第四章路由器安全管理.pptVIP

用访问列表初步管理 IP流量 为什么要使用访问列表 访问列表的应用 什么是访问列表 访问列表配置要点： 1. 访问列表的编号指明了使用何种协议的访问列表 2. 每个端口、每个方向、每条协议只能对应于一组访 问列表 3. 访问列表的内容决定了数据的控制顺序 4. 具有严格限制条件的语句应放在访问列表所有语句 的最上面 5. 在访问列表的最后有一条隐含声明：deny any 每一条正确的访问列表都至少应该有一条允许语句 6. 先创建访问列表，然后应用到端口上 7. 访问列表不能过滤由路由器自己产生的数据 访问列表设置命令 如何识别访问列表 在IOS12.0版本后增加了标准IP及扩展IP协议的表号范围： 标准IP协议：1300~1999 扩展IP协议：2000~2699 通配符：如何检查相应的地址位 通配符掩码指明特定的主机 通配符掩码指明所有主机 通配符掩码和IP子网的对应 配置标准的 IP 访问列表 标准IP访问列表的配置 标准IP访问列表的配置 标准访问列表举例 1 标准访问列表举例 1 标准访问列表举例 2 标准访问列表举例 3 标准访问列表举例 4 标准访问列表举例 5 需要注意的问题 IP访问控制列表是允许或禁止语句的集合。对于每个数据包，路由器顺序检查访问列表中的每个规则。 如果遇到IP数据包匹配某条语句，则跳出访问控制列表语句并执行放行或阻塞数据包的操作。 如果到达了访问控制列表的低端仍未找到与该数据包匹配的语句，则丢弃该数据包。即所有访问控制列表的最后有一个隐含的DENY ANY。所以，应保证每个访问控制列表都必须至少包含一个PERMIT语句；或在访问控制列表的低端明确地用语句指出对都不匹配的数据包的操作（允许或禁止） 需要注意的问题 访问控制列表建立后，任何对该表语句的增加都被放在表的末端。这表示无法有选择地对访问控制列表中的个别语句进行修改、删除。 访问控制列表只对流入、流出路由器的流量进行过滤，无法对路由器本身产生的流量进行过滤。 扩展 IP 访问列表的配置 标准访问列表和扩展访问列表比较 扩展 IP 访问列表的配置 扩展访问列表应用举例 1 扩展访问列表应用举例 1 扩展访问列表应用举例 2 扩展访问列表应用举例 2 扩展访问列表应用举例 3 扩展访问列表应用举例 3 需要注意的问题 在访问控制列表中除了可以用“eq”关键字指出单一的端口外，也可以规定端口号的范围。如用“gt 1024”表示端口号大于1024；用”lt 1024”表示端口号小于于1024；而“range 100 200”则表示端口号介于100和200之间。 在每个访问控制列表的低端都有一个默认的” deny any“。所以在每个访问控制列表的最后一句明确地指出对其余通信量的处理方式。 命名访问控制列表 1.标准命名访问控制列表 采用命名访问控制列表配置4.2.2节实例1： Router(config)#ip access-list standard dtdacl Router(config-std-nacl)#permit host 0 Router(config-std-nacl)#deny any Router(config-std-nacl)#exit Router(config)#interface Ethernet 0 Router(config-if)#ip access-group stdacl in  命名访问控制列表 2.扩展命名访问控制列表 采用命名访问控制列表配置4.2.2节实例1： 访问列表的放置原则 查看访问列表 查看访问列表的语句 本章总结 完成本章的学习后，你应该能够掌握： 了解IP访问列表的工作过程 配置标准的 IP 访问列表 配置扩展的 IP 访问列表 查看IP 访问列表 问题回顾 1. IP 访问列表有哪两种类型? 2. 在访问列表的最后有哪一个语句是隐含的? Slide 3 of 3 Purpose: Emphasize: Slide 3 of 3 Purpose: Emphasize: Slide 1 of 1 Purpose: Emphasize: 要求路由器A一端的局域网用户可以访问Internet；同时允许路由器A一端的/24上的用户访问路由器B一侧的服务器1上的Telnet服务。允许路由器A一端的/24上的用户访问路由器B一侧的服务器1上的WWW服务。允许/16网段的用户使用ping命令 测试到路由器B一侧局域网的连通行。除此之外到路由器B一侧局域网的所有通信都不允许。 access-list 101 permit tcp 55 host 1 e