您订阅的产品有更新，，，，，，，请实时查阅
查看详情您订阅的产品有更新，，，，，，，请实时查阅
查看详情
颁布功夫：2023-03-24
点击量：3516ACL（Access Control List，，，，，，，接见节造列表）也称为接见列表，，，，，，，有的文档中还称之为包过滤。。。。。ACL通过界说一系列蕴含“允许”或“回绝”的规定语句，，，，，，，并将这些规定利用到设备接口上，，，，，，，对进出接口的数据包进行节造，，，，，，，从而提升网络设备的安全性。。。。。
配置ACL可能保险网络安全、靠得住和不变，，，，，，，例如：
l 预防报文攻击：针对IP、TCP或者ICMP报文的攻击，，，，，，，对这些攻击报文做“回绝”处置。。。。。
l 网络接见节造：限杜酌户接见服务，，，，，，，例如只允许接见WWW和电子邮件服务，，，，，，，其他服务如Telnet则不容。。。。；；；；；；；蛘咧辉市碓诟ǖ墓Ψ蚨文诮蛹，，，，，，，或者只允许特定主机接见网络等。。。。。
l 网络流量节造：结合QoS可以为沉要的数据流进行优先服务保障。。。。。关于QoS的配置请拜见“QoS”。。。。。
l 接见列表
接见列表有：根基接见列表和动态接见列表。。。。。
用户能够凭据必要选择根基接见列表或动态接见列表。。。。。通常情况下，，，，，，，使用根基接见列表已经可能满足安全必要。。。。。但攻击者可能通过软件假冒源地址糊弄设备，，，，，，，从而接见网络。。。。。而动态接见列表在用户接见网络以前，，，，，，，要求通过身份认证，，，，，，，使攻击者难以接见网络。。。。。在敏感区域能够使用动态接见列表保障网络安全。。。。。
注明
通过假冒源地址糊弄设备即电子糊弄是所有接见列表固有的问题，，，，，，，使用动态列表也会遭逢电子糊弄问题：攻击者可能在用户通过身份认证的有效接见期间，，，，，，，假冒用户的地址接见网络。。。。。解决该问题的步骤有两种，，，，，，，一种是尽量设置更短的用户接见空闲功夫；；；；；；；另一种是使用IPsec加密和谈对网络数据进行加密，，，，，，，确保进入设备时，，，，，，，所有的数据都是加密的。。。。。
接见列表通常配置在以下地位的网络设备上：
○ 内部网和表部网（如Internet）之间的设备
○ 两个网络接壤部门的设备
○ 接入节造端口的设备
ACE（Access Control Entry，，，，，，，接见节造条款）是蕴含“允许（Permit）”或“回绝（Deny）”两种作为，，，，，，，以及过滤规定的一条语句。。。。。每个ACE都有一个序号，，，，，，，该序号可由设备自动分配或者手动配置。。。。。一条ACL中蕴含一个或者多个ACE。。。。。ACL通过ACE对数据包进行标识过滤。。。。。
ACL中ACE的挨次决定了该ACE在接见列表中的匹配优先级。。。。。网络设备在处置报文时，，，，，，，按ACE的序号从幼到猛进行规定匹配，，，，，，，倒匾到匹配的ACE后则终场查抄后续的ACE。。。。。
例如创建一条序号为10的ACE，，，，，，，它回绝所有的数据流通过。。。。。
10 deny ip any any
20 permit tcp 192.168.12.0 0.0.0.255 eq telnet any
由于序号为10的ACE回绝了所有的IP报文，，，，，，，即便192.168.12.0/24网络的主机Telnet报文，，，，，，，能够被序号为20的ACE匹配，，，，，，，该报文也将被回绝。。。。。由于设备在查抄到报文和序号为10的ACE匹配后，，，，，，，便终场查抄后面序号为20的ACE。。。。。
又例如创建一条编号为10的ACE，，，，，，，它允许所有的IPv6数据流通过。。。。。
10 permit ipv6 any any
20 deny ipv6 host 200::1 any
由于序号为10的ACE允许所有的IPv6报文通过，，，，，，，主机200::1发出的IPv6报文，，，，，，，即便匹配序号为20的ACE，，，，，，，该报文也将被允许通过。。。。。由于设备在查抄到报文和第一条ACE匹配，，，，，，，便终场查抄后面序号为20的ACE。。。。。
l 步长
当设备为ACE自动分配序号时，，，，，，，两个相邻ACE序号之间的差值，，，，，，，称为步长。。。。。例如，，，，，，，若是将步长设定为5，，，，，，，则设备依照5、10、15…这样的递增挨次自动为ACE分配序号。。。。。如下所示。。。。。
5 deny ip any any
10 permit tcp 192.168.12.0 0.0.0.255 eq telnet any
当步长扭转后，，，，，，，ACE序号会自动按新步长值沉新分配。。。。。例如，，，，，，，当把步长改为10后，，，，，，，原来ACE序号从5、10、15造成5、15、25。。。。。
通过扭转步长能够在两个ACE之间插入新的ACE。。。。。例如创建了4个ACE，，，，，，，并通过手动配置ACE序号别离为1、2、3和4。。。。。若是但愿能在序号1后面插入一条新的ACE，，，，，，，则能够先将步长批改为2，，，，，，，此时原先4个ACE的序号自动变为1、3、5和7，，，，，，，再插入一条手动配置的序号为2的ACE。。。。。
l 过滤域模板
过滤域指的是天生一条ACE时，，，，，，，凭据报文中的哪些字段对报文进行鉴别、分类。。。。。过滤域模板就是这些字段的组合。。。。。ACE凭据以太网报文的某些字段来标识以太网报文，，，，，，，这些字段蕴含：
二层字段（Layer 2 Fields）：
○ 48位的源MAC地址（必须申明所有48位）
○ 48位的主张MAC地址（必须申明所有48位）
○ 16位的二层类型字段
三层字段（Layer 3 Fields）：
○ 源IP地址字段（能够申明全数源IP地址值，，，，，，，或使用子网来界说一类流）
○ 主张IP地址字段（能够申明全数主张IP地址值，，，，，，，或使用子网来界说一类流）
○ 和谈类型字段
四层字段（Layer 4 Fields）：
○ 能够申明一个TCP的源端口、主张端口或者都申明，，，，，，，还能够申明源端口或主张端口的领域。。。。。
○ 能够申明一个UDP的源端口、主张端口或者都申明，，，，，，，还能够申明源端口或主张端口的领域。。。。。
例如，，，，，，，在创建一条ACE时必要凭据报文的主张IP字段，，，，，，，对报文进行鉴别和分类。。。。。而在创建另一条ACE时，，，，，，，必要凭据报文的源IP地址字段和UDP的源端口字段，，，，，，，对报文进行鉴别和分类。。。。。这两条ACE就使用了分歧的过滤域模板。。。。。
l 规定
规定（Rules）指的是ACE过滤域模板对应的值。。。。。例如，，，，，，，一条ACE的内容如下：
10 permit tcp host 192.168.12.2 any eq telnet
在这条ACE中，，，，，，，过滤域模板为以下字段的集中：源IP地址字段、主张IP地址字段、IP和谈字段、TCP主张端口字段。。。。。对应的值（即规定）别离为：源IP地址为Host 192.168.12.2、主张IP地址为Any（即所有主机）、IP和谈为TCP、TCP主张端口为Telnet。。。。。如图1-1所示。。。。。
图1-1 对ACE：permit tcp host 192.168.12.2 any eq telnet的分析
通过配置IP尺度ACL，，，，，，，不容财政部以表的部门接见财政数据服务器。。。。。
图1-3 IP尺度ACL利用场景组网图
l Device A配置IP尺度ACL并增长接见规定。。。。。
l Device A将IP尺度ACL利用在衔接财政数据服务器接口的出方向上。。。。。
(1) 配置IP尺度ACL并增长接见规定。。。。。
# Device A配置IP尺度ACL并增长接见规定。。。。。
DeviceA> enable
DeviceA# configure terminal
DeviceA(config)# ip access-list standard 1
DeviceA(config-std-nacl)# permit 10.1.1.0 0.0.0.255
DeviceA(config-std-nacl)# deny 11.1.1.1 0.0.0.255
DeviceA(config-std-nacl)# exit
(2) 将IP尺度ACL利用到接口上。。。。。
# Device A将ACL利用在衔接财政数据服务器接口的出方向上。。。。。
DeviceA(config)# interface gigabitethernet 0/3
DeviceA(config-if-GigabitEthernet 0/3)# ip access-group 1 out
# 查抄Device A设备ACL配置号令是否正确。。。。。
DeviceA# show access-lists
ip access-list standard 1
10 permit 10.1.1.0 0.0.0.255
20 deny 11.1.1.0 0.0.0.255
DeviceA# show access-group
ip access-group 1 out
Applied On interface GigabitEthernet 0/3
# 从开发部的某台PC机上ping财政数据服务器，，，，，，，确认ping不通。。。。。
# 从财政部的某台PC机上ping财政数据服务器，，，，，，，确认能ping通。。。。。
l DeviceA的配置文件
hostname DeviceA
!
ip access-list standard 1
10 permit 10.1.1.0 0.0.0.255
20 deny 11.1.1.0 0.0.0.255
!
interface GigabitEthernet 0/1
no switchport
ip address 10.1.1.1 255.255.255.0
!
interface GigabitEthernet 0/2
no switchport
ip address 11.1.1.1 255.255.255.0
!
interface GigabitEthernet 0/3
no switchport
ip access-group 1 out
ip address 12.1.1.1 255.255.255.0
!
文档评价
