第十章 使用访问列表管理流量.docVIP

第十章 使用访问列表管理流量 第十章 使用访问列表管理流量 访问列表可以用于允许或拒绝包通过路由器、允许或拒绝Telnet（VTY）访问路由器、允许或拒绝来自路由器的Telnet访问，以及创建可以出发拨号到远程站点的流量。 访问列表简介 访问列表基本上是一系列对包进行分类的条件。 一个最常用和最容易理解的使用访问列表的情况是，实现安全策略时过滤不希望通过的包。 数据包和访问列表向比较时遵循的重要规则： 1． 通常是按顺序比较访问列表的每一行。 2． 比较访问列表的各行直到比较到匹配的一行。 3． 在每个访问列表的最后是一行隐含“deny”语句-意味着如果数据包与访问列表中的所有行都不匹配，将被丢弃。 访问列表有两种类型： 1． 标准的访问列表 2． 扩展的访问列表 3． 命名的访问列表（基于标准和扩展之间的） 在一个接口的输入方向和输出方向使用不同的访问列表： 1． 输入型访问列表 党访问列表被应用刀从接口输入的包时，那些包在被路由到输出接口之前要经过访问列表的处理。 2． 输出行访问列表 当访问列表被应用到从接口输出的包时，那些包首先被路由到输出接口，然后在进入该接口的输入队列之前经过访问列表的处理。 标准的访问列表 标准的IP访问列表通过使用IP包中的源IP地址过滤网络流量。可以使用访问列表号1-99或130-1999创建标准的访问列表。一般用号码区别访问列表类型。 通配符 通配符和访问列表一起用来指定一个主机、一个网络、一个网络或几个网络内的某个范围。 要理解通配符，需要理解什么是块大小，这里常常指地址范围。一些有效的块大小是64、32、16、8和4。 简单的描述，通配符相当于是子网掩码，不过刚好相反，0表示绝对匹配，1表示任意匹配。 标准的访问列表举例： Lab_A#config t Lab_A(config)#access-list 10 deny 55 Lab_A(config)#access-list 10 permit any 这个访问控制列表的意思是，拒绝所有这个网段的数据 其他的数据都允许通过。 扩展的访问控制列表 扩展的访问列表允许指定源地址和目的地址，以及表示上层协议或应用的协议和端口号。通过使用扩展的IP访问列表，可以有效地允许用户访问物理 LAN的同时不允许访问特定的主机或甚至那些主机上的特定服务。 扩展的访问列表举例： Lab_A#config Lab_A(config)#access-list 110 deny tcp any host eq 21 Lab_A(config)#access-list 110 deny tcp any host eq 23 Lab_A(config)#access-list 110 permit ip any any 第一行和第二行意思是，拒绝所有目的地址是的FTP访问和Telnet访问 第三行意思是，允许所有的数据通过。 第十一章 广域网协议 定义WAN术语： 1． Customer premises equipment,CPE(用户驻地设备) 2． Demarcation point（分界点） 3． Local loop（本地回路） 4． Central office（中心局） 5． Toll network（长途网络） WAN连接类型 WAN可以使用许多不同的连接类型，这里只介绍市场上常见的各种WAN连接类型。 1． 专线 2． 电路交换 3． 分组交换 下面解释WAN连接类型： 1． 租用线路 租用线路典型地指点导电连接或专线连接。 2． 电路交换 电路交换的最大优势就是成本低。在端到端连接之前不能传输数据。电路交换使用拨号调制解调或ISDN，用于低带宽数据传输。 3． 包交换 允许和其他公司共向带宽以节省资金。如果需要经常传输数据，则不咬考虑这种类型，应当使用租用线路。 WAN支持 1． 帧中继 2． ISDN 3． LAPB 4． HDLC 5． PPP 6． ATM WAN布线 Cisco串行连接几乎支持WAN服务的任何类型。典型的WAN连接是使用HDLC、PPP、综合业务数字网和帧中继专线。 HDLC、PPP和帧中继可以使用同一种物理规范，但是ISDN在物理层有各种不相同的输出引脚和规范。 串行传输 WAN串行连接器使用串行传输，即一个信道一个时间只传输一位。 Cisco路由器使用专用的60针串行连接器，这种连接器只能从Cisco或Cisco设备服务提供商获得。 电缆另一端的连接器类型依赖于服务提供商或所需的终端设备。 各种可用的设备有： 1． EIA/TIA-232 2． EIA/TIA-499 3． V.35 4． X.21 5． EIA