第4章 路由器安全管理课件.pptVIP

用访问列表初步管理 IP流量;;访问列表的应用; ;访问列表配置要点：;Step 1:设置访问列表测试语句的参数;编号范围;在IOS12.0版本后增加了标准IP及扩展IP协议的表号范围： 标准IP协议：1300~1999 扩展IP协议：2000~2699 ;0 表示检查与之对应的地址位的值 1表示忽略与之对应的地址位的值;例如 9 检查所有的地址位 可以简写为 host (host 9);所有主机: 55 可以用 any 简写; Check for IP subnets /24 to /24;? 1999, Cisco Systems, Inc. ;标准IP访问列表的配置;access-list access-list-number {permit|deny} source [mask];;access-list 1 permit 55 (implicit deny all - not visible in the list) (access-list 1 deny 55) interface ethernet 0 ip access-group 1 out interface ethernet 1 ip access-group 1 out;access-list 1 deny 3 access-list 1 permit 55 (implicit deny all) (access-list 1 deny 55) interface ethernet 0 ip access-group 1 out;access-list 1 deny 55 access-list 1 permit any (implicit deny all)(access-list 1 deny 55) interface ethernet 0 ip access-group 1 out;标准访问列表举例 4;标准访问列表举例 5;需要注意的问题;需要注意的问题;? 1999, Cisco Systems, Inc. ;标准访问列表和扩展访问列表比较;扩展 IP 访问列表的配置;拒绝子网 的数据使用路由器E0口ftp到子网 允许其它数据;access-list 101 deny tcp 55 55 eq 21 access-list 101 deny tcp 55 55 eq 20 access-list 101 permit ip any any (implicit deny all) (access-list 101 deny ip 55 55) interface ethernet 0 ip access-group 101 out;拒绝子网 内的主机使用路由器的 E0 端口建立Telnet会话 允许其它数据;access-list 101 deny tcp 55 any eq 23 access-list 101 permit ip any any (implicit deny all) interface ethernet 0 ip access-group 101 out;扩展访问列表应用举例 3;access-list 101 permit tcp 55 host 1 eq Telnet access-list 101 permit tcp 55 host 1 eq WWW access-list 101 permit ICMP 0. 0.255.255 any access-list 101 deny ip any any interface ethernet 0 ip access-group 101 out;需要注意的问题;命名访问控制列表;命名访问控制列表;因为标准ACL不能指定目的地址，所以它们应该尽可能 放置在距离目的地最近的地方。 因为扩展ACL可以指定目的地址，所以它们应该尽可能放置在距离要被拒绝的通信流量最近的地方，这样可以减少源地址到目的地址之间上的通信流量，而其他源地址和目的地址的流量仍然被允许通过。 ACL的应用会降低路由器的性能。因为路由器在转发分组时不得不读取更多的分组和比较更多的 参数。 ;wg_ro_a#show ip int e0 Ethernet0 is up, line protocol is up Internet address is 1/24 Broadcast address is 55 Address determined by setup command MTU is 1500 bytes Helper addres