cisco路由器配置ACL详解.docx

cisco路由器配置ACL详解假设有人说路由交换设备主要就是路由和交换的功能，仅仅在路由交换数据包时应用的话他肯 定是个门外汉。假设仅仅为了交换数据包我们使用一般的HUB就能胜任，假设只是使用路由功能我们完全 可以选择一台WINDOWS效劳器来做远程路由访问配置。实际上路由器和交换机还有一个用途，那就是网络治理.，学会通过硬件设备来便利有效的治理 网络是每个网络治理员必需把握的技能。今日我们就为大家简洁介绍访问掌握列表在CISC。 路由交换上的配置方法与命令。什么是ACL?访问掌握列表简称为ACL,访问掌握列表使用包过滤技术，在路由器上读取第三层及第 四层包头中的信息如源地址，目的地址，源端口，目的端口等，依据预先定义好的规章对包进 展过滤，从而到达访问掌握的目的。该技术初期仅在路由器上支持:，近些年来已经扩展到三层 交换机，局部最的二层交换机也开头供给ACL的支持了。访问掌握列表使用原则由于ACL涉及的配置命令很敏捷，功能也很强大，所以我们不能只通过一个小小的例子 就完全把握全部ACL的配置。在介绍例子前为大家将ACL设置原则排列出来，便利各位读者更 好的消化ACL学问。1、最小特权原则只给受控对象完成任务所必需的最小的权限。也就是说被掌握的总规章是各个规章的交集， 只满足局部条件的是不容许通过规章的。2、最靠近受控对象原则全部的网络层访问权限学握。也就是说在检查规章时是承受自上而下在ACL中一条条检 测的，只要觉察符合条件了就马上转发，而不连续检测下面的ACL语句.3、默认丢弃原则在CISCO路由交换设备中默认最终一句为ACL中参加了DENY ANY ANY,也就是丢弃 全部不符合条件的数据包。这一点要特别留意，虽然我们可以修改这个默认，但未改前肯定要 引起重视。由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的局 部信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限 级别等。因此，要到达端到端的权限掌握目的，需要和系统级及应用级的访问权限掌握结合使 用。分类：标准访问掌握列表扩展访问掌握列表基于名称的访问掌握列表反向访问掌握列表基于时间的访问掌握列表标准访问列表：访问掌握列表ACL分很多种，不同场合应用不同种类的ACL。其中最简洁的就是标准访问 掌握列表，标准访问掌握列表是通过使用IP包中的源IP地址进展过滤，使用的访问掌握列 表 号1到99来创立相应的ACL访问掌握列表ACL分很多种，不同场合应用不同种类的ACL。其中最简洁的就是标准访问掌握 列表，他是通过使用IP包中的源IP地址进展过滤，使用的访问掌握列表号1到99来创立相应的 ACLo标准访问掌握列表的格式：标准访问掌握列表是最简洁的ACL。它的具体格式如下:access-list ACL号permit)deny host ip地址例如：这句命令是将全部来自地址的 数据包丢弃。固然我们也可以用网段来表示，对某个网段进展过滤。命令如下：access-list 10通过上面的配置将来自的全部计算机数据包进展过滤丢弃。为什么后头 的子网掩码表示的是0.00255呢？这是由于CISCO规定在ACL中用反向掩玛表示子网掩 码，反向掩码为的代表他的子网掩码为。小提示：对于标准访问掌握列表来说，默认的命令是HOST,也就是说access-list 10 表示的是拒绝这台主机数据包通讯，可以省去我们输入host命令。标准访问掌握列表实例一：网络环境介绍：3我们承受如下图的网络结构。路由器连接了二个网段，分别为172.。在网段中有一台效劳器供给WWW效劳,IP地址为172.16.4.13。实例L 制止网段中除这台计算机访问的计算 机。172.16413 可以正常访问 。路由器配置命令access-list 1 设置ACL,容许 的数据包通过。access-list 1 deny any设置ACL,阻挡其他一切IP地址进展通讯传输。int e 1进入El端口。ip access-group 1 in将 ACL 1 宣告。经过设置后El端口就只容许来自这个IP地址的数据包传输出去了。来自其 他IP地址的数据包都无法通过E1传输。小提示：由于CISCO默认添加了DENY ANY的语句在每个ACL中,所以上面的QCC63S-list 1 deny ony这句命令可以省略。另外在路由器连接网络不多的状况下也可以在E0端口使用ip access-group 1 out命令来宣告，宣告结果和上面最终两句命令效果一样。标准访问掌握列表实例二：配置任务：制止这个计算机对网段的访问，而中的其他 计算机可以正常访问。路由器配置命令：access-list 1 deny host 172.16.4.13 设置ACL,制止 的数据包通过access-list 1 permit any设置ACL,容许其他地址的计算机进展通讯inte 1 进入El端口ip access-group 1 in将ACL1 宣告，同理可以进入E0端11 后使用ip occess-group 1out来完成宣告。配置完毕后除了 其他IP地址都可以通过路由器正常通讯，传输数据包。总结：标准ACL占用路由器资源很少，是一种最根本最简洁的访问掌握列表格式。应用 比较广泛，常常在要求掌握级别较低的状况下使用。假设要更加简单的掌握数据包的传输就需 要使用扩展访问掌握列表了，他可以满足我们到端口级的要求。扩展访问掌握列表：上面我们提到的标准访问掌握列表是基于IP地址进展过滤的，是最简洁的ACL。那么假 设我们期望将过滤细到端口怎么办呢？或者期望对数据包的目的地址进展过滤。这时候就需 要使用扩展访问掌握列表了。使用扩展IP访问列表可以有效的容许用户访问物理LAN而并不容 许他使用某个特定效劳(例如WWW, FTP等)。扩展访问掌握列表使用的ACL号为100到 199。扩展访问掌握列表的格式：扩展访问掌握列表是一种高级的ACL,配置命令的具体格式如下：access-list ACL号 permit|deny协议H定义过滤源主机范围定义过滤源端口定义过滤目的主机访问定 义过滤目的端口例如：access-list 101 deny tcp any host 192.168.1.1 eq ww越句命令是将全部主机访 问这个地址网页效劳(WWW) TCP连接的数据包丢弃。小提示：同样在扩展访问掌握列表中也可以定义过滤某个网段，固然和标准访问掌握列 表一样需要我们使用反向掩码定义IP地址后的子网掩码。扩展访问掌握列表的实例：网络环境介绍：我们采用如图所示的网络结构。路由器连接了二个网段，分别为172.16.4.0/24,172.1在网段中有一台效劳器供给WWW效劳,IP地址为 。172,1630配置任务：制止的计算机访问172.1640的计算机，包括那台效劳器,不过只 有可以访问上的WWW效劳，而其他效劳不能访问。路由器配置命令：access-list 101 permit tcp any 172.16.4.13 0.0.0.0 eq www 设置ACL101,容许源地址为 任意IP,目的地址为172.16413主机的80端口即WWW效劳。由于CISCO默认添加DENY ANY的命令，所以ACL只写此一句即可。int e 0进入El端口ip access-group 101 out将ACL101 宣告出去设置完毕后172.1630的计算机就无法访问172.1640的计算机了，就算是效劳器 开启了FTP效劳也无法访问，只有可以访问的就是的WWW效劳了。 而172.1640的计算机访问172.1630的计算机没有任何问题。扩展ACL有一个最大的好处就是可以保护效劳器，例如很多效劳器为了更好的供给效劳都 是暴露在公网上的，假设全部端口都对外界开放，很简洁招来黑客和病毒的攻击，通过扩展ACL 可以将除了效劳端口以外的其他端口都封锁掉，降低了被攻击的机率。如本例就是仅 仅将80 端口对外界开放。总结：扩展ACL功能很强大，他可以掌握源IP,目的IP,源端口，目的端口等，能实现 相当精细的掌握，扩展ACL不仅读取IP包头的源地址/目的地址，还要读取第四层包头中的源 端口和目的端口的IP。不过他存在一个缺点，那就是在没有硬件ACL加速的状况下，扩展ACL 会消耗大量的路由器必资源。所以当使用中低档路由器时应尽量削减扩展ACL的条目数， 将其简化为标准ACL或将多条扩展ACL合一是最有效的方法。基于名称的访问掌握列表不管是标准访问掌握列表还是扩展访问掌握列表都有一个弊端，那就是当设置好ACL 的规章后觉察其中的某条有问题，期望进展修改或删除的话只能将全部ACL信息都删除。也就 是说修改一条或删除一条都会影响到整个ACL列表。这一个缺点影响了我们的工作，为我们 带来了繁重的负担。不过我们可以用基于名称的访问掌握列表来解决这个问题。一、基于名称的访问掌握列表的格式：ip access-list siandard|exlended ACL名称例如：ip access-list standard softer就建立了一个名为so代er的标准访问掌握列表。二、基于名称的访问掌握列表的使用方法：当我们建立了一个基于名称的访问列表后就可以进入到这个ACL中进展配置了。例如我们添加三条ACL规章permit pa：pa：IJsercomFtCenterR>enPassword：Password：FtCenterRttconfig tEnter configuration commands, one per line. End with CNTL/Z.FtCenterR<config>ttip FtCenterR<config>*ip FtCenterR<config>ttip FtCenterR<config>ttip standardaccaccess access-list access-liststand stand?access-list access-liststandard standardFtCenterRCconfig>*ipFtCenterR<conf ig>#ip<199> Standard. IP access-list number WORD Access-list namesoftersofterFtCenterR<config>ttip access-list standard FtCenterR<config-std-nacl>ttpernit 1.1.1.1 FtCenterR<config-std-nacl>#pernit 2.2.2.2 FtCenterR<conf ig-s td-nacl>ttpernit 3 -3.3.3 FtCenterRCconf ig-s td-nac l>tt假设我们觉察其次条命令应当是222.1而不是2.222,假设使用不是基于名称的访问掌 握列表的话，使用no permit 2.2.2.2 0.000后整个ACL信息都会被删除掉。正是由于使用了 基于名称的访问掌握列表,我们使用n。permit 2.2.2.2 000.0后第一条和第三条指令照旧存 在。总结：假设设置ACL的规章比较多的话，应当使用基于名称的访问掌握列表进展治理， 这样可以减轻很多后期维护的工作，便利我们随时进展调整ACL规章。反向访问掌握列表：我们使用访问掌握列表除了合理治理网络访问以外还有一个更重要的方面，那就是防范病 毒，我们可以将寻常常见病毒传播使用的端口进展过滤，将使用这些端口的数据包丢弃。这 样就可以有效的防范病毒的攻击。不过即使再科学的访问掌握列表规章也可能会由于未知病毒的传播而无效，到底未知 病毒使用的端口是我们无法估量的，而且随着防范病毒数量的增多会造成访问掌握列表规章过 多，在肯定程度上影响了网络访问的速度。这时我们可以使用反向掌握列表来解决以上的问题。一、反向访问掌握列表的用途反向访问掌握列表属于ACL的i种高级应用。他可以有效的防范病毒。通过配置反向 ACL可以保证AB两个网段的计算机相互PING, A可以PING通B而B不能PING通A,说得通俗些的话就是传输数据可以分为两个过程，首先是源主机向目的主机发送连接恳 求和数据，然后是II的主机在双方建立好连接后发送数据给源主机。反向ACL掌握的就是上 面 提到的连接恳求。二、反向访问掌握列表的格式反向访问掌握列表格式格外简洁，只要在配置好的扩展访问列表最终加上established即可。 我们还是通过实例为大家讲解。反向访问掌握列表配置实例网络环境介绍：我们采用如图所示的网络结构。路由器连接了二个网段，分别为 1在网段中的计算机都是效劳器,我们通过反向ACL 设置保护这些效劳器免受来自172.16.3.()这个网段的病毒攻击。配置实例：制止病毒从这个网段传播到这个效劳器网段。路由器配置命令：acccss-list 101 permit tep 172.16.3.0 0.0.0.255 172.16.4.0 0.0.0.255 established 定义 ACL101,容许全部来自网段的计算机访问网段中的计算机,前提是 TCP连接已经建立了的。当TCP连接没有建立的话是不容许。访问的。int e 1进入El端口ip access-group 101 out 将ACL101 宣告出去设置完毕后病毒就不会轻易的从传播到172.1640的效劳器区了。由于病毒要想 传播都是主动进展TCP连接的，由于路由器上承受反向ACL制止了网段的TCP主 动连接，因此病毒无法顺当传播。小提示：检验反向ACL是否顺当配置的一个简洁方法就是拿。里的一台效劳器 PING在中的计算机, 假设可以PING通的话再用那台计算机 的效劳器，PING不通贝I说明ACL配置成功。通过上文配置的反向ACL会消灭一个问题，那就是172.1630的计算机不能访问效劳渊的 效劳了，假设图中172.16413供给了WWW效劳的话也不能正常访问。解决的方法是在ESTABLISHED那句前头再添加一个扩展ACL规章，例如：access-list 101 permit tcp 172.16.3.0 0.0.0.255 172.16.4.13 0.0.0.0 eq www这样依据“最靠近受控对象原则”即在检查ACL规章时是承受自上而下在ACL中一条条 检 测的，只要觉察符合条件了就马上转发，而不连续检测下面的ACL语句。的计 算 机就可以正常访问该效劳器的WWW效劳了，而下面的ESTABLISHED防病毒命令还可以正 常生效。基于时间的访问掌握列表：上面我们介绍了标准ACL与扩展ACL,实际上我们只要把握了这两种访问掌握列表就可 以应付大局部过滤网络数据包的要求了。不过实际工作中总会有人提出这样或那样的苛刻要求, 这时我们还需要把握一些关于ACL的高级技巧。基于时间的访问掌握列表就属于高级技巧之 O一、基于时间的访问掌握列表用途：可能公司会遇到这样的状况，要求上班时间不能上QQ,下班可以上或者寻常不能访问某 网站只有到了周末可以。对于这种状况仅仅通过公布通知规定是不能彻底杜绝员工非法使用的问 题的，这时基于时间的访问掌握列表应运而生。二、基于时间的访问掌握列表的格式：基于时间的访问掌握列表由两局部组成，第一局部是定义时间段，其次局部是用扩展访 问掌握列表定义规章。这里我们主要讲解下定义时间段，具体格式如下：ti me-range时间段名称absolute start 小时：分钟日月年end小时:分钟日月年例如：time-range softerabsolute start 0:00 1 may 2022 end 12:00 1 june 2022意思是定义了一个时间段，名称为softer,并且设置了这个时间段的起始时间为2022年5 月1口零点，完毕时间为2022年6月1日中午12点。我们通过这个时间段和扩展ACL的规章结 合 就可以指定出针对自己公司时间段开放的基于时间的访问掌握列表了。固然我们也可以定义 工作日和周末，具体要使用periodic命令。我们将在下面的配置实例中为大家具体介绍。配置实例：要想使基于时间的ACL生效需要我们配置两方面的命令：1、定义时间段准时间范围。2、ACL自身的配置，马上具体的规章添加到ACL中。3、宣告ACL,将设置好的ACL添加到相应的端口中。网络环境介绍：片 724&3,Q我们采用如图所示的网络结构。路由器连接了二个网段，分别为1在网段中有一台效劳器供给FTP效劳，IP地址为 配置任务：只容许172.1630网段的用户在周末访问上的FTP资源，工作时间 不能下载该FTP资源。路由器配置命令：time-range softer定义时间段名称为softerperiodic weekend 00:00 to 23:59定义具体时间范围，为每周周末（6,日）的0点到23点59分。固然可以使用periodic weekdays定义工作日或跟星期几定义具体的周几。access-list 101 deny tcp any 172.16.4.13 0.0.0.0 eq ftp time-range softer设置ACL,制止在时间段softer范围内访问172.16413的FTP效劳。access-list 101 permit ip any any设置ACL,容许其他时间段和其他条件卜的正常访问。inte 1进入El端口。ip access-group 101 out 宣告 ACL101。基于时间的ACL比较适合于时间段的治理，通过.上面的设置的用户就只能在周 末访问效劳器供给的FTP资源了,寻常无法访问。访问掌握列表流量记录网络治理员就是要能够合理的治理公司的网络，俗话说知己知彼方能百战百胜，所以有 效的记录ACL流量信息可以第一时间的了解网络流量和病毒的传播方式。下面这篇文章就为 大家简洁介绍下如何保存访问掌握列表的流量信息，方法就是在扩展ACL规章最终加上 LOG命令。实现方法：log 192.168.1.1 为路由器指定一个日志效劳器地址,该地址为access-list 101 permit tcp any 172.16.4.13 0.0.0.0 eq www log 在期望监测的扩展 ACL最终加上LOG命令，这样就会把满足该条件的信息保存到指定的日志效劳器 192.168.1.1 中。小提示：假设在扩展ACL最终加上log-input,则不仅会保存流量信息，还会将数据包通过的端口 信息也进展保存。使用LOG记录了满足访问掌握列表规章的数据流量就可以完整的查询公司网络哪个地 方流量大，哪个地方有病毒了。简洁的一句命令就完成了很多专业工具才能完成的工作。