no基于上下文访问控制cbac.pdfVIP

１、CBAC概述

➢CiscoIOS特性集一个高级模块。

➢即基于上下文的控制(context-basedaccesscontrol)。

CBAC能够智能过滤基于应用层的TCP和UDP的会话；CBAC能够

在access-list打开一个临时的通道给于网络向外的连接，同时

检查内外两个方向的会话。ACL与CBAC是互补的，它们的组合可实现

的最大化。

➢功能：

状态滤：对网络、企业和合作伙伴互连以及企业连接internet提供完备的安

全性和强制政策。

Dos检测和抵御：CBAC通过检查数据报头、丢弃可疑数据包来预防和保护路由器受

到。

实警和：可配置基于应用层的连接，经过的数据包，提供详细过

程信息并报告可疑行为。

２、CBAC工作原理

123

用户发起一个Telnet如果ACL允许该流量。如果是一个新的连接

出站连接,。如果入站则与状态表中条目作条目，路由器在外部

接口上ACL允许该流比较，如果该连接不存接口入方向的ACL中

量，路由器则对该流在则添加一个条目；如添加一个动态的ACL

量进行CBAC。果存在，则重置该连接条目，以允许返回的

的空闲超时值。流量进入网络。

CBAC工作原理

３、CBAC语法一

R(config)#ipinspecttcpsynwait-time等待三次握手的时间

（30s）

R(config)#ipinspecttcpfinwait-time清除会话前等待时间

（5s）

R(config)#ipinspecttcpidle-timeTCP连接空闲时间

（3600s）

R(config)#ipinspectudpidle-timeudp连接空闲时间（30s）

R(config)#ipinspectdns-timeoutdns查询的存在时间

（5s）

R(config)#ipinspectnameinspection_nameprotocol

[alert{on|off}][audit-trail{on|off}][timeout

seconds]

•Inspection_name定义一个CBAC规则的名字

•Protocol指定所要的协议

•Alert/audit打开警告或审计功能

•Timeout如果省略这个关键字，将使用全局超时时间

CBAC语法二

ipinspectpletehighnumber

－CBAC关闭连接之前最大的half-open连接数（500）

ipinspectpletelownumber

－CBAC停止关闭连接的half-open连接数（400）

（注：超过500个half-open连接数就关闭，低于400连接数就不再关闭）

i