Cisco ACL 一例

QQ 群内问题

深圳@走<.......@qq.com> 10:03:15

北京@dongnan(1376477871) 10:20:21 

acl 可否？




1 使用Cisco Packet Tracer 准备测试环境

1.1 拓扑图

1.2 cisco 配置文件(详见附件1)

 
 


  
  
ip routing  

  
  
 

  
  
access-list 10 permit host 192.168.5.2 

  
  
 

  
  
int vlan 10(20,30)

  
  
 

  
  
ip access-group 10 out  
 
 

2 wi1dcardmask------通配符屏蔽码

如果是 vlan 1/2/30 之间不能通信,但是需要同vlan 50(192.168.5.0/24)通信则操作如下：

 
 


  
  
access-list 10 permit 192.168.5.0 0.0.0.255 

  
  
 

  
  
int vlan 10(20,30) 

  
  
 

  
  
ip access-group 10 out  


 
 

3 access-list 与 access-group
access-list 创建访问控制列表
ip access-group 是把某个端口加入到access—list 的规则当中(in/out)。
 

4 标准及扩展ACL语法

标准IP访问表的基本格式为：

 
 


  
  
access-list [list number][permit|deny][host/any][sourceaddress][wildcard-mask][log] 
 
 

下面对标准IP访问表基本格式中的各项参数进行解释：
1.list number---表号范围
标准IP访问表的表号标识是从1到99。
2.permit/deny----允许或拒绝
关键字permit和deny用来表示满足访问表项的报文是允许通过接口，还是要过滤掉。permit表示允许报文通过接口，而deny表示匹配标准IP访问表源地址的报文要被丢弃掉。
3.source address----源地址
对于标准的IP访问表，源地址是主机或一组主机的点分十进制表示，如:198.78.46.8。
4.host/any----主机匹配
host和any分别用于指定单个主机和所有主机。host表示一种精确的匹配，其屏蔽码为0.0.0.0。例如，假定我们希望允许从198.78.46.8来的报文，则使用标准的访问控制列表语句如下:
access-list 1 permit 198.78.46.8 0.0.0.0
如果采用关键字host，则也可以用下面的语句来代替：
access-list 1 permit　host 198.78.46.8
也就是说，host是0.0.0.O通配符屏蔽码的简写。
与此相对照，any是源地证/目标地址0.O.O.O/255.255.255.255的简写。假定我们要拒绝从源地址198.78.46.8来的报文，并且要允许从其他源地址来的报文，标准的IP访问表可以使用下面的语句达到这个目的:
access-list 1 deny host 198.78.46.8
access-list 1 permit any
注意，这两条语句的顺序;访问表语句的处理顺序是由上到下的。如果我们将两个语句顺序颠倒，将permit语句放在deny语句的前面，则我们将不能过滤来自主机地址198.78.46.8的报文，因为permit语句将允许所有的报文通过。所以说访问表中的语句顺序是很重要的,因为不合理语句顺序将会在网络中产生安全漏洞，或者使得用户不能很好地利用公司的网络策略。
5.wi1dcardmask------通配符屏蔽码
Cisco访问表功能所支持的通配符屏蔽码与子网屏蔽码的方式是刚好相反的，也就是说，二进制的O表示一个"匹配"条件，二进制的1表示一个"不关心"条件。假设组织机构拥有一个C类网络198.78.46.0，若不使用子网，则当配置网络中的每一个工作站时，使用于网屏蔽码255.255.255.O。在这种情况下，1表示一个 "匹配"，而0表示一个"不关心"的条件。因为Cisco通配符屏蔽码与子网屏蔽码是相反的，所以匹配源网络地址198.78.46.0中的所有报文的通配符屏蔽码为:0.0.O.255。
6.Log----日志记录
log关键字只在IOS版本11.3中存在。如果该关键字用于访问表中，则对那些能够匹配访问表中的permit和deny语句的报文进行日志记录。日志信息包含访问表号、报文的允许或拒绝、源IP地址以及在显示了第一个匹配以来每5分钟间隔内的报文数目。使用log关键字，会使控制台日志提供测试和报警两种功能。系统管理员可以使用日志来观察不同活动下的报文匹配情况，从而可以测试不同访问表的设计情况。当其用于报警时，管理员可以察看显示结果，以定位那些多次尝试活动被拒绝的访问表语句。执行一个访问表语句的多次尝试活动被拒绝，很可能表明有潜在的黑客攻击活动。

参考

标准及扩展ACL语法

感谢

网友  深圳@走

结束
更多请：
linux 相关 37275208
vmware 虚拟化相关  166682360

本文转自 dongnan 51CTO博客，原文链接：http://blog.51cto.com/dngood/970169