Cisco 访问列表大解密
CISCO路由器中的access-list（访问列表）最基本的有两种，分别是标准访问列表和扩展访问列表，二者的区别主要是前者是基于目标地址的数据包过滤，而后者是基于目标地址、源地址和网络协议及其端口的数据包过滤。（1）标准型IP访问列表的格式---- 标准型IP访问列表的格式如下：---- access-list---- ---- 下面解释一下标准型IP访问列表的关键字和参数。首先，在access和 list这 2 个关键字之间必须有一个连字符"-"；其次，list number的范围在 0～99 之间， 这表明该access-list语句是一个普通的标准型IP访问列表语句。因为对于Cisco IOS， 在 0～99 之间的数字指示出该访问列表和IP协议有关，所以list number参数具有双重 功能:（1）定义访问列表的操作协议;（2）通知IOS在处理access-list语句时，把相 同的list number参数作为同一实体对待。正如本文在后面所讨论的，扩展型IP访问列 表也是通过list number（范围是 100～199 之间的数字）而表现其特点的。因此，当运 用访问列表时，还需要补充如下重要的规则:在需要创建访问列表的时候，需要选择适 当的list number参数。---- （2）允许/拒绝数据包通过---- 在标准型IP访问列表中，使用permit语句可以使得和访问列表项目匹配 的数据包通过接口，而deny语句可以在接口过滤掉和访问列表项目匹配的数据包。 source address代表主机的IP地址，利用不同掩码的组合可以指定主机。---- 为了更好地了解IP地址和通配符掩码的作用，这里举一个例子。假设您 的公司有一个分支机构，其IP地址为C类的 192.46.28.0。在您的公司，每个分支机构都 需要通过总部的路由器访问Internet。要实现这点，您就可以使用一个通配符掩码0.0.0.255。因为C类IP地址的最后一组数字代表主机，把它们都置 1 即允许总部访问网 络上的每一台主机。因此，您的标准型IP访问列表中的access-list语句如下：---- access-list1 permit192.46.28.00.0.0.255---- 注意，通配符掩码是子网掩码的补充。因此，如果您是网络高手，您可 以先确定子网掩码，然后把它转换成可应用的通配符掩码。这里，又可以补充一条访问列表的规则 5。---- （3）指定地址---- 如果您想要指定一个特定的主机，可以增加一个通配符掩码 0.0.0.0。 例如，为了让来自IP地址为 192.46.27.7 的数据包通过，可以使用下列语句：---- Access-list1 permit192.46.27.70.0.0.0---- 在Cisco的访问列表中，用户除了使用上述的通配符掩码 0.0.0.0 来指 定特定的主机外，还可以使用"host"这一关键字。例如，为了让来自IP地址为192.46.27.7 的数据包通过，您可以使用下列语句：---- Access-list1 permithost192.46.27.7---- 除了可以利用关键字"host"来代表通配符掩码 0.0.0.0 外，关键字"any"可以作为源地址的缩写，并代表通配符掩码 0.0.0.0 255.255.255.255。例如，如果希 望拒绝来自IP地址为 192.46.27.8 的站点的数据包，可以在访问列表中增加以下语句：---- Access-list1 denyhost 192.46.27.8---- Access-list1 permitany---- 注意上述 2 条访问列表语句的次序。第 1 条语句把来自源地址为192.46.27.8 的数据包过滤掉，第 2 条语句则允许来自任何源地址的数据包通过访问列 表作用的接口。如果改变上述语句的次序，那么访问列表将不能够阻止来自源地址为192.46.27.8 的数据包通过接口。因为访问列表是按从上到下的次序执行语句的。这样， 如果第 1 条语句是:---- Access-list1 permitany---- 的话，那么来自任何源地址的数据包都会通过接口。---- （4）拒绝的奥秘---- 在默认情况下，除非明确规定允许通过，访问列表总是阻止或拒绝一切 数据包的通过，即实际上在每个访问列表的最后，都隐含有一条"deny any"的语句。假 设我们使用了前面创建的标准IP访问列表，从路由器的角度来看，这条语句的实际内容 如下：---- access-list1 denyhost 192.46.27.8---- access-list1 permitany---- access-list1 denyany---- 在上述例子里面，由于访问列表中第 2 条语句明确允许任何数据包都通 过，所以隐含的拒绝语句不起作用，但实际情况并不总是如此。例如，如果希望来自源 地址为 192.46.27.8 和 192.46.27.12 的数据包通过路由器的接口，同时阻止其他一切 数据包通过，则访问列表的代码如下：---- access-list1 permithost192.46.27.8---- access-list1 permithost192.46.27.12---- 注意，因为所有的访问列表会自动在最后包括该语句.---- 顺便讨论一下标准型IP访问列表的参数"log"，它起日志的作用。一旦访 问列表作用于某个接口，那么包括关键字"log"的语句将记录那些满足访问列表中 "permit"和"deny"条件的数据包。第一个通过接口并且和访问列表语句匹配的数据包将 立即产生一个日志信息。后续的数据包根据记录日志的方式，或者在控制台上显示日志， 或者在内存中记录日志。通过Cisco IOS的控制台命令可以选择记录日志方式。扩展型IP访问列表---- 扩展型IP访问列表在数据包的过滤方面增加了不少功能和灵活性。除了可以基于源地址和目标地址过滤外，还可以根据协议、源端口和目的端口过滤，甚至可以利用各种选项过滤。这些选项能够对数据包中某些域的信息进行读取和比较。扩展型 IP访问列表的通用格式如下：---- access-list
---- ---- ---- ---- ---- 和标准型IP访问列表类似，"list number"标志了访问列表的类型。数 字 100～199 用于确定 100 个惟一的扩展型IP访问列表。"protocol"确定需要过滤的协 议，其中包括IP、TCP、UDP和ICMP等等。---- 如果我们回顾一下数据包是如何形成的，我们就会了解为什么协议会影 响数据包的过滤，尽管有时这样会产生副作用。图 2 表示了数据包的形成。请注意，应用数据通常有一个在传输层增加的前缀，它可以是TCP协议或UDP协议的头部，这样就增加了一个指示应用的端口标志。当数据流入协议栈之后，网络层再加上一个包含地址信 息的IP协议的头部。 由于IP头部传送TCP、UDP、路由协议和ICMP协议，所以在访问列表的语句中，IP协议的 级别比其他协议更为重要。但是，在有些应用中，您可能需要改变这种情况，您需要基 于某个非IP协议进行过滤---- 为了更好地说明，下面列举 2 个扩展型IP访问列表的语句来说明。假设 我们希望阻止TCP协议的流量访问IP地址为 192.78.46.8 的服务器，同时允许其他协议的流量访问该服务器。那么以下访问列表语句能满足这一要求吗？---- access-list101 permithost192.78.46.8---- access-list101 denyhost192.78.46.12---- 回答是否定的。第一条语句允许所有的IP流量、同时包括TCP流量通过 指定的主机地址。这样，第二条语句将不起任何作用。可是，如果改变上面 2 条语句的次序就不一样了。
反向访问列表5 个 VLAN,分别为管理(63)、办公(48)、业务(49)、财务(50)、家庭(51)。 要求:管理可以访问其它,而其它不能访问管理,并且其它 VLAN 之间不能互相访问！
其它的应用不受影响，例如通过上连进行 INTERNET 的访问 方法一:只在管理 VLAN 的接口上配置,其它 VLAN 接口不用配置。 在入方向放置 reflect
ipaccess-listextendedinfilter permit ipany any reflect cciepass 在出方向放置 evaluateipaccess-listextendedoutfilter evaluatecciepassdeny ip10.54.48.00.0.0.255any deny ip10.54.49.0.0.0.0.255anydeny ip10.54.50.00.0.0.255anydeny ip10.54.51.00.0.0.255any permit ipany any！应用到管理接口int vlan63ipaccess-groupinfilterinipaccess-groupoutfilterout方法二：在管理 VLAN 接口上不放置任何访问列表，而是在其它 VLAN 接口都放。 以办公 VLAN 为例在出方向放置 reflectipaccess-listextendedoutfilter permit ipany any reflect cciepass 在入方向放置 evaluateipaccess-listextendedinfilterdeny ip10.54.48.00.0.0.25510.54.49.00.0.0.255 deny ip10.54.48.00.0.0.25510.54.50.00.0.0.255 deny ip10.54.48.00.0.0.25510.54.51.00.0.0.255 deny ip10.54.48.00.0.0.25510.54.63.00.0.0.255 evaluatecciepasspermit ipany any 应用到办公 VLAN 接口： int vlan48ipaccess-groupinfilterinipaccess-groupoutfilterout总结：1） Reflect放置在允许的方向上（可进可出）2） 放在管理 VLAN 上配置简单，但是不如放在所有其它 VLAN 上直接。3)如果在内网口上放置:在入上设置 Reflect 如果在外网口上放置:在出口上放置 Reflect LANWANinboundoutbound4)reflect 不对本地路由器上的数据包跟踪,所以对待进入的数据包时注意,要允许 一些数据流进入
关于访问列表的in/out不管在那个端口启用,就在那个端口下ip access-groupxin/out 所谓IN,就是在数据包进入路由器之前作访问表的对照,如果是OUT,就是数据可以先进 路由器,然后在出路由器时检查访问列表,所以默认是IN.
例如,假如你的例子中,E口是指向内网,并用IN,就是数据包----来自内网----在进入路由器之前并检查.思科的访问列表中,最后默认为DENY ＡＮＹ，所以一般都要在列表最后一项加，access-listxxxpermitipany any从IOS12.0 开始，CISCO路由器新增加了一种基于时间的访问列表。通过它，可以根据一 天中的不同时间，或者根据一星期中的不同日期，当然也可以二者结合起来，控制对网 络数据包的转发。一、使用方法这种基于时间的访问列表就是在原来的标准访问列表和扩展访问列表中加入有效的时间范围来更合理有效的控制网络。它需要先定义一个时间范围，然后在原来的各种 访问列表的基础上应用它。并且，对于编号访问表和名称访问表都适用。二、使用规则用time-range 命令来指定时间范围的名称，然后用absolute命令或者一个或多个periodic命令来具体定义时间范围。 IOS命令格式为：time-rangetime-range-nameabsoluteperiodicdays-of-theweekhh:mmtohh:mm我们分别来介绍下每个命令和参数的详细情况time-range ： 用来定义时间范围的命令time-range-name：时间范围名称，用来标识时间范围，以便于在后面的访问列表 中引用absolute： 该命令用来指定绝对时间范围。它后面紧跟这start和end两个关键字。 在这两个关键字后面的时间要以 24 小时制、hh:mm（小时：分钟）表示，日期要按照日/月/年来表示。可以看到，他们两个可以都省略。如果省略start及其后面的时间，那 表示与之相联系的permit 或deny语句立即生效，并一直作用到end处的时间为止；若省 略如果省略end及其后面的时间，那表示与之相联系的permit或deny语句在start处表 示的时间开始生效，并且永远发生作用，当然把访问列表删除了的话就不会起作用了。怎么样，看明白了吗？上面讲的就是命令和基本参数为了便于理解，我们看两个例子。1、如果要表示每天的早 8 点到晚 8 点就可以用这样的语句：absolutestart 8:00end20:002、再如，我们要使一个访问列表从 2006 年 10 月 1 日早 5 点开始起作用，直到 2006 年 10 月 31 日晚 24 点停止作用，语句如下：absolutestart 5:001 December2000 end24:00 31 December2000 这样一来，我们就可以用这种基于时间的访问列表来实现，而不用半夜跑到办公室去删除那个访问列表了。这对于网络管理员来说，是个很好的事情。如果你恰好是网管。。 哇。。。什么也不要讲了，快回去好好配置吧：）。好了接下来，让我们接着看下一个periodic命令及其参数。一个时间范围只能有一个absolute语句，但是可以有几个periodic语句。periodic：主要是以星期为参数来定义时间范围的一个命令。它的参数主要有宾 Monday,Tuesday,Wednesday,Thursday,Friday,Saturday,Sunday中的一个或者几个的 组合，也可以是daily（每天）、weekday（周一到周五）或者weekend（周末）。示例一: 带Established选项的扩展访问列表 拓扑:R2-(S2/0)-----------------(S2/0)-R1(S2/1)---------------(S2/1)-R3带有Established的扩展访问列表允许内部用户访问外部网络,而拒绝外部网络访问内 部网络,而没带Established的标准访问列表和扩展访问列表没有这个特性. 这个示例首先用OSPF来使全网互联.R1:r1#shrun*Mar 1 00:25:17.275:%SYS-5-CONFIG_I:Configuredfromconsole byconsoleBuildingconfiguration...Current configuration: 1410 bytes version12.2servicetimestampsdebug datetime msec servicetimestampslogdatetimemsecnoservice password-encryption hostnamer1logging queue-limit100 ipsubnet-zeroipauditnotifylogipauditpo max-events 100mpls ldploggingneighbor-changes novoicehpicapture buffernovoicehpicapture destination mta receive maximum-recipients 0 interface Loopback0ipaddress 1.1.1.1 255.255.255.0 interface FastEthernet0/0noipaddress shutdown duplex auto speedautointerface FastEthernet1/0noipaddressshutdown duplex auto speedautointerface Serial2/0ipaddress 12.1.1.1255.255.255.0 encapsulationframe-relayipospfnetworkpoint-to-point serial restart_delay0frame-relaymapip12.1.1.2102 broadcast noframe-relayinverse-arpinterface Serial2/1ipaddress 13.1.1.1255.255.255.0 encapsulationframe-relayipospfnetworkpoint-to-point serial restart_delay0frame-relaymapip13.1.1.3113 broadcast interface Serial2/2noipaddress shutdownserial restart_delay0 interface Serial2/3noipaddress shutdownserial restart_delay0 routerospf10log-adjacency-changesnetwork0.0.0.0255.255.255.255 area 0 iphttpservernoiphttpsecure-server ipclasslesscall rsvp-syncmgcp profile default dial-peercor custom line con0line aux 0 line vty0 4 nologin
end
R2:r2#shrunBuildingconfiguration...*Mar 1 00:27:29.871:%SYS-5-CONFIG_I:Configuredfromconsole byconsoleCurrent configuration: 1298 bytes version12.2servicetimestampsdebug datetime msec servicetimestampslogdatetimemsecnoservice password-encryption hostnamer2logging queue-limit100 ipsubnet-zeroipauditnotifylogipauditpo max-events 100mpls ldploggingneighbor-changes novoicehpicapture buffernovoicehpicapture destination mta receive maximum-recipients 0 interface Loopback0ipaddress 2.2.2.2 255.255.255.0 interface FastEthernet0/0noipaddress shutdown duplex auto speedautointerface FastEthernet1/0 noipaddressshutdown duplex auto speedautointerface Serial2/0ipaddress 12.1.1.2255.255.255.0 encapsulationframe-relayipospfnetworkpoint-to-point serial restart_delay0frame-relaymapip12.1.1.1201 broadcastnoframe-relayinverse-arpinterface Serial2/1 noipaddress shutdownserial restart_delay0 interface Serial2/2noipaddress shutdownserial restart_delay0 interface Serial2/3noipaddress shutdownserial restart_delay0 routerospf10log-adjacency-changesnetwork0.0.0.0255.255.255.255 area 0 iphttpservernoiphttpsecure-server ipclasslesscall rsvp-syncmgcp profile default dial-peercor custom line con0line aux 0 line vty0 4 nologinend
r3r3#shrunBuildingconfiguration...Current configuration: 1298 bytes version12.2servicetimestampsdebug datetime msec servicetimestampslogdatetimemsecnoservice password-encryption hostnamer3logging queue-limit100ipsubnet-zeroipauditnotifylogipauditpo max-events 100mpls ldploggingneighbor-changes novoicehpicapture buffernovoicehpicapture destination mta receive maximum-recipients 0 interface Loopback0ipaddress 3.3.3.3 255.255.255.0 interface FastEthernet0/0noipaddress shutdown duplex auto speedautointerface FastEthernet1/0 noipaddressshutdown duplex auto speedautointerface Serial2/0 noipaddress shutdownserial restart_delay0 interface Serial2/1ipaddress 13.1.1.3255.255.255.0 encapsulationframe-relayipospfnetworkpoint-to-point serial restart_delay0frame-relaymapip13.1.1.1311 broadcast noframe-relayinverse-arpinterface Serial2/2 noipaddress shutdownserial restart_delay0 interface Serial2/3noipaddress shutdownserial restart_delay0routerospf10log-adjacency-changesnetwork0.0.0.0255.255.255.255 area 0 iphttpservernoiphttpsecure-server ipclasslesscall rsvp-syncmgcp profile default dial-peercor custom line con0line aux 0 line vty0 4 nologinend
监视和测试配置:我们让R2 作为内部网络,R3 作为内部网络,以下配置使R2 发起访问R3 没问题,从R3 访问 R2 则被拒绝.注意这个配置方案是针对基于TCP的应用,任何TCP通讯都是双向的,从R2 发 起的访问外部网络之后,外部网络的流量得以通过,这个时候TCP报文,ACK或RST位被设 置为 1R1(configure)access-list101 permittcpany any establishedlog-inputR1(configure)access-list101 permitospfany any R1(configure)access-list101 denyipany any log-input R1(configure)ints2/1R1(configure-if)ipaccess-group101 in以上log-input是为了显示监视数据报文被过滤的情况,接下来用debugippacket detailed来监视报文经过R1的情况,应该路由器还有OSPF报文产生,因此我们对DEBUG信 息做了限制.r1(config)#access-list102 permittcpany any我们这样做 让R2 发起telnet访问R3 r1#telnet3.3.3.3Trying3.3.3.3... Open r3>注意R3 返回R2 的数据报文得以通过,接下来我们测试从R3 发起访问R2 的情况r3#telnet2.2.2.2Trying2.2.2.2...% Destinationunreachable; gateway or hostdown r1#注意,TCP协议的第一次发送是SYN字段,这是用来同步准备建立一个新连接的两端主机, 而ACK位由接收者置位从而向发送者表明数据已经成功接收.RST(reset)位说明什么时 候重新启动连接.带Eetablished的扩展访问列表只允许ACK或RST位置 1 的TCP报文通过
页:
[1]