acl2名称和反向.docVIP

基于名称的访问控制列表 ???? 不管是标准访问控制列表还是扩展访问控制列表都有一个弊端，那就是当设置好ACL的规则后发现其中的某条有问题，希望进行修改或删除的话只能将全部ACL信息都删除。也就是说修改一条或删除一条都会影响到整个ACL列表。可以用基于名称的访问控制列表来解决这个问题。 一、基于名称的访问控制列表的格式： ??? ip access-list [standard|extended] [ACL名称] ??? 例如：ip access-list standard softer就建立了一个名为softer的标准访问控制列表。 ??? 二、基于名称的访问控制列表的使用方法： ??? 当我们建立了一个基于名称的访问列表后就可以进入到这个ACL中进行配置了。 ??? 例如我们添加三条ACL规则 ??? permit ??? permit ??? permit ??? 如果我们发现第二条命令应该是而不是，如果使用不是基于名称的访问控制列表的话，使用no permit 后整个ACL信息都会被删除掉。正是因为使用了基于名称的访问控制列表，我们使用no permit 后第一条和第三条指令依然存在。 ???? 总结：如果设置ACL的规则比较多的话，应该使用基于名称的访问控制列表进行管理，这样可以减轻很多后期维护的工作，方便我们随时进行调整ACL规则。 Cisco路由器配置ACL详解之反向访问控制列表 反向访问控制列表： ??? 我们使用访问控制列表除了合理管理网络访问以外还有一个更重要的方面，那就是防范病毒，我们可以将平时常见病毒传播使用的端口进行过滤，将使用这些端口的数据包丢弃。这样就可以有效的防范病毒的攻击。 ??? 不过即使再科学的访问控制列表规则也可能会因为未知病毒的传播而无效，毕竟未知病毒使用的端口是我们无法估计的，而且随着防范病毒数量的增多会造成访问控制列表规则过多，在一定程度上影响了网络访问的速度。这时我们可以使用反向控制列表来解决以上的问题。 一、反向访问控制列表的用途 ??? 反向访问控制列表属于ACL的一种高级应用。他可以有效的防范病毒。通过配置反向ACL可以保证AB两个网段的计算机互相PING，A可以PING通B而B不能PING通A。 ??? 说得通俗些的话就是传输数据可以分为两个过程，首先是源主机向目的主机发送连接请求和数据，然后是目的主机在双方建立好连接后发送数据给源主机。反向ACL控制的就是上面提到的连接请求。 ??? 二、反向访问控制列表的格式 ??? 反向访问控制列表格式非常简单，只要在配置好的扩展访问列表最后加上established即可。。 网络环境介绍： ??? 我们采用如图所示的网络结构。路由器连接了二个网段，分别为/24,/24。在/24网段中的计算机都是服务器，我们通过反向ACL设置保护这些服务器免受来自这个网段的病毒攻击。 ??? 配置实例：禁止病毒从/24这个网段传播到/24这个服务器网段。 ??? 路由器配置命令： ??? access-list 101 permit tcp 55 55 established??? 定义ACL101，容许所有来自网段的计算机访问网段中的计算机，前提是TCP连接已经建立了的。当TCP连接没有建立的话是不容许访问的。 ??? int e 1??? 进入E1端口 ??? ip access-group 101 out??? 将ACL101宣告出去 ??? 设置完毕后病毒就不会轻易的从传播到的服务器区了。因为病毒要想传播都是主动进行TCP连接的，由于路由器上采用反向ACL禁止了网段的TCP主动连接，因此病毒无法顺利传播。 ??? 小提示：检验反向ACL是否顺利配置的一个简单方法就是拿里的一台服务器PING在中的计算机，如果可以PING通的话再用那台计算机PING的服务器，PING不通则说明ACL配置成功。 ??? 通过上文配置的反向ACL会出现一个问题，那就是的计算机不能访问服务器的服务了，假如图中3提供了WWW服务的话也不能正常访问。解决的方法是在ESTABLISHED那句前头再添加一个扩展ACL规则，例如：access-list 101 permit tcp 55 3 eq www ??? 这样根据“最靠近受控对象原则”即在检查ACL规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。的计算机就可以正常访问该服务器的WWW服务了，而下面的ESTABLISHED防病毒命令还可以正常生效。