欢迎来到天天文库
浏览记录
ID:28492896
大小:299.00 KB
页数:22页
时间:2018-12-10
《访问控制列表详解(acl)》由会员上传分享,免费在线阅读,更多相关内容在学术论文-天天文库。
1、CISCO路山器中的access-list(访问列表)最基本的有两种,分别足标准访问列表和扩展访14列表,二者的区别主要是前者是基于h标地址的数据包过滤,而r者是基于H标地址、源地址和网络协议及其端口的数据包过滤。(1)标准型IP访问列表的格式--标准型IP访W列表的格式如下:——acccss-list[listnumber][pcrmit
2、dcny][sourceaddress]-••-[address][wildcardmaskj[logj----下血解释一下标准型IP访M列表的关键字和参数。首先,在access#list2个关键字之间必须有一个连字符"•”;其次,listnumber的
3、范围在0〜99之间,这表叨该access-list语句足•一个普通的标准型IP访问列表语句。因为对于CiscoIOS,在0〜99之间的数字指示出该访问列表和IP协议冇关,所以listnumber参数具冇双重功能:(1)定义访问列表的操作协议;(2)通知IOS在处理access-list语句吋,把相同的listnumber参数作为同一实体对待。正如木文在后血‘所讨论的,扩展型IP访M列表也是通过listnumber(范阑是100〜199之间的数字)而表现其特点的。W此,当运用访问列表时,还需耍补充如下重耍的规则:在需要创建访问列农的时候,需要选择近当的listnumber参数。----(2)允
4、许/拒绝数据包通过--在标准型IP访问列表中,使用permit语句可以使得和访问列表项鬥匹配的数据包通过接而deny语句可以在接U过滤掉和访问列表项0匹配的数据包。sourceaddress代表主机的IP地址,利用不同掩码的纟11合坷以指定主机。----为了更好地了解IP地址和通配符掩码的作用,这里举•一个例子。假设您的公司有一个分支机构,其IP地址为C类的192.46.28.0。在您的公司,每个分支机构都需耍通过总部的路由器访问Internet。要实现这点,您就可以使川一个通配符掩码0.0.0.255。因为C类1P地址的最后一组数字代表主机,把它们都S1即允许总部访问网络上的每一台主机。因
5、此,您的标准型IP访问列表中的access-list语句如下:——access-list1permit192.46.28.00.0.0.255-…注意,通配符掩码是了网掩码的补充。因此,如果您是网络高乎,您吋以先确定了网掩码,然后把它转挽成可应用的通配符掩码。这里,乂可以补充一条访问列表的规则5。(3)指定地址--如果您想要指定一个特定的主机,可以增加一个通配符掩码0.0.0.0。例如,为了II:來自1P地址为192.46.27.7的数据包通过,可以使川下列语句:——Access-list1permit192.46.27.70.0.0.0----在Cisco的访问列表屮,川户除了使川上述的通
6、配符掩码0.0.0.0来指定特定的主机外,还可以使用"host”这一关键字。例如,为了让来自1P地址为192.46.27.7的数据包通过,您可以使用卜列语句.•----Access-list1permithost192.46.27.7-…除丫N'以利用关键字"host"來代表通配符掩码0.0.0.0夕卜,关键字"any”吋以作为源地址的缩写,并代表通配符掩码0.0.0.0255.255.255.255。例如,如果希望把绝来自IP地址为192.46.27.8的站点的数据包,可以在访问列表中增加以下语川:——Access-list1denyhost192.46.27.8-•—Access-lis
7、t1permitany----注意上述2条访M列表语川的次序。第1条语川把来£1源地址为192.46.27.8的数据包过滤掉,笫2条语句则允许来A任何源地址的数据包通过访问列表作用的接口。如果改变上述语句的次序,那么访问列表将不能够附止来£)源地址为192.46.27.8的数据包通过接口。因为访问列表是按从上到下的次序执行语句的。这样,如果第1条语句是:——Access-list1permitany----的话,那么米fcl任何源地址的数据包都会通过接U。--(4)扣绝的奥秘--在默认怙况下,除非明确规定允许通过,访问列表总是阯止或扪绝一切数据包的通过,即实际上在每个访问列表的最后,都隐含宥
8、-•条”denyany”的语句。假设我们使川了前而创建的标准1P访问列表,从路由器的角度米看,这条语句的实际闪容如下:——access-list1denyhost192.46.27.8----access-list1permitany-…access-list1denyany…-在上述例子里而,由于访问列表中笫2条语句明确允许任何数裾包都通过,所以隐含的把绝语句不起作用,似实际情况并不总是如此。例如,如果希望
此文档下载收益归作者所有