局域网管理——路由器与交换机配置第6章 访问列表和网络地址转换.pptVIP

第6章 访问列表和网络地址转换 6.1 Cisco访问列表基础 6.2 配置访问列表 6.3 NAT技术 6.1 Cisco访问列表基础 6.1.1 访问列表的应用 随着网络的不断发展，路由器在校园网中担当了重要的角色。然而不少单位仅仅利用了它的一个基本功能——路由，实际上路由器还可以用来设置访问控制策略。现以Cisco路由器为例，介绍路由器访问列表的应用。 用time-range命令来指定时间范围的名称，然后用absolute命令一个或者多个periodic命令来具体定义时间范围，IOS命令格式为： time-range time-range-name absolute [start time date] [end time date] periodic days-of-the week hh:mm to [days-of-the week] hh:mm 例如：要表示每天的早6点到晚10点就可以用下列语句： absolute start 6:00 end 22:00 6.1 Cisco访问列表基础 例6.1　为了让子网机器在工作时间不能进行Web浏览，设置从2002年12月1日0点到2002年12月31日晚23点59分。这一个月中，只有在周六早7点到周日晚10点才可以通过学校的网络访问Internet。 6.1 Cisco访问列表基础 router# config t router (config)# interface ethernet 0 router (config-if)#ip access-group 101 in router (config-if)#time-range http router (config-if)#absolute start 0:00 1 December 2002 end 23:59 31 december 2000 periodic Saturday 7:00 to Sunday 22:00 router (config-if)#ip access-list 101 permit tcp any any eq 80 http 6.1 Cisco访问列表基础 6.1.2 访问列表的类型 目前的路由器一般都支持两种类型的访问表：基本访问表和扩展访问表。 基本访问表控制基于网络地址的信息流，且只允许过滤源地址。 扩展访问表通过网络地址和传输中的数据类型进行信息流控制，允许过滤源地址、目的地址和上层应用数据，表6-1列出了路由器所支持的不同访问表的号码范围。 6.1 Cisco访问列表基础 6.1.3 通配符掩码 通配符掩码是一个32位的数字字符串，它被用点号分成4个8位组，每组包含8位。在通配符掩码位中，“0”表示检查相应的位，“1”表示不检查相应的位。通配符掩码与IP地址是成对出现的，通配符掩码与子网掩码工作原理是不同的。在IP子网掩码中，数字“1”和“0”用来决定是网络、子网，还是相应的主机的IP地址。如表示这个网段，使用通配符掩码应为55。 在通配符掩码中，可以用55表示所有IP地址，因为全为“1”说明所有32位都不检查相应的位，这时可以用any来取代，而的通配符掩码则表示所有32位都要进行匹配，这样只表示一个IP地址，可以用host表示。所以在访问控制列表中，可以选择其中一种表示方法来说明网络、子网或主机。 6.2 配置访问列表 6.2.1 创建和使用访问列表 在一个接口上配置访问表需要下列3个步骤： （1）定义访问表。 （2）指定访问表所应用的接口。 （3）定义访问表作用于接口上的方向。 一般的，采用interface命令指定一个接口。例如，为了将访问表应用于串口“0”，应使用如下命令指定此端口： interface serial0 类似地，为将访问表应用于路由器的以太网端口上时，假定端口为Ethernet0，则应使用如下命令来指定此端口： interface ethernet0 6.2 配置访问列表 6.2.2 访问列表配置准则 由于ACL涉及的配置命令很灵活，功能也很强大，现在将ACL设置原则罗列出来，方便各位读者更好地理解ACL知识。 1. 最小特权原则 只给受控对象完成任务所必需的最小的权限，也就是说被控制的总规则是各个规则的交集，只满足部分条件的是不容许通过规则的。 2. 最靠近受控对象原则 所有的网络层访问权限控制，也就是说在检查规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。 6.2 配置访问列表 3. 默认丢弃原则 在Cisco路由交换设备中，默认最后一句为ACL中加入了deny any any，也就是丢弃所有不符合条件的数据包。这一点要特别注意，虽然我们可以修改这个默认，