第五章路由技术基础-tabspresso.pptVIP

访问控制列表（二） 三、扩展的IP访问控制列表 顾名思义，扩展的IP访问表用于扩展报文过滤 能力。一个扩展的IP访问表允许用户根据如下 内容过滤报文：源和目的地址、协议、源和目 的端口以及在特定报文字段中允许进行特殊位 比较等等。 一个扩展的IP访问表的一般语法格或如下所示： access-list [list number] [permit|deny] [protocol|protocol key word] [source address source wildcard mask] [source port] [destination address destination wildcard mask] [destination port] [log options] ;这是一条全局配置命令 1、表号 list number——表号 扩展IP访问表的表号标识从l00到199。 2、协议 protocol——协议 协议项定义了需要被过滤的协议，例如IP、 TCP、UDP、ICMP等等。协议选项是很重要 的，因为在TCP/IP协议栈中的各种协议之间有 很密切的关系，如果管理员希望根据特殊协议 进行报文过滤，就要指定该协议。 另外，管理员应该注意将相对重要的过滤项放 在靠前的位置。如果管理员设置的命令中，允 许IP地址的语句放在拒绝TCP地址的语句前 面，则后一个语句根本不起作用。但是如果将 这两条语句换一下位置，则在允许该地址上的 其他协议的同时，拒绝了TCP协议。 3、源端口号和目的端口号 源端口号和目的端口号 源端口号可以用几种不同的方法来指定。它可 以显式地指定，使用一个数字或者使用一个可 识别的助记符。例如，我们可以使用80或者 http来指定Web的超文本传输协议。 目的端口号的指定方法与源端口号的指定方法 相同。读者可以使用数字、助记符或者使用操 作符与数字或助记符相结合的格式来指定一个 端口范围。 下面的实例说明了扩展IP访问表中部分关键字 使用方法： access-list 101 permit tcp any host eq smtp access-list 101 permit tcp any host eq www 第一个语句允许来自任何主机的TCP报文到达 特定主机的smtp服务端口(25)；第 二个语句允许任何来自任何主机的TCP报文到 达指定的主机的www或http服务端 口(80)。 4、选项 扩展的IP访问表支持很多选项，如established 该选项只用于TCP协议并且只在TCP通信流的一 个方向上来响应由另一端发起的会话。为了实现 该功能，使用established选项的访问表语句检 查每个TCP报文，以确定报文的ACK或RST位 是否已设置。 例如，考虑如下扩展的IP访问表语句： access-list 101 permit tcp any host established 该语句的作用是：只要报文的ACK和RST位被 设置，该访问表语句就允许来自任何源地址的 TCP报文流到指定的主机。这意味 着主机此前必须发起TCP会话。 5、其他关键字 deny/permit、源地址和通配符屏蔽码、目的地址和通配符屏蔽码以及host/any的使用均与标准IP访问表中的相同。 四、管理和使用访问表 在一个接口上配置访问表需要三个步骤： 在全局配置模式下定义访问表； 指定访问表所应用的接口； 在端口配置模式下定义访问表作用于接口上的方向。 1、指定访问表所应用的接口 一般地，采用interface命令指定一个接口。 例如，为了将访问表应用于串口0，应使用如 下命令指定此端口： 　　interface s0 类似地，为将访问表应用于路由器的以太网端 口上时，假定端口为Ethernet0，则应使用如 下命令来指定此端口： 　interface e0 2、定义访问表作用于接口上的方向 使用下面的指令来指定访问表作用于接口上的 方向。 ip access-group [list number] [in|out] 其中，列表号标识访问表。而关键字in或out则 指明访问表所使用的方向。方向用于指出是在 报文进入或离开路由器接口时对其进行过滤。 举例 对一台路由器的串行0号端口，完成这3个步骤， 可以编写如下代码： access-list 101 deny ICMP any host eq 8 ;阻止以ICMP回波请求的形式产生Ping，从而防 止对主机地址的窥视。 access-list 101 permit ip any host ;允许所有其他的IP流量流向主机 ac