RCCP网络访问与控制.pptVIP

RCCP培训 －网络访问与控制 议程 为什么需要 IP ACL IP ACL的定义与应用 IP ACL的其它应用 其它类型的ACL 什么是访问控制列表 访问控制列表的本质是： 定义一些准则，对经过路由器、交换机接口的数据包进行控制：转发或丢弃 准则的定义依据：源目标地址、端口、上层控制比特位 访问控制列表的分类： 基本访问控制列表 标准 扩展 基于时间的访问控制列表 动态访问控制列表 基本访问控制列表 ＋ 时间因素 IP ACL的作用 内部网与外部网络互联 只允许外部网络访问特定的主机； 只能在限定的时间端内，允许远程用户访问内部网的特定资源，或者限时段访问互联网资源 内部网不同部门之间的互访 保证内部关键服务器的安全； 限制某些病毒的传播 IP ACL的作用 IP ACL的作用 议程 为什么需要 IP ACL IP ACL的定义与应用 ACL的其它应用 其它类型的ACL IP ACL的规则定义 规则定义依据 源IP地址、目标IP地址、TCP/UDP端口号、TCP控制位 最后一条缺省规则 缺省规则为deny（拒绝） 输入规则的顺序 先匹配前面的规则，匹配了就执行相应动作 所以一定要认真检查匹配规则的顺序 路由器、交换机的定义细节有所不同 以路由器为例进行描述 合格的规则排列顺序 单个IP地址 IP子网 IP自然网络 IP超网 (summarized networks) 缺省网络 IP ACL的方向 访问控制列表，是对数据流进行控制的 方向是从设备的角度来看，设备从该接口接收到数据称为“in”，设备从该接口发送数据称为“out”； 每个设备接口的一个方向只能应用一个访问控制列表； 方向十分重要，错误的方向定义导致不可思议的结果 基本IP ACL－标准访问列表 access-list access-list-number {permit | deny} source-IP-address [wildcard] Number:1~99 只对源IP地址进行控制 匹配符（wildcard)缺省为，0表示精确匹配，1表示忽略 基本IP ACL－扩展访问列表 access-list access-list-number {permit | deny} protocol source-IP-address source-wildcard-mask destination-IP-address destination-wildcard-mask [additional options] Number:100~199 根据源、目标IP地址 TCP/UDP端口 及其它条件 基本IP ACL配置例子 RouterB的配置 interface Serial0 ip address ip access-group 101 out encapsulation ppp ip route Serial0 access-list 101 permit tcp 55 host 07 eq telnet 基于时间的IP ACL 首先需要校正路由器时钟 定义时间范围，先通过绝对，后判断周期 absolute － 绝对的时间段 periodic － 周期性时间段 关联IP ACL与时间范围 基于时间的IP ACL 这个例子中,以太网口E0上的UDP数据包被限制在1999年一月一日上午8:00到2001年12月31日下午6:00之间的周末(星期六与星期日)可以发送。 动态IP ACL 首先需要登录到路由器，进行登录认证； 认证可以采用本地或Radius服务器进行； 认证通过后，就动态产生一个访问列表规则。 注意： 需要允许telnet连接； 每个IP ACL只能有一条动态规则； 多个IP ACL 不能同时引用同一个动态规则名字。 动态IP ACL－ 配置示例 动态IP ACL－ 配置示例 aaa new-model aaa authentication login radius_login radius aaa authentication ppp default none interface Serial0 ip address ip access-group 120 in encapsulation ppp access-list 120 permit tcp any host eq telnet access-list 120 dynamic mylist timeout 120 tcp 55 host 07 eq telnet 议程 为什么需要 IP ACL IP ACL的定义与应用 ACL的其它应用 其它类型的ACL IP ACL的其它应用 除了做IP访问控制外； QOS的业务流分类