1、Cisco访问控制列表Cisco访问控制列表(总10页)cisco路由器配置ACL详解如果有人说路由交换设备主要就是路由和交换的功能，仅仅在路由交换数据包时应用的话他一定是个门外汉。如果仅仅为了交换数据包我们使用普通的HUB就能胜任，如果只是使用路由功能我们完全可以选择一台WINDOWS服务器来做远程路由访问配置。实际上路由器和交换机还有一个用途，那就是网络管理，学会通过硬件设备来方便有效的管理网络是每个网络管理员必须掌握的技能。今天我们就为大家简单介绍访问控制列表在CISCO路由交换上的配置方法与命令。什么是ACL 访问控制列表简称为ACL，访问控制列表使用包过滤技术，在路由器上读取第三层及
2、第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持了。访问控制列表使用原则 由于ACL涉及的配置命令很灵活，功能也很强大，所以我们不能只通过一个小小的例子就完全掌握全部ACL的配置。在介绍例子前为大家将ACL设置原则罗列出来，方便各位读者更好的消化ACL知识。 1、最小特权原则只给受控对象完成任务所必须的最小的权限。也就是说被控制的总规则是各个规则的交集，只满足部分条件的是不容许通过规则的。 2、最靠近受控对象原则 所有的网络层访
3、问权限控制。也就是说在检查规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。 3、默认丢弃原则 在CISCO路由交换设备中默认最后一句为ACL中加入了DENY ANY ANY，也就是丢弃所有不符合条件的数据包。这一点要特别注意，虽然我们可以修改这个默认，但未改前一定要引起重视。 由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。因此，要达到端到端的权限控制目的，需要和系统级及应用级的访问权限控制结合使用。分类：标准访问控
4、制列表扩展访问控制列表基于名称的访问控制列表反向访问控制列表基于时间的访问控制列表标准访问列表： 访问控制列表ACL分很多种，不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用的访问控制列表号1到99来创建相应的ACL访问控制列表ACL分很多种，不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表，他是通过使用IP包中的源IP地址进行过滤，使用的访问控制列表号1到99来创建相应的ACL。标准访问控制列表的格式： 标准访问控制列表是最简单的ACL。 它的具体格式如下：access-list ACL号 permit
5、|deny host ip地址 例如：access-list 10 deny host 这句命令是将所有来自地址的数据包丢弃。 当然我们也可以用网段来表示，对某个网段进行过滤。命令如下：access-list 10 deny 通过上面的配置将来自/24的所有计算机数据包进行过滤丢弃。为什么后头的子网掩码表示的是呢这是因为CISCO规定在ACL中用反向掩玛表示子网掩码，反向掩码为的代表他的子网掩码为。 小提示：对于标准访问控制列表来说，默认的命令是HOST，也就是说access-list 10 deny 表示的是拒绝这台主机数据包通讯，可以省去我们输入host命令。标准访问控制列表实例一：网络环
6、境介绍： 我们采用如图所示的网络结构。路由器连接了二个网段，分别为/24，/24。在/24网段中有一台服务器提供WWW服务，IP地址为。 实例1：禁止/24网段中除这台计算机访问/24的计算机。可以正常访问/24。路由器配置命令 access-list 1 permit host 设置ACL，容许的数据包通过。 access-list 1 deny any 设置ACL，阻止其他一切IP地址进行通讯传输。 int e 1 进入E1端口。 ip access-group 1 in 将ACL 1宣告。 经过设置后E1端口就只容许来自这个IP地址的数据包传输出去了。来自其他IP地址的数据包都无法通过E
7、1传输。 小提示：由于CISCO默认添加了DENY ANY的语句在每个ACL中，所以上面的access-list 1 deny any这句命令可以省略。另外在路由器连接网络不多的情况下也可以在E0端口使用ip access-group 1 out命令来宣告，宣告结果和上面最后两句命令效果一样。标准访问控制列表实例二：配置任务：禁止这个计算机对/24网段的访问，而/24中的其他计算机可以正常访问。路由器配置命令： access-list 1 deny host 设置ACL，禁止的数据包通过 access-list 1 permit any 设置ACL，容许其他地址的计算机进行通讯 int e 1
8、 进入E1端口 ip access-group 1 in 将ACL1宣告，同理可以进入E0端口后使用ip access-group 1 out来完成宣告。 配置完毕后除了其他IP地址都可以通过路由器正常通讯，传输数据包。 总结：标准ACL占用路由器资源很少，是一种最基本最简单的访问控制列表格式。应用比较广泛，经常在要求控制级别较低的情况下使用。如果要更加复杂的控制数据包的传输就需要使用扩展访问控制列表了，他可以满足我们到端口级的要求。扩展访问控制列表： 上面我们提到的标准访问控制列表是基于IP地址进行过滤的，是最简单的ACL。那么如果我们希望将过滤细到端口怎么办呢或者希望对数据包的目的地址进行
9、过滤。这时候就需要使用扩展访问控制列表了。使用扩展IP访问列表可以有效的容许用户访问物理LAN而并不容许他使用某个特定服务（例如WWW，FTP等）。扩展访问控制列表使用的ACL号为100到199。扩展访问控制列表的格式： 扩展访问控制列表是一种高级的ACL，配置命令的具体格式如下：access-list ACL号 permit|deny 协议 定义过滤源主机范围 定义过滤源端口 定义过滤目的主机访问 定义过滤目的端口 例如：access-list 101 deny tcp any host eq www这句命令是将所有主机访问这个地址网页服务（WWW）TCP连接的数据包丢弃。 小提示：同样在扩
10、展访问控制列表中也可以定义过滤某个网段，当然和标准访问控制列表一样需要我们使用反向掩码定义IP地址后的子网掩码。扩展访问控制列表的实例：网络环境介绍： 我们采用如图所示的网络结构。路由器连接了二个网段，分别为/24,/24。在/24网段中有一台服务器提供WWW服务，IP地址为。 配置任务：禁止的计算机访问的计算机，包括那台服务器，不过惟独可以访问上的WWW服务，而其他服务不能访问。 路由器配置命令： access-list 101 permit tcp any eq www 设置ACL101，容许源地址为任意IP，目的地址为主机的80端口即WWW服务。由于CISCO默认添加DENY ANY的命
11、令，所以ACL只写此一句即可。 int e 0 进入E1端口 ip access-group 101 out 将ACL101宣告出去 设置完毕后的计算机就无法访问的计算机了，就算是服务器开启了FTP服务也无法访问，惟独可以访问的就是的WWW服务了。而的计算机访问的计算机没有任何问题。 扩展ACL有一个最大的好处就是可以保护服务器，例如很多服务器为了更好的提供服务都是暴露在公网上的，如果所有端口都对外界开放，很容易招来黑客和病毒的攻击，通过扩展ACL可以将除了服务端口以外的其他端口都封锁掉，降低了被攻击的机率。如本例就是仅仅将80端口对外界开放。 总结：扩展ACL功能很强大，他可以控制源IP，目
12、的IP，源端口，目的端口等，能实现相当精细的控制，扩展ACL不仅读取IP包头的源地址/目的地址，还要读取第四层包头中的源端口和目的端口的IP。不过他存在一个缺点，那就是在没有硬件ACL加速的情况下，扩展ACL会消耗大量的路由器CPU资源。所以当使用中低档路由器时应尽量减少扩展ACL的条目数，将其简化为标准ACL或将多条扩展ACL合一是最有效的方法。基于名称的访问控制列表 不管是标准访问控制列表还是扩展访问控制列表都有一个弊端，那就是当设置好ACL的规则后发现其中的某条有问题，希望进行修改或删除的话只能将全部ACL信息都删除。也就是说修改一条或删除一条都会影响到整个ACL列表。这一个缺点影响了我
13、们的工作，为我们带来了繁重的负担。不过我们可以用基于名称的访问控制列表来解决这个问题。一、基于名称的访问控制列表的格式： ip access-list standard|extended ACL名称 例如：ip access-list standard softer就建立了一个名为softer的标准访问控制列表。 二、基于名称的访问控制列表的使用方法： 当我们建立了一个基于名称的访问列表后就可以进入到这个ACL中进行配置了。 例如我们添加三条ACL规则 permit permit permit 如果我们发现第二条命令应该是而不是，如果使用不是基于名称的访问控制列表的话，使用no permit
14、后整个ACL信息都会被删除掉。正是因为使用了基于名称的访问控制列表，我们使用no permit 后第一条和第三条指令依然存在。 总结：如果设置ACL的规则比较多的话，应该使用基于名称的访问控制列表进行管理，这样可以减轻很多后期维护的工作，方便我们随时进行调整ACL规则。反向访问控制列表： 我们使用访问控制列表除了合理管理网络访问以外还有一个更重要的方面，那就是防范病毒，我们可以将平时常见病毒传播使用的端口进行过滤，将使用这些端口的数据包丢弃。这样就可以有效的防范病毒的攻击。 不过即使再科学的访问控制列表规则也可能会因为未知病毒的传播而无效，毕竟未知病毒使用的端口是我们无法估计的，而且随着防范病
15、毒数量的增多会造成访问控制列表规则过多，在一定程度上影响了网络访问的速度。这时我们可以使用反向控制列表来解决以上的问题。一、反向访问控制列表的用途 反向访问控制列表属于ACL的一种高级应用。他可以有效的防范病毒。通过配置反向ACL可以保证AB两个网段的计算机互相PING，A可以PING通B而B不能PING通A。 说得通俗些的话就是传输数据可以分为两个过程，首先是源主机向目的主机发送连接请求和数据，然后是目的主机在双方建立好连接后发送数据给源主机。反向ACL控制的就是上面提到的连接请求。二、反向访问控制列表的格式 反向访问控制列表格式非常简单，只要在配置好的扩展访问列表最后加上establish
16、ed即可。我们还是通过实例为大家讲解。反向访问控制列表配置实例 网络环境介绍： 我们采用如图所示的网络结构。路由器连接了二个网段，分别为/24,/24。在/24网段中的计算机都是服务器，我们通过反向ACL设置保护这些服务器免受来自这个网段的病毒攻击。 配置实例：禁止病毒从/24这个网段传播到/24这个服务器网段。 路由器配置命令： access-list 101 permit tcp established 定义ACL101，容许所有来自网段的计算机访问网段中的计算机，前提是TCP连接已经建立了的。当TCP连接没有建立的话是不容许访问的。 int e 1 进入E1端口 ip access-gr
17、oup 101 out 将ACL101宣告出去 设置完毕后病毒就不会轻易的从传播到的服务器区了。因为病毒要想传播都是主动进行TCP连接的，由于路由器上采用反向ACL禁止了网段的TCP主动连接，因此病毒无法顺利传播。 小提示：检验反向ACL是否顺利配置的一个简单方法就是拿里的一台服务器PING在中的计算机，如果可以PING通的话再用那台计算机PING的服务器，PING不通则说明ACL配置成功。 通过上文配置的反向ACL会出现一个问题，那就是的计算机不能访问服务器的服务了，假如图中提供了WWW服务的话也不能正常访问。解决的方法是在ESTABLISHED那句前头再添加一个扩展ACL规则，例如：acc
18、ess-list 101 permit tcp eq www 这样根据“最靠近受控对象原则”即在检查ACL规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。的计算机就可以正常访问该服务器的WWW服务了，而下面的ESTABLISHED防病毒命令还可以正常生效。基于时间的访问控制列表： 上面我们介绍了标准ACL与扩展ACL，实际上我们只要掌握了这两种访问控制列表就可以应付大部分过滤网络数据包的要求了。不过实际工作中总会有人提出这样或那样的苛刻要求，这时我们还需要掌握一些关于ACL的高级技巧。基于时间的访问控制列表就属于高级技巧之一。一、基于时间
19、的访问控制列表用途： 可能公司会遇到这样的情况，要求上班时间不能上QQ，下班可以上或者平时不能访问某网站只有到了周末可以。对于这种情况仅仅通过发布通知规定是不能彻底杜绝员工非法使用的问题的，这时基于时间的访问控制列表应运而生。二、基于时间的访问控制列表的格式： 基于时间的访问控制列表由两部分组成，第一部分是定义时间段，第二部分是用扩展访问控制列表定义规则。这里我们主要讲解下定义时间段，具体格式如下： time-range 时间段名称 absolute start 小时：分钟 日 月 年 end 小时：分钟 日 月 年 例如：time-range softer absolute start 0:
20、00 1 may 2005 end 12:00 1 june 2005 意思是定义了一个时间段，名称为softer，并且设置了这个时间段的起始时间为2005年5月1日零点,结束时间为2005年6月1日中午12点。我们通过这个时间段和扩展ACL的规则结合就可以指定出针对自己公司时间段开放的基于时间的访问控制列表了。当然我们也可以定义工作日和周末，具体要使用periodic命令。我们将在下面的配置实例中为大家详细介绍。配置实例： 要想使基于时间的ACL生效需要我们配置两方面的命令： 1、定义时间段及时间范围。 2、ACL自身的配置，即将详细的规则添加到ACL中。 3、宣告ACL，将设置好的ACL添
21、加到相应的端口中。 网络环境介绍： 我们采用如图所示的网络结构。路由器连接了二个网段，分别为/24,/24。在/24网段中有一台服务器提供FTP服务，IP地址为。 配置任务：只容许网段的用户在周末访问上的FTP资源，工作时间不能下载该FTP资源。 路由器配置命令： time-range softer 定义时间段名称为softer periodic weekend 00:00 to 23:59 定义具体时间范围，为每周周末（6，日）的0点到23点59分。当然可以使用periodic weekdays定义工作日或跟星期几定义具体的周几。 access-list 101 deny tcp any e
22、q ftp time-range softer 设置ACL，禁止在时间段softer范围内访问的FTP服务。 access-list 101 permit ip any any 设置ACL，容许其他时间段和其他条件下的正常访问。 int e 1 进入E1端口。 ip access-group 101 out 宣告ACL101。 基于时间的ACL比较适合于时间段的管理，通过上面的设置的用户就只能在周末访问服务器提供的FTP资源了，平时无法访问。访问控制列表流量记录 网络管理员就是要能够合理的管理公司的网络，俗话说知己知彼方能百战百胜，所以有效的记录ACL流量信息可以第一时间的了解网络流量和病毒的
23、传播方式。下面这篇文章就为大家简单介绍下如何保存访问控制列表的流量信息，方法就是在扩展ACL规则最后加上LOG命令。实现方法： log 为路由器指定一个日志服务器地址，该地址为 access-list 101 permit tcp any eq www log 在希望监测的扩展ACL最后加上LOG命令，这样就会把满足该条件的信息保存到指定的日志服务器中。 小提示： 如果在扩展ACL最后加上log-input，则不仅会保存流量信息，还会将数据包通过的端口信息也进行保存。 使用LOG记录了满足访问控制列表规则的数据流量就可以完整的查询公司网络哪个地方流量大，哪个地方有病毒了。简单的一句命令就完成了
24、很多专业工具才能完成的工作。活动目录双域控制器DC如何设置DNS-来自Internet（出处不明）2009-04-02 15:48Active Directory域活动目录 如何设置域控制器dns 如何避免DCDNS孤岛 如何设置dns服务器 双域控制器dns配置活动目录双域控制器DC如何设置DNS|dns孤岛问题。客户的网络中部署了两个DC，我给他部署的时候，将网卡上的DNS的设置的主DNS指向了另外一个（即，DC1的z主dns指向DC2的IP），原意是在一个DC启动的时候能够快点。但是，在我的实验室里，我发现指向反而快些。所以我想问的是，域控制器的DNS应该指向自己还是别的域控制器比较好些
25、（前提是DNS就在域控制器上）为什么有的Dc会启动那么慢 请问主域控制器与额外域控制器之间的dns如何设置，比如我dc1（主域控）上设置：? ip：? 子网掩码： ? 网关：? (主)DNS: ? (辅)DNS: dc2（辅域控）上的设置：? ip：子网掩码：? 网关：(主）DNS：（主）? （辅)DNS：我想问的是这样设置dns会好吗还是dns都设置成我希望服务器能尽量少出现问题回答：最好的方法是将dns指向其它dc上的dns，这样netlogon进程在启动的时候，就可以顺利读写dns记录。因为netlogon启动要比dns服务启动快，如果将dns指向自己，那么netlogon在启动的时候就
26、会报错。即便在注册表中调整了服务启动顺序，在Windows server 2003上仍旧会不时出现这种问题。其二，将dns指向自己将可能出现 dns 孤岛，这个问题请参考当域控制器将 域指向它自身时 DNS 服务器变为孤岛关于dns client的最佳实践 那么您的举例中，应该这样配置：DC1 primary dns:secondary dns:DC2 primary dns:secondary dns:更多活动目录域控制器DC上的DNS配置文章请参考DNS服务器Server内网多子域中复制架构设置问题活动目录域Vista-专家博 .在活动目录域AD中如何配置DNS复制 活动目录Seo2008Vista子域DNS如何创建设置2级DNS server|委派及转发活动目录域SeoVista如何安装额外域控制器辅助域控制器dns|活动目录域dns配置安装活动目录 .&ie=utf-8&newwindow=1&q=site%-gnaw0725DNS服务和AD的相互依赖使得DC在启动速度上会收到一定的影响，通常我们建议用户将DC间的DNS互相指向对方以获得最佳性能。DC上的DNS服务问题也可以通过将DNS设置为独立的（而不是AD集成的）来缓解，不过这会损失AD继承DNS的很多优点，所以如果不是特殊情况我们不建议用户这样做。
