Cisco 路由器 访问控制列表标准IP访问表

        标准IP访问

表

　　标准IP访问表的基本格式为：

access-list [list number][permit|deny][host/any][sourceaddress][wildcard-mask][log]

下面对标准IP访问表基本格式中的各项参数进行解释：

1.list number---表号范围

标准IP访问表的表号标识是从1到99。

2.permit/deny----允许或拒绝

关键字permit和deny用来表示

满足访问表项的报文是允许通过接口，还是要过滤掉。permit表示

允许报文通过接口，而deny表示匹配标准IP访问表源地址的报文要被丢弃掉。

3.source address----源地址

对于标准的IP访问表，源地址是主机或一组主机的点分十进制表示，如:198.78.46.8。

4.host/any----主机匹配

host和any分别用于指定单个主机和所有主机。host表示一种精确的匹配，其屏蔽码为0.0.0.0。例如，假定我们希望允许从198.78.46.8来的报文，则使用标准的访问控制

列表语句如下:

access-list 1 permit 198.78.46.8 0.0.0.0

如果采用关键字host，则也可以用下面的语句来代替：

access-list 1 permit　host 198.78.46.8

也就是说，host是0.0.0.O通配符屏蔽码的简写。

与此相对照，any是源地证/目标地址0.O.O.O/255.255.255.255的简写。假定我们要拒绝从源地址198.78.46.8来的报文，并且要允许从其他源地址来的报文，标准的IP访问表可以使用下面的语句达到这个目的:

access-list 1 deny host 198.78.46.8

access-list 1 permit any

注意，这两条语句的顺序;访问表语句的处理顺序是由上到下的。如果我们将两个语句顺序颠倒，将permit语句放在deny语句的前面，则我们将不能
过滤来自主机地址198.78.46.8的报文，因为permit语句将允许所有的报文通过。所以说访问表中的语句顺序是很重要的,因为不合理语句顺序将
会在网络中产生安全漏洞，或者使得用户不能很好地利用公司的网络策略。

5.wi1dcardmask------通配符屏蔽码

Cisco访问表功能所支持的通配符屏蔽码与子网屏蔽码的方式是刚好相反的，也就是说，二进制的O表示一个"匹配"条件，二进制的1表示一个"不关
心"条件。假设组织机构拥有一个C类网络198.78.46.0，若不使用子网，则当配置网络中的每一个工作站时，使用于网屏蔽码
255.255.255.O。在这种情况下，1表示一个 "匹配"，而0表示一个"不关心"的条件。因为Cisco通配符屏蔽码与子网屏蔽码是相反的，所
以匹配源网络地址198.78.46.0中的所有报文的通配符屏蔽码为:0.0.O.255。

6.Log----日志记录

log关键字只在IOS版本11.3中存在。如果该关键字用于访问表中，则对那些能够匹配访问表中的permit和deny语句的报文进行日志记录。
日志信息包含访问表号、报文的允许或拒绝、源IP地址以及在显示了第一个匹配以来每5分钟间隔内的报文数目。使用log关键字，会使控制台日志提供测试和
报警两种功能。系统管理员可以使用日志来观察不同活动下的报文匹配情况，从而可以测试不同访问表的设计情况。当其用于报警时，管理员可以察看显示结果，以
定位那些多次尝试活动被拒绝的访问表语句。执行一个访问表语句的多次尝试活动被拒绝，很可能表明有潜在的黑客攻击活动.

 

亚威 Cisco CCIE-BGP分解实验视频2

亚威 Cisco CCIE-BGP分解实验视频1

Cisco CCIE Security 2009 IOS防火墙合集

Cisco CCIE Security 2009最新整套视频合集

dada147 2009 ccnp新版交换视频集合



张sir CCIE R&S v4.0 课程视频总集

张 Sir Cisco R&S 2010 TIEB（网络规格与设备选型 ）合集

秦柯 CCNA Security 最新视频合集

现任明教教主共享TCPIP课程（2008年最新录制）2008.6.18

现任明教教主视频汇总

教主 tcp/ip 视频补档

秦柯 TCPIP Sniffer 视频补档

wolf ipv6 视频 旧版

 

文章转载至http://bbs.net527.cn
  无忧网客联盟

无忧网客联盟主站

无忧linux时代