思科模拟中ACL怎么配置
Posted
tags:
篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了思科模拟中ACL怎么配置相关的知识,希望对你有一定的参考价值。
要求ACL应用在办公楼 其他楼不能访问办公楼
Router(config)#ip access-list extended TC
Router(config-ext-nacl)#deny icmp any 192.168.22.0 0.0.0.255 echo-reply
Router(config-ext-nacl)#deny icmp any 192.168.33.0 0.0.0.255 echo-reply
Router(config-ext-nacl)#exit
Router(config)#access-list 101 permit ip any any
Router(config)#interface vlan 11
Router(config-if)#ip access-group TC in
Router(config-if)#exit问题出在哪里呢
访问控制列表的原理:
1、对路由器接口来说有两个方向:
入:已经到达路由器接口的数据包,但是还没有被路由器处理。
出:已经 经过路由器的处理,正要离开路由器接口的数据包
2、匹配顺序为:"自上而下,依次匹配"。默认为拒绝
3、访问控制列表的类型:
标准访问控制列表:一般应用在out出站接口。建议配置在离目标端最近的路由上
扩展访问控制列表:配置在离源端最近的路由上,一般应用在入站in方向
命名访问控制列表:允许在标准和扩展访问列表中使用名称代替表号
4、访问控制列表使用原则
(1)、最小特权原则
只给受控对象完成任务所必须的最小的权限。也就是说被控制的总规则是各个规则的交集,只满足部分条件的是不容许通过规则的。
(2)、默认丢弃原则
在CISCO路由交换设备中默认最后一句为ACL中加入了DENY ANY ANY,也就是丢弃所有不符合条件的数据包。这一点要特别注意,虽然我们可以修改这个默认,但未改前一定要引起重视。
(3)、最靠近受控对象原则
所有的网络层访问权限控制。也就是说在检查规则时是采用自上而下在ACL中一条条检测的,只要发现符合条件了就立刻转发,而不继续检测下面的ACL语句。
由于ACL是使用包过滤技术来实现的,过滤的依据又仅仅只是第三层和第四层包头中的部分信息,这种技术具有一些固有的局限性,如无法识别到具体的人,无法 识别到应用内部的权限级别等。因此,要达到端到端的权限控制目的,需要和系统级及应用级的访问权限控制结合使用。 参考技术A 思科模拟题中ACL其实是可以通过两种方式来进行配置的,第一张配置方法是哦行了今个女子自己咯额乐滋滋自信滴哦一民工泥腿子自信,哦明明您找我你自我,第二种方法是你也明灭哦挺低顶我哦外婆给你一张哦破只有。
7-思科防火墙:ASA配置:Global ACL(CLI)
一、实验拓扑:
二、实验要求:
1、ACL抓取Telnet、ICMP流量并放行,在全局下应用:
2、做完以后,R1去telnetR2、R3看是否可行?
3、ACL抓取Telnet流量并拒绝;在接口Outside应用;
4、查看接口ACL和全局ACL哪个优先,R1是否还可以Telnet R2?
三、命令部署:
1、Global调用ACL命令:
ASA(config)# access-list glo extended permit icmp any any
ASA(config)# access-list glo extended permit tcp any any eq telnet
ASA(config)# access-group glo global
2、接口下调用ACL命令:
ASA(config)# access-list jiekou extended deny tcp any any eq 23
ASA(config)# access-group jiekou in interface outside
四、验证:
1、部署完global命令后:
R1#telnet 10.1.1.2
Trying 10.1.1.2 ... Open
User Access Verification
Username: bb
Password:
R2>
2、接口下调用ACL命令:
R1#telnet 10.1.1.2
Trying 10.1.1.2 ...
% Connection timed out; remote host not responding
结论:接口ACL优先级高于Global
以上是关于思科模拟中ACL怎么配置的主要内容,如果未能解决你的问题,请参考以下文章