第4章传输协议.ppt

TraceRoute的实现方法 源发站发出UDP 报文，其source port使用随机的任何大于32768的port, destination port 从33434开始依此递增，直至33434 +29 。 同时TTL从1开始依此递增，直至1+29=30。中间的Router送回 ICMP TTL-expired，使得source得知了中间的每一个router，最后的destination送回TTL-expired 和ICMP port unreachable （因为任何主机上都没有应用使用UDP port# 32768这样的高段port#)。 TraceRoute的实现方法 问题： 如果中间某处封掉UDP port32768，导致traceroute不工作； 如果封了ICMP TTL-expired ,会使源发站看不到中间的router； 封掉ICMP port unreachable会使源发站看不到destination. TraceRoute的实现方法 为什么不使用记录源路由来实现？ 许多Route不支持; 记录源路由属于IP包的选项，它在IP包的头部中。而IP包的头部长度有限制（HLEN是4位长，最多允许15个双字），头部本身的字段占了5个，选项的头占一个，最后只剩下了9个双字，也就是只能记录9个中间路由的IP地址。 4.4.7 带端口限制的扩展访问列表 (config)# access-list 101 deny ip any 3 eq 20(config)# access-list 101 permit ip 55 55(config)# access-list 101 deny ip any any(config)# interface e1(config-if)# ip access-group 101 (config-if)# exit (config)# 只允许网络访问网络，但是不允许访问3主机的FTP。 3 利用访问控制列表建立基本类型的防火墙 WEB服务器SMTP服务器DNS服务器 网络 e0 s0 实现目标:1) 只允许外网用户访问指定服务器的指定服务;2) 允许内网用户访问外网上的计算机。 WEB服务器SMTP服务器DNS服务器 网络 e0 s0 Sen(config)#access-list 101 permit tcp any eq 80Sen(config)#access-list 101 permit tcp any eq 23Sen(config)#access-list 101 permit tcp any eq 25 Sen(config)#int s0Sen(config-if)# ip access-group 101 in 只允许外网用户访问指定服务器的指定服务:http 80, telnet 23, smtp 25 访问控制列表将会按顺序地执行一遍，直到找到匹配的信息包为止。如果找到列表的结尾还没有被找到，那么该信息包就会被丢弃掉。 WEB服务器SMTP服务器DNS服务器 网络 e0 s0 Sen(config)#access-list 101 permit tcp any eq 80Sen(config)#access-list 101 permit tcp any eq 23Sen(config)#access-list 101 permit tcp any eq 25 Sen(config)#access-list 101 permit udp any eq 53  Sen(config)#access-list 101 permit tcp eq 53 是ISP指定的DNS服务器，我们允许它对我们的网络进行Zone Transfer（区域传输） WEB服务器SMTP服务器DNS服务器 网络 e0 s0 Sen(config)#access-list 101 permit tcp any eq 80Sen(config)#access-list 101 permit tcp any eq 23Sen(config)#access-list 101 permit tcp any eq 25 Sen(config)#access-list 101 permit udp any eq 53 Sen(config)#access-list 101 permit tcp eq 53 Sen(config)#access-list 101 permit tcp any gt 1023Sen(config)#access-l