07 ACL与NAT
访问控制 列表ACL 用途很广,很多方面都要用到ACL。 1. 实现网络的安全访问,对访问网络的流量进行过滤; 2.网络地址转换(NAT); 3.QOS及策略路由。 策略:要求1.1和1.2可以访问财务部(1.1和1.2是销售部经理),其他不允许访问财务. ● 标准 访问控制列表: Rou
访问控制列表ACL
用途很广,很多方面都要用到ACL。
1. 实现网络的安全访问,对访问网络的流量进行过滤;
2.网络地址转换(NAT);
3.QOS及策略路由。
策略:要求1.1和1.2可以访问财务部(1.1和1.2 是销售部经理),其他不允许访问财务.
● 标准访问控制列表:
Router(config)#access-list 编号 策略 源地址
编号: 标准访问控制列表范围.用1--- 99表示
策略: permit允许 | deny 拒绝
源地址: 要严格检查的地址( IP+通配符掩码 )
通配符掩码-----是用来限定特定的地址范围 (反掩码)
用0 表示严格匹配
用1 表示不检查
(为了确定一个具体的主机地址是否匹配条件。路由器必须检查IP地址的每一位 32 比特。
路由器是怎么知道要检查比特位是多少------通配符掩码)定义了要检查IP地址的位数。
例如:对于主机172.16.1.1 通配符掩码 0.0.0.0 32位都要检查
对于主网 172.16.0.0/16 通配符掩码 0.0.255.255 检查16位
对于子网 172.16.1.0/24 通配符掩码 0.0.0.255 24位要检查
任意的 0.0.0.0 通配符掩码 255.255.255.255 不检查
主机----host 172.16.1.1 任意----any 表示
通配符掩码 = 255.255.255.255 - 子网掩码 也称为反掩码
策略:要求1.1和1.2可以访问财务部(1.1和1.2 是销售部经理),其他不允许访问财务.
1.写表:Router(config)#access-list 1 permit host 172.16.1.1
Router(config)#access-list 1 permit 172.16.1.2 0.0.0.0
(表示两台主机允许)
Router(config)#access-list 1 deny any 系统默认拒绝所有
2.执行:Router(config)#interface f0/0
Router(config-if)#ip access-group 1 in
访问控制列表检查数据包的过程: 从上到下,逐条执行。
● 扩展的访问控制列表
标准访问控制列表只能根据源地址来检查数据包,它允许/拒绝的是整个TCP/IP协议集的数据.功能有限.
扩展的访问控制列表可以根据 源和目的地址,协议, 源和目的端口等来检查数据包.更加灵活,条件细化.
扩展的访问控制列表格式
Router(config)# access-list 编号 策略 协议 源地址 目的地址 端口
编号:扩展的访问控制列表范围 用(100--199)表示
策略:permit允许 | deny 拒绝
协议:检查特定协议的数据包 如TCP UDP ICMP
端口:协议的端口号
ICMP协议 3层 网络控制消息协议(测试网络连通性)
ECHO ICMP请求
ECHO Repley ICMP应答
TCP协议:HTTP 80 超文本传输协议(www服务)
FTP 21 文件传输协议
SMTP 25 简单邮件传输协议(发送邮件)
POP3 110 第三版邮局协议(接收邮件)
TELNET 23 远程登录协议
UDP协议:
TFTP 69 简化的文件传输协议
DNS 53 域名解析协议
DHCP 67 动态主机配置协议
SNMP 161 简单网络管理协议
实验:
要求: 禁止1.2和1.3 Telnet R2 192.168.2.2
允许其他流量.
1. 写表: eq =
R1(config)# access-list 100 deny tcp host 192.168.1.2 host 192.168.2.2 eq 23
R1(config)# access-list 100 deny tcp host 192.168.1.3 host 192.168.2.2 eq 23
R1(config)# access-list 100 permit ip any any
2. 执行:
R1(config)# interface f0/0
R1(config-if)# ip access-group 100 in
测试:1.2 和 1.2可以ping通2.2,但不能Telnet R2 192.168.2.2 。
说明:扩展的访问控制列表 可以控制基于源/目的IP和端口。条件细化,非常灵活,在当前企业网络应用较为广泛。
控制Telnet会话
登录路由器有两种方法:
● 一种是通过本地控制台端口(CONSOLE )直接操作.
● 另一种是远程控制.在远程控制中最常用的方法Telnet,只要知道路由器的任意一个物理接口地址和Telnet口令,并且存在路由,就可以远程操作路由器.
为了提高安全性,有时要对Telnet进行控制.
一种是在物理线路上设置访问控制列表--------比较麻烦
另一种方法是在Telnet使用的虚拟口(VTY 0--4)上设置访问控制列表------比较简单
配置
Router(config)# access-list 12 permit 192.168.1.1 0.0.0.0
# access-list 12 permit 192.168.1.2 0.0.0.0
Router(config)#line vty 0 4
Router(config-line)# access-class 12 in
标准访问列表和扩展访问列表比较
标准 |
扩展 |
基于源地址 |
基于源地址和目标地址 |
允许和拒绝完整的TCP/IP协议 |
指定TCP/IP的特定协议和端口号 |
编号范围 1-99 |
编号范围 100-199 |
基于编号的访问列表的缺陷:
不能单独删除某条语句
R1(config)#no access-list 100
把access-list 100 删除后,重新写表.(不可以删除语句的)
命名访问列表
R(config)#ip access-list standard/extended r2-telnet
标准 扩展 名字
R1(config)#ip access-list extended rich
R1(config-ext-nacl)#deny tcp host 172.16.1.2 host 172.16.2.2 eq 23
R1(config-ext-nacl)#deny tcp host 172.16.1.5 host 172.16.2.2 eq 23
R1(config-ext-nacl)#permit ip any any
(R1(config-ext-nacl)#deny ip any any)
R1(config)#interface E0
R1(config-if)# ip access-group rich in
微信
声明:本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系admin@php.cn核实处理。
推荐阅读
-
c# "As" 与 "Is"效率 (原发布csdn 2017-10-07 11:49:18)
-
vmware进程,虚拟机NAT模式配置固定ip,访问外网与ping通主机
-
黑马Android76期学习笔记01基础--day07--广播,有、无序广播、特殊广播接受者、样式和主题,this与context的区别、普通对话框,进度条对话框、帧动画
-
计算机组成原理-原理篇:指令与运算-07stack overflow
-
java笔记(07,类的初始化与构造函数详解)
-
2019年6月14日 Web框架之Django_07 进阶操作(MTV与MVC、多对多表三种创建方式、前后端传输数据编码格式contentType、ajax、自定义分页器)
-
07初识面向对象(对象与类的关系、构造函数、this关键字)
-
Squid代理服务器的应用--squid反向代理;ACL访问控制与sarg日志
-
NAT与NAT穿越学习总结
-
网络连接为NAT的虚拟机与电脑共享出WIFI间的联通