首页 > 代码库 > Cisco-ACL详解(二)
Cisco-ACL详解(二)
四、动态ACL
动态ACL是一种利用路由器telnet的验证机制，动态建立临时的ACL以让用户可以暂时访问内网的一种技术
命令：
access-list {100-199} dynamic username [timeout minutes] permit any dest-ip dest-wildcard
username 必须是路由器上的某一个用户；
timeout为绝对超时时间；
最好定义dest-ip为外网要访问的服务器的IP.
例：
1：username lyl password lyl 建立用户，用于用户验证
2：access-list 101 permit tcp any host 10.10.1.1 eq 23 允许外网用户访问路由器外端口的telnet服务，用于验证
access-list 101 permit tcp any host 10.10.1.1 eq 3001 允许外网用户访问路由器外端口的3001端口，用于telnet
access-list 101 dynamic lyl timeout 8 permit ip any host 192.168.2.3 引用路由器上的lyl用户以建立动态的ACL
3、line vty 0 3
login local 定义本地验证
autocommand access-enable host timeout 3 用于动态ACL验证用户，此处host绝不可少，如果没有则生成的动态ACL源地址将为 any,则动态ACL毫无意义
line vty 4
login local
rotary 1 用开telnet管理，端口为3001
4、int s1/0
ip add 10.10.1.1 255.255.255.252
no shut
ip access-group 101 in
五、自反ACL
基本思想：内网可以访问外网，但外网没有允许不能访问内网，内网访问外网的回应数据可以通过
例：
一、 ip access-list extended outbound 创建出去数据的ACL
permit tcp any any reflect cisco tcp的流量可以进来，但要在有内部tcp流量出去时动态创建
二、 ip access-list extended inbound 创建进来数据的ACL
permit icmp any any 允许基于ICMP的数据如echo-request
evaluate cisco 允许出去的ACL中的有cisco对应语句的TCP流量进来
三、 int s1/0 s1/0为路由器的接外网的端口
ip access-group outbound out
ip access-group inbound in
说明：reflect和evalute后面的对应名应该相同，此例中为cisco
反向访问控制列表：
我们使用访问控制列表除了合理管理网络访问以外还有一个更重要的方面，那就是防范病毒，我们可以将平时常见病毒传播使用的端口进行过滤，将使用这些端口的数据包丢弃。这样就可以有效的防范病毒的攻击。
不过即使再科学的访问控制列表规则也可能会因为未知病毒的传播而无效，毕竟未知病毒使用的端口是我们无法估计的，而且随着防范病毒数量的增多会造成访问控制列表规则过多，在一定程度上影响了网络访问的速度。这时我们可以使用反向控制列表来解决以上的问题。
反向访问控制列表的用途及格式
一、反向访问控制列表的用途
反向访问控制列表属于ACL的一种高级应用。他可以有效的防范病毒。通过配置反向ACL可以保证AB两个网段的计算机互相PING，A可以PING通B而B不能PING通A。
说得通俗些的话就是传输数据可以分为两个过程，首先是源主机向目的主机发送连接请求和数据，然后是目的主机在双方建立好连接后发送数据给源主机。反向ACL控制的就是上面提到的连接请求。
二、反向访问控制列表的格式
反向访问控制列表格式非常简单，只要在配置好的扩展访问列表最后加上established即可。我们还是通过实例为大家讲解。
配置实例：禁止病毒从172.16.3.0/24这个网段传播到172.16.4.0/24这个服务器网段。
路由器配置命令：
access-list 101 permit tcp 172.16.3.0 0.0.0.255 172.16.4.0 0.0.0.255 established 定义ACL101，容许所有来自172.16.3.0网段的计算机访问172.16.4.0网段中的计算机，前提是TCP连接已经建立了的。当TCP连接没有建立的话是不容许172.16.3.0访问172.16.4.0的。
int e 1 进入E1端口
ip access-group 101 out 将ACL101宣告出去
设置完毕后病毒就不会轻易的从172.16.3.0传播到172.16.4.0的服务器区了。因为病毒要想传播都是主动进行TCP连接的，由于路由器上采用反向ACL禁止了172.16.3.0网段的TCP主动连接，因此病毒无法顺利传播。
小提示：检验反向ACL是否顺利配置的一个简单方法就是拿172.16.4.0里的一台服务器PING在172.16.3.0中的计算机，如果可以PING通的话再用172.16.3.0那台计算机PING172.16.4.0的服务器，PING不通则说明ACL配置成功。
通过上文配置的反向ACL会出现一个问题，那就是172.16.3.0的计算机不能访问服务器的服务了，假如图中172.16.4.13提供了WWW服务的话也不能正常访问。解决的方法是在ESTABLISHED那句前头再添加一个扩展ACL规则，例如：access-list 101 permit tcp 172.16.3.0 0.0.0.255 172.16.4.13 0.0.0.0 eq www
这样根据“最靠近受控对象原则”即在检查ACL规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。172.16.3.0的计算机就可以正常访问该服务器的WWW服务了，而下面的ESTABLISHED防病毒命令还可以正常生效。
基于时间的访问控制列表：
之前介绍了标准ACL与扩展ACL，实际上我们数量掌握了这两种访问控制列表就可以应付大部分过滤网络数据包的要求了。不过实际工作中总会有人提出这样或那样的苛刻要求，这时我们还需要掌握一些关于ACL的高级技巧。基于时间的访问控制列表就属于高级技巧之一。
一、基于时间的访问控制列表用途：
可能公司会遇到这样的情况，要求上班时间不能上QQ，下班可以上或者平时不能访问某网站只有到了周末可以。对于这种情况仅仅通过发布通知规定是不能彻底杜绝员工非法使用的问题的，这时基于时间的访问控制列表应运而生。
二、基于时间的访问控制列表的格式：
基于时间的访问控制列表由两部分组成，第一部分是定义时间段，第二部分是用扩展访问控制列表定义规则。这里我们主要讲解下定义时间段，具体格式如下：
time-range 时间段名称
absolute start [小时：分钟] [日 月 年] [end] [小时：分钟] [日 月 年]
例如：time-range softer
absolute start 0:00 1 may 2005 end 12:00 1 june 2005
意思是定义了一个时间段，名称为softer，并且设置了这个时间段的起始时间为2005年5月1日零点,结束时间为2005年6月1日中午12点。我们通过这个时间段和扩展ACL的规则结合就可以指定出针对自己公司时间段开放的基于时间的访问控制列表了。当然我们也可以定义工作日和周末，具体要使用periodic命令。我们将在下面的配置实例中为大家详细介绍。
配置实例：
要想使基于时间的ACL生效需要我们配置两方面的命令：
1、定义时间段及时间范围。
2、ACL自身的配置，即将详细的规则添加到ACL中。
3、宣告ACL，将设置好的ACL添加到相应的端口中。
网络环境介绍：
配置任务：只容许172.16.3.0网段的用户在周末访问172.16.4.13上的FTP资源，工作时间不能下载该FTP资源。
路由器配置命令：
time-range softer 定义时间段名称为softer
periodic weekend 00:00 to 23:59 定义具体时间范围，为每周周末(6，日)的0点到23点59分。当然可以使用periodic weekdays定义工作日或跟星期几定义具体的周几。
access-list 101 deny tcp any 172.16.4.13 0.0.0.0 eq ftp time-range softer 设置ACL，禁止在时间段softer范围内访问172.16.4.13的FTP服务。
access-list 101 permit ip any any 设置ACL，容许其他时间段和其他条件下的正常访问。
int e 1 进入E1端口。
ip access-group 101 out 宣告ACL101。
基于时间的ACL比较适合于时间段的管理，通过上面的设置172.16.3.0的用户就只能在周末访问服务器提供的FTP资源了，平时无法访问。
访问控制列表流量记录
网络管理员就是要能够合理的管理公司的网络，俗话说知己知彼方能百战百胜，所以有效的记录ACL流量信息可以第一时间的了解网络流量和病毒的传播方式。下面文章就为大家简单介绍下如何保存访问控制列表的流量信息，方法就是在扩展ACL规则最后加上LOG命令。
实现方法：
log 192.168.1.1 为路由器指定一个日志服务器地址，该地址为192.168.1.1
access-list 101 permit tcp any 172.16.4.13 0.0.0.0 eq www log 在希望监测的扩展ACL最后加上LOG命令，这样就会把满足该条件的信息保存到指定的日志服务器192.168.1.1中。
小提示：如果在扩展ACL最后加上log-input，则不仅会保存流量信息，还会将数据包通过的端口信息也进行保存。使用LOG记录了满足访问控制列表规则的数据流量就可以完整的查询公司网络哪个地方流量大，哪个地方有病毒了。简单的一句命令就完成了很多专业工具才能完成的工作。
Cisco-ACL详解(二)
声明：以上内容来自用户投稿及互联网公开渠道收集整理发布，本网站不拥有所有权，未作人工编辑处理，也不承担相关法律责任，若内容有误或涉及侵权可进行投诉： 投诉/举报 工作人员会在5个工作日内联系你，一经查实，本站将立刻删除涉嫌侵权内容。