基于时间访问控制列表应用探究.docVIP

基于时间访问控制列表应用探究摘 要: 基于时间的访问控制列表是在特定时间段对网络中传输的数据包进行过滤的一种技术,在实际工作中有着非常广泛的应用。本文作者结合其校园网中的实际应用,以锐捷3750交换机为例,结合实际网络拓扑结构,介绍了基于时间的访问控制列表的使用方法。 关键词: 访问控制列表 基于时间 应用 1.访问控制列表 访问控制是网络安全防范和保护的主要策略,它的主要任务是保证网络资源不被非法使用和访问。它是保证网络安全最重要的核心策略之一。访问控制涉及的技术比较广,包括入网访问控制、网络权限控制、目录级控制及属性控制等多种手段。 访问控制列表(ACL)是应用在路由器接口的指令列表。这些指令列表用来告诉路由器哪些数据包可以接收、哪些数据包需要拒绝。至于数据包是被接收还是拒绝,可以由类似于源地址、目的地址、端口号等的特定指示条件来决定。 访问控制列表(ACL)是网络防御的前沿阵地,它提供了一种可以控制通过路由器和交换机不同接口的信息流的机制。通过访问控制列表来管理信息流,以达到指定相应的网络策略。这种策略通过描述安全、时间等条件来反映流量的优先权。 2.几种常见的访问控制列表 (1)标准IP访问控制列表。 一个标准IP访问控制列表匹配IP包中的源地址或源地址中的一部分,可对匹配的包采取拒绝或允许两个操作。编号范围是从1到99的访问控制列表是标准IP访问控制列表。 (2)扩展IP访问控制列表。 扩展IP访问控制列表比标准IP访问控制列表具有更多的匹配项,包括协议类型、源地址、目的地址、源端口、目的端口、建立连接的和IP优先级等。编号范围是从100到199的访问控制列表是扩展IP访问控制列表。 (3)命名的IP访问控制列表。 所谓命名的IP访问控制列表是以列表名代替列表编号来定义IP访问控制列表,同样包括标准和扩展两种列表,定义过滤的语句与编号方式中相似。 3.基于时间的访问控制列表 基于时间的访问列表是在原来标准访问列表和扩展访问列表中加入有效的时间范围来更合理、有效地控制网络的。它先定义一个时间范围,然后在原来的各种访问列表的基础上应用它,对于编号访问列表和名称访问列表均适用。 4.应用举例 我院网络(1)(2)班教室里,每人一台电脑,接入交换机与一台RG3750交换机相连,可以全天候访问Internet。但是,部分学生在上课时间还在上网,不注意听讲,影响了上课效果。于是,我想到利用基于时间的访问控制列表对两班教室进行上网控制,即只有课外时间才能上网,上课时间网络会自动中断,下课后又会自动开启,以减少管理负担。 基于时间的访问控制列表的配置步骤通常是以下几点。 (1)定义时间段及时间范围。 【配置命令】 Switch#time-range free absolute:该命令用来指定绝对时间范围。它后面紧跟start和end两个关键字。在两个关键字后面的时间要以24小时制和“hh:mm(小时:分钟)”表示,日期要按照“日/月/年”形式表示。这两个关键字也可以都省略。如果省略start及其后面的时间,表示与之相联系的permit或deny语句立即生效,并一直作用到end处的时间为止;若省略end及其后面的时间,表示与之相联系的permit或deny语句在start处表示的时间开始生效,并且永远发生作用(当然,如把访问列表删除了的话就不会起作用了)。 periodic:主要以星期为参数来定义时间范围。它的参数主要有Monday、Tuesday、Wednesday、Thursday、Friday、Saturday、Sunday中的一个或者几个的组合,也可以是daily(每天)、weekday(周一到周五)或者weekend(周末)。 【配置命令】 Switch#periodic Weekend 8:00 to 21:00 Switch#periodic Weekdays 17:30 to 21:00 (2)ACL自身的配置,即将详细的规则添加到ACL中。 Switch#ip access-list standard net Permit 192.168.81.0.0.0.255 time-rang free Permit 192.168.82.0.0.0.255 time-rang free Deny any 网络(1)班IP地址为192.168.81.x,网络(2)班IP地址为192.168.82.x。 (3)宣告ACL,将设置好的ACL添加到相应的端口中。 Switch(config)#interface range fastEth