco访问控制列表.docx
- 文档编号:9801660
- 上传时间:2023-02-06
- 格式:DOCX
- 页数:14
- 大小:47.83KB
Cisco访问控制列表.docx
《Cisco访问控制列表.docx》由会员分享,可在线阅读,更多相关《Cisco访问控制列表.docx(14页珍藏版)》请在冰豆网上搜索。
Cisco访问控制列表
cisco路由器配置ACL详解
如果有人说路由交换设备主要就是路由和交换的功能,仅仅在路由交换数据包时应用的话他一定是个门外汉。
如果仅仅为了交换数据包我们使用普通的HUB就能胜任,如果只是使用路由功能我们完全可以选择一台WINDOWS服务器来做远程路由访问配置。
实际上路由器和交换机还有一个用途,那就是网络管理,学会通过硬件设备来方便有效的管理网络是每个网络管理员必须掌握的技能。
今天我们就为大家简单介绍访问控制列表在CISCO路由交换上的配置方法与命令。
什么是ACL?
访问控制列表简称为ACL,访问控制列表使用包过滤技术,在路由器上读取第三层及第四层包头中的信息如源地址,目的地址,源端口,目的端口等,根据预先定义好的规则对包进行过滤,从而达到访问控制的目的。
该技术初期仅在路由器上支持,近些年来已经扩展到三层交换机,部分最新的二层交换机也开始提供ACL的支持了。
访问控制列表使用原则
由于ACL涉及的配置命令很灵活,功能也很强大,所以我们不能只通过一个小小的例子就完全掌握全部ACL的配置。
在介绍例子前为大家将ACL设置原则罗列出来,方便各位读者更好的消化ACL知识。
1、最小特权原则
只给受控对象完成任务所必须的最小的权限。
也就是说被控制的总规则是各个规则的交集,只满足部分条件的是不容许通过规则的。
2、最靠近受控对象原则
所有的网络层访问权限控制。
也就是说在检查规则时是采用自上而下在ACL中一条条检测的,只要发现符合条件了就立刻转发,而不继续检测下面的ACL语句。
3、默认丢弃原则
在CISCO路由交换设备中默认最后一句为ACL中加入了DENYANYANY,也就是丢弃所有不符合条件的数据包。
这一点要特别注意,虽然我们可以修改这个默认,但未改前一定要引起重视。
由于ACL是使用包过滤技术来实现的,过滤的依据又仅仅只是第三层和第四层包头中的部分信息,这种技术具有一些固有的局限性,如无法识别到具体的人,无法识别到应用内部的权限级别等。
因此,要达到端到端的权限控制目的,需要和系统级及应用级的访问权限控制结合使用。
分类:
标准访问控制列表
扩展访问控制列表
基于名称的访问控制列表
反向访问控制列表
基于时间的访问控制列表
标准访问列表:
访问控制列表ACL分很多种,不同场合应用不同种类的ACL。
其中最简单的就是标准访问控制列表,标准访问控制列表是通过使用IP包中的源IP地址进行过滤,使用的访问控制列表号1到99来创建相应的ACL
访问控制列表ACL分很多种,不同场合应用不同种类的ACL。
其中最简单的就是标准访问控制列表,他是通过使用IP包中的源IP地址进行过滤,使用的访问控制列表号1到99来创建相应的ACL。
标准访问控制列表的格式:
标准访问控制列表是最简单的ACL。
它的具体格式如下:
access-listACL号permit|denyhostip地址
例如:
access-list10denyhost192.168.1.1这句命令是将所有来自192.168.1.1地址的数据包丢弃。
当然我们也可以用网段来表示,对某个网段进行过滤。
命令如下:
access-list10deny192.168.1.00.0.0.255
通过上面的配置将来自192.168.1.0/24的所有计算机数据包进行过滤丢弃。
为什么后头的子网掩码表示的是0.0.0.255呢?
这是因为CISCO规定在ACL中用反向掩玛表示子网掩码,反向掩码为0.0.0.255的代表他的子网掩码为255.255.255.0。
小提示:
对于标准访问控制列表来说,默认的命令是HOST,也就是说access-list10deny192.168.1.1表示的是拒绝192.168.1.1这台主机数据包通讯,可以省去我们输入host命令。
标准访问控制列表实例一:
网络环境介绍:
我们采用如图所示的网络结构。
路由器连接了二个网段,分别为172.16.4.0/24,172.16.3.0/24。
在172.16.4.0/24网段中有一台服务器提供WWW服务,IP地址为172.16.4.13。
实例1:
禁止172.16.4.0/24网段中除172.16.4.13这台计算机访问172.16.3.0/24的计算机。
172.16.4.13可以正常访问172.16.3.0/24。
路由器配置命令
access-list1permithost172.16.4.13设置ACL,容许172.16.4.13的数据包通过。
access-list1denyany设置ACL,阻止其他一切IP地址进行通讯传输。
inte1进入E1端口。
ipaccess-group1in将ACL1宣告。
经过设置后E1端口就只容许来自172.16.4.13这个IP地址的数据包传输出去了。
来自其他IP地址的数据包都无法通过E1传输。
小提示:
由于CISCO默认添加了DENYANY的语句在每个ACL中,所以上面的access-list1denyany这句命令可以省略。
另外在路由器连接网络不多的情况下也可以在E0端口使用ipaccess-group1out命令来宣告,宣告结果和上面最后两句命令效果一样。
标准访问控制列表实例二:
配置任务:
禁止172.16.4.13这个计算机对172.16.3.0/24网段的访问,而172.16.4.0/24中的其他计算机可以正常访问。
路由器配置命令:
access-list1denyhost172.16.4.13设置ACL,禁止172.16.4.13的数据包通过
access-list1permitany设置ACL,容许其他地址的计算机进行通讯
inte1进入E1端口
ipaccess-group1in将ACL1宣告,同理可以进入E0端口后使用ipaccess-group1out来完成宣告。
配置完毕后除了172.16.4.13其他IP地址都可以通过路由器正常通讯,传输数据包。
总结:
标准ACL占用路由器资源很少,是一种最基本最简单的访问控制列表格式。
应用比较广泛,经常在要求控制级别较低的情况下使用。
如果要更加复杂的控制数据包的传输就需要使用扩展访问控制列表了,他可以满足我们到端口级的要求。
扩展访问控制列表:
上面我们提到的标准访问控制列表是基于IP地址进行过滤的,是最简单的ACL。
那么如果我们希望将过滤细到端口怎么办呢?
或者希望对数据包的目的地址进行过滤。
这时候就需要使用扩展访问控制列表了。
使用扩展IP访问列表可以有效的容许用户访问物理LAN而并不容许他使用某个特定服务(例如WWW,FTP等)。
扩展访问控制列表使用的ACL号为100到199。
扩展访问控制列表的格式:
扩展访问控制列表是一种高级的ACL,配置命令的具体格式如下:
access-listACL号[permit|deny][协议][定义过滤源主机范围][定义过滤源端口][定义过滤目的主机访问][定义过滤目的端口]
例如:
access-list101denytcpanyhost192.168.1.1eqwww这句命令是将所有主机访问192.168.1.1这个地址网页服务(WWW)TCP连接的数据包丢弃。
小提示:
同样在扩展访问控制列表中也可以定义过滤某个网段,当然和标准访问控制列表一样需要我们使用反向掩码定义IP地址后的子网掩码。
扩展访问控制列表的实例:
网络环境介绍:
我们采用如图所示的网络结构。
路由器连接了二个网段,分别为172.16.4.0/24,172.16.3.0/24。
在172.16.4.0/24网段中有一台服务器提供WWW服务,IP地址为172.16.4.13。
配置任务:
禁止172.16.3.0的计算机访问172.16.4.0的计算机,包括那台服务器,不过惟独可以访问172.16.4.13上的WWW服务,而其他服务不能访问。
路由器配置命令:
access-list101permittcpany172.16.4.130.0.0.0eqwww设置ACL101,容许源地址为任意IP,目的地址为172.16.4.13主机的80端口即WWW服务。
由于CISCO默认添加DENYANY的命令,所以ACL只写此一句即可。
inte0进入E1端口
ipaccess-group101out将ACL101宣告出去
设置完毕后172.16.3.0的计算机就无法访问172.16.4.0的计算机了,就算是服务器172.16.4.13开启了FTP服务也无法访问,惟独可以访问的就是172.16.4.13的WWW服务了。
而172.16.4.0的计算机访问172.16.3.0的计算机没有任何问题。
扩展ACL有一个最大的好处就是可以保护服务器,例如很多服务器为了更好的提供服务都是暴露在公网上的,如果所有端口都对外界开放,很容易招来黑客和病毒的攻击,通过扩展ACL可以将除了服务端口以外的其他端口都封锁掉,降低了被攻击的机率。
如本例就是仅仅将80端口对外界开放。
总结:
扩展ACL功能很强大,他可以控制源IP,目的IP,源端口,目的端口等,能实现相当精细的控制,扩展ACL不仅读取IP包头的源地址/目的地址,还要读取第四层包头中的源端口和目的端口的IP。
不过他存在一个缺点,那就是在没有硬件ACL加速的情况下,扩展ACL会消耗大量的路由器CPU资源。
所以当使用中低档路由器时应尽量减少扩展ACL的条目数,将其简化为标准ACL或将多条扩展ACL合一是最有效的方法。
基于名称的访问控制列表
不管是标准访问控制列表还是扩展访问控制列表都有一个弊端,那就是当设置好ACL的规则后发现其中的某条有问题,希望进行修改或删除的话只能将全部ACL信息都删除。
也就是说修改一条或删除一条都会影响到整个ACL列表。
这一个缺点影响了我们的工作,为我们带来了繁重的负担。
不过我们可以用基于名称的访问控制列表来解决这个问题。
一、基于名称的访问控制列表的格式:
ipaccess-list[standard|extended][ACL名称]
例如:
ipaccess-liststandardsofter就建立了一个名为softer的标准访问控制列表。
二、基于名称的访问控制列表的使用方法:
当我们建立了一个基于名称的访问列表后就可以进入到这个ACL中进行配置了。
例如我们添加三条ACL规则
permit1.1.1.10.0.0.0
permit2.2.2.20.0.0.0
permit3.3.3.30.0.0.0
如果我们发现第二条命令应该是2.2.2.1而不是2.2.2.2,如果使用不是基于名称的访问控制列表的话,使用nopermit2.2.2.20.0.0.0后整个ACL信息都会被删除掉。
正是因为使用了基于名称的访问控制列表,我们使用nopermit2.2.2.20.0.0.0后第一条和第三条指令依然存在。
总结:
如果设置ACL的规则比较多的话,应该使用基于名称的访问控制列表进行管理,这样可以减轻很多后期维护的工作,方便我们随时进行调整ACL规则。
反向访问控制列表:
我们使用访问控制列表除了合理管理网络访问以外还有一个更重要的方面,那就是防范病毒,我们可以将平时常见病毒传播使用的端口进行过滤,将使用这些端口的数据包丢弃。
这样就可以有效的防范病毒的攻击。
不过即使再科学的访问控制列表规则也可能会因为未知病毒的传播而无效,毕竟未知病毒使用的端口是我们无法估计的,而且随着防范病毒数量的增多会造成访问控制列表规则过多,在一定程度上影响了网络访问的速度。
这时我们可以使用反向控制列表来解决以上的问题。
一、反向访问控制列表的用途
反向访问控制列表属于ACL的一种高级应用。
他可以有效的防范病毒。
通过配置反向ACL可以保证AB两个网段的计算机互相PING,A可以PING通B而B不能PING通A。
说得通俗些的话就是传输数据可以分为两个过程,首先是源主机向目的主机发送连接请求和数据,然后是目的主机在双方建立好连接后发送数据给源主机。
反向ACL控制的就是上面提到的连接请求。
二、反向访问控制列表的格式
反向访问控制列表格式非常简单,只要在配置好的扩展访问列表最后加上established即可。
我们还是通过实例为大家讲解。
反向访问控制列表配置实例
网络环境介绍:
我们采用如图所示的网络结构。
路由器连接了二个网段,分别为172.16.4.0/24,172.16.3.0/24。
在172.16.4.0/24网段中的计算机都是服务器,我们通过反向ACL设置保护这些服务器免受来自172.16.3.0这个网段的病毒攻击。
配置实例:
禁止病毒从172.16.3.0/24这个网段传播到172.16.4.0/24这个服务器网段。
路由器配置命令:
access-list101permittcp172.16.3.00.0.0.255172.16.4.00.0.0.255established定义ACL101,容许所有来自172.16.3.0网段的计算机访问172.16.4.0网段中的计算机,前提是TCP连接已经建立了的。
当TCP连接没有建立的话是不容许172.16.3.0访问172.16.4.0的。
inte1进入E1端口
ipaccess-group101out将ACL101宣告出去
设置完毕后病毒就不会轻易的从172.16.3.0传播到172.16.4.0的服务器区了。
因为病毒要想传播都是主动进行TCP连接的,由于路由器上采用反向ACL禁止了172.16.3.0网段的TCP主动连接,因此病毒无法顺利传播。
小提示:
检验反向ACL是否顺利配置的一个简单方法就是拿172.16.4.0里的一台服务器PING在172.16.3.0中的计算机,如果可以PING通的话再用172.16.3.0那台计算机PING172.16.4.0的服务器,PING不通则说明ACL配置成功。
通过上文配置的反向ACL会出现一个问题,那就是172.16.3.0的计算机不能访问服务器的服务了,假如图中172.16.4.13提供了WWW服务的话也不能正常访问。
解决的方法是在ESTABLISHED那句前头再添加一个扩展ACL规则,例如:
access-list101permittcp172.16.3.00.0.0.255172.16.4.130.0.0.0eqwww
这样根据“最靠近受控对象原则”即在检查ACL规则时是采用自上而下在ACL中一条条检测的,只要发现符合条件了就立刻转发,而不继续检测下面的ACL语句。
172.16.3.0的计算机就可以正常访问该服务器的WWW服务了,而下面的ESTABLISHED防病毒命令还可以正常生效。
基于时间的访问控制列表:
上面我们介绍了标准ACL与扩展ACL,实际上我们只要掌握了这两种访问控制列表就可以应付大部分过滤网络数据包的要求了。
不过实际工作中总会有人提出这样或那样的苛刻要求,这时我们还需要掌握一些关于ACL的高级技巧。
基于时间的访问控制列表就属于高级技巧之一。
一、基于时间的访问控制列表用途:
可能公司会遇到这样的情况,要求上班时间不能上QQ,下班可以上或者平时不能访问某网站只有到了周末可以。
对于这种情况仅仅通过发布通知规定是不能彻底杜绝员工非法使用的问题的,这时基于时间的访问控制列表应运而生。
二、基于时间的访问控制列表的格式:
基于时间的访问控制列表由两部分组成,第一部分是定义时间段,第二部分是用扩展访问控制列表定义规则。
这里我们主要讲解下定义时间段,具体格式如下:
time-range时间段名称
absolutestart[小时:
分钟][日月年][end][小时:
分钟][日月年]
例如:
time-rangesofter
absolutestart0:
001may2005end12:
001june2005
意思是定义了一个时间段,名称为softer,并且设置了这个时间段的起始时间为2005年5月1日零点,结束时间为2005年6月1日中午12点。
我们通过这个时间段和扩展ACL的规则结合就可以指定出针对自己公司时间段开放的基于时间的访问控制列表了。
当然我们也可以定义工作日和周末,具体要使用periodic命令。
我们将在下面的配置实例中为大家详细介绍。
配置实例:
要想使基于时间的ACL生效需要我们配置两方面的命令:
1、定义时间段及时间范围。
2、ACL自身的配置,即将详细的规则添加到ACL中。
3、宣告ACL,将设置好的ACL添加到相应的端口中。
网络环境介绍:
我们采用如图所示的网络结构。
路由器连接了二个网段,分别为172.16.4.0/24,172.16.3.0/24。
在172.16.4.0/24网段中有一台服务器提供FTP服务,IP地址为172.16.4.13。
配置任务:
只容许172.16.3.0网段的用户在周末访问172.16.4.13上的FTP资源,工作时间不能下载该FTP资源。
路由器配置命令:
time-rangesofter定义时间段名称为softer
periodicweekend00:
00to23:
59定义具体时间范围,为每周周末(6,日)的0点到23点59分。
当然可以使用periodicweekdays定义工作日或跟星期几定义具体的周几。
access-list101denytcpany172.16.4.130.0.0.0eqftptime-rangesofter设置ACL,禁止在时间段softer范围内访问172.16.4.13的FTP服务。
access-list101permitipanyany设置ACL,容许其他时间段和其他条件下的正常访问。
inte1进入E1端口。
ipaccess-group101out宣告ACL101。
基于时间的ACL比较适合于时间段的管理,通过上面的设置172.16.3.0的用户就只能在周末访问服务器提供的FTP资源了,平时无法访问。
访问控制列表流量记录
网络管理员就是要能够合理的管理公司的网络,俗话说知己知彼方能百战百胜,所以有效的记录ACL流量信息可以第一时间的了解网络流量和病毒的传播方式。
下面这篇文章就为大家简单介绍下如何保存访问控制列表的流量信息,方法就是在扩展ACL规则最后加上LOG命令。
实现方法:
log192.168.1.1为路由器指定一个日志服务器地址,该地址为192.168.1.1
access-list101permittcpany172.16.4.130.0.0.0eqwwwlog在希望监测的扩展ACL最后加上LOG命令,这样就会把满足该条件的信息保存到指定的日志服务器192.168.1.1中。
小提示:
如果在扩展ACL最后加上log-input,则不仅会保存流量信息,还会将数据包通过的端口信息也进行保存。
使用LOG记录了满足访问控制列表规则的数据流量就可以完整的查询公司网络哪个地方流量大,哪个地方有病毒了。
简单的一句命令就完成了很多专业工具才能完成的工作。
活动目录双域控制器DC如何设置DNS-----来自Internet(出处不明)
2009-04-0215:
48
ActiveDirectory域活动目录如何设置域控制器dns如何避免DCDNS孤岛如何设置dns服务器双域控制器dns配置
活动目录双域控制器DC如何设置DNS|dns孤岛问题。
客户的网络中部署了两个DC,我给他部署的时候,将网卡上的DNS的设置的主DNS指向了另外一个(即,DC1的z主dns指向DC2的IP),原意是在一个DC启动的时候能够快点。
但是,在我的实验室里,我发现指向127.0.0.1反而快些。
所以我想问的是,域控制器的DNS应该指向自己还是别的域控制器比较好些(前提是DNS就在域控制器上)?
为什么有的Dc会启动那么慢?
请问主域控制器与额外域控制器之间的dns如何设置,比如我dc1(主域控)上设置:
ip:
192.168.1.2
子网掩码:
255.255.255.0
网关:
192.168.1.1
(主)DNS:
192.168.1.2
(辅)DNS:
192.168.1.3
dc2(辅域控)上的设置:
ip:
192.168.1.3
子网掩码:
255.255.255.0
网关:
192.168.1.1
(主)DNS:
(主)192.168.1.3
(辅)DNS:
192.168.1.2
我想问的是这样设置dns会好吗?
还是dns都设置成127.0.0.1?
我希望服务器能尽量少出现问题?
回答:
最好的方法是将dns指向其它dc上的dns,这样netlogon进程在启动的时候,就可以顺利读写dns记录。
因为netlogon启动要比dns服务启动快,如果将dns指向自己,那么netlogon在启动的时候就会报错。
即便在注册表中调整了服务启动顺序,在Windowsserver2003上仍旧会不时出现这种问题。
其二,将dns指向自己将可能出现dns孤岛,这个问题请参考
当域控制器将_Msdcs.ForestDnsName域指向它自身时DNS服务器变为孤岛
关于dnsclient的最佳实践
那么您的举例中,应该这样配置:
DC1IP:
192.168.0.2
primarydns:
192.168.0.3
secondarydns:
192.168.0.2
DC2IP:
192.168.0.3
primarydns:
192.168.0.2
secondarydns:
192.168.0.3
更多活动目录域控制器DC上的DNS配置文章请参考
DNS服务器Server内网多子域中复制架构设置问题活动目录域Vista-专家博...
在活动目录域AD中如何配置DNS复制?
活动目录Seo2008Vista
子域DNS如何创建设置2级DNSserver|委派及转发活动目录域SeoVista
如何安装额外域控制器辅助域控制器dns|活动目录域dns配置安装活动目录...
---gnaw0725
DNS服务和AD的相互依赖使得DC在启动速度上会收到一定的影响,通常我们建议用户将DC间的DNS互相指向对方以获得最佳性能。
DC上的DNS服务问题也可以通过将DNS设置为独立的(而不是AD集成的)来缓解,不过这会损失AD继承DNS的很多优点,所以如果不是特殊情况我们不建议用户这样做。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- Cisco 访问 控制 列表
![提示](https://static.bdocx.com/images/bang_tan.gif)