基于时间的ACL配置实例.doc

《基于时间的ACL配置实例.doc》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、Cisco路由器中有两种常用访问控制列表（Access-List），一种是标准访问列表，另一种是扩展访问列表。前者主要用于基于源和目标地址的数据包过滤，而后者用于基于目标地址、源地址和网络协议及其端口号等的数据包过滤。随着网络技术的发展和用户要求的变化，从IOS12.0开始，Cisco路由器新增加了一种基于时间的访问控制。通过它，可以根据一天中不同时间或者根据一周中的不同日期（当然也可以二者结合起来）控制网络数据包的转发，给网管人员的日常维护带来很大便利。这种基于时间的访问列表是在原来标准访问列表和扩展访问列表中加入有效的时间范围来更合理有效地控制网络的。它先

2、定义一个时间范围，然后在原来的各种访问列表的基础上应用它，对于编号访问表和名称访问表均适用。命令及参数可以用“time-range”命令来指定时间范围的名称，然后用“absolute”命令或者一个或多个“periodic”命令来具体定义时间范围，IOS命令格式为:time-rangetime-range-nameabsolute[starttimedate][endtimedate]periodicdays-of-theweekhh:mmto[days-of-theweek]hh:mmtime-range：用来定义时间范围;time-range-name：时间

3、范围名称，用来标识时间范围，以便在后面的访问列表中引用;absolute：该命令用来指定绝对时间范围。它后面紧跟start和end两个关键字。在两个关键字后面的时间要以24小时制和“hh:mm（小时：分钟）”表示，日期要按照“日/月/年”形式表示。这两个关键字也可以都省略。如果省略start及其后面的时间，表示与之相联系的permit或deny语句立即生效，并一直作用到end处的时间为止;若省略end及其后面的时间，表示与之相联系的permit或deny语句在start处表示的时间开始生效，并且永远发生作用(当然如把访问列表删除了的话就不会起作用了）。为了便于

4、理解，下面看两个例子。如果要表示每天早8点到晚6点开始起作用，可以用这样的语句：absolutestart8∶00end18∶00再如，我们要使一个访问列表从2003年1月1日早8点开始起作用，直到2003年1月10日晚23点停止作用，命令如下：absolutestart8∶001January2003end23∶0010January2003这样我们就可以用这种基于时间的访问列表来实现，而不用半夜跑到办公室去删除那个访问列表了。接下来，介绍一下periodic命令及其参数。一个时间范围只能有一个absolute语句，但是可以有几个periodic语句。per

5、iodic：主要以星期为参数来定义时间范围。它的参数主要有Monday、Tuesday、Wednesday、Thursday、Friday、Saturday、Sunday中的一个或者几个的组合，也可以是daily（每天）、weekday（周一到周五）或者weekend（周末）。我们还是来看几个具体的例子。比如表示每周一到周五的早9点到晚10点半，命令如下：periodicweekday9∶00to22∶30每周一早7点到周二的晚8点可以这样表示：periodicMondaytoTuesday20∶00在把时间范围定义清楚后，我们来看看如何在实际情况下应用这种基

6、于时间的访问列表。实例分析在上图所示的网络中，路由器有两个以太网接口E0和E1，分别连接着202.111.170.0和202.222.100.0两个子网络，其中202.111.170.50和202.222.100.100分别是Web服务器1和Web服务器2。还有一个串口S1，连入Internet。为了让202.111.170.0子网的公司员工在工作时间不能进行Web浏览，从2000年12月1日1点到2000年12月31日晚24点这一个月中，只有在周六早7点到周日晚10点才可以通过公司的网络访问Internet。我们做如下的基于时间的访问控制列表来实现这样的功能

7、：Router#configtRouter(config)#interfaceethernet0Router(config-if)#ipaccess-group101inRouter(config-if)#time-rangehttpRouter(config-if)#absolutestart1∶001December2000end24∶0031December2000periodicSaturday7∶00toSunday22∶00Router(config-if)#ipaccess-list101permittcpanyanyeq80http我们在一个扩

8、展访问列表的基础上再加上时间控制就达到