acl訪問控制列表(編輯修改稿)

　

【文章內容簡介】 ame ]為Cisco 4000路由器指定媒體類型：router(configif) mediatype 10baset使AUI（默認）失效，改為使用RJ45router(configif) ＾z　更改路由器啟動順序： router(config) boot system Flash IOSFileNamerouter(config) boot system tftp IOSFileName TFTPIPAddressrouter(config) boot system romrouter(config) ＾z修改寄存器數值：router(config) configregister value Cisco出廠默認value＝0x2102，value范圍：0x2100（進入ROM監視器），0x2101（使系統從ROM啟動）， 0x2102～0x210F（使系統從NVRAM啟動）。0x1＝0x2101，從最小位開始改變在ROM監視器中更改寄存器數值： o/r value路由器密碼的恢復： o/r 0x2142 25xx型路由器 或 confreg 0x2142 16xx型路由器router Irouter nrouter enablerouter copy startupconfig runningconfigrouter configure terminalrouter(config) enable secret NewPassWordrouter(config) configregister 0x2102router(config) ＾zrouter copy runningconfig startupconfigrouter reload冷關機，然后再開機并在60秒內按 Ctrl 進入ROM監視器模式配置名稱－主機入口：router(config) ip host SetName [ TCPPortNumber ] IPAddress [ IPAddress 2 ]．．．router(config) ＾z定義DNS主機：router(config) ip nameserver ServerAddress [ ServerAddress 2 ]．．．router(config) ＾z禁用DNS：router(config) no ip domainlookuprouter(config) ＾z配置水平分割：router(configif) ip splithorizonrouter(configif) no ip splithorizonrouter(configif) ＾z　配置靜態路由： router(config) ip route IPAddress SubnetMask [ NextHopAddress 　 LocalOutPort ] [Distace ]Distance范圍：1～255，相當于優先權，越小越好。RIP=120；DSPF=110；IGRP=100；EIGRP=90router(config) ＾z配置缺省路由：router(config) ip defoultnetwork IPAddress 動態缺省路由router(config) ip route [ NextHopAddress 　 LocalOutPort ] [Distace ] 靜態缺省路由router(config) ＾z其它命令：router show versionrouter show runningconfigrouter show startupconfigrouter show Flashrouter show interface [ Type Port ]router show buffersrouter show protocolrouter show memrouter show stacksrouter show processesrouter show cdp entry [ DeviceName ] 顯示指定鄰居三層信息router show cdp neighborsrouter show cdp neighbors detail 顯示所有鄰居三層信息router show ip routerrouter show ipx routerrouter show hostrouter show ip protocolrouter show ip interface Type Portrouter show ipx interface Type Portrouter show ipx serversrouter show ipx trafficrouter show accesslists [ ACLNumber ]router show isdn statusrouter show dialer 查看ISDN撥號信息router show isdn activerouter show framerelay pvcrouter show framerelay maprouter show framerelay lmirouter erase startupconfigrouter reloadrouter setuprouter copy runningconfig startupconfigrouter copy startupconfig runningconfigrouter copy tftp runningconfigrouter copy runningconfig tftprouter debug ipx routing activityrouter debug ipx saprouter debug isdn q921router debug isdn q931router debug dialerrouter debug ip riprouter clear interface bri [ 0 　 1 　 2 ]配置實例：要想使基于時間的ACL生效需要我們配置兩方面的命令：定義時間段及時間范圍。ACL自身的配置，即將詳細的規則添加到ACL中。宣告ACL，將設置好的ACL添加到相應的端口中。網絡環境介紹：我們采用如圖所示的網絡結構。路由器連接了二個網段，,。配置任務：，工作時間不能下載該FTP資源。路由器配置命令：timerange softer定義時間段名稱為softerperiodic weekend 00:00 to 23:59定義具體時間范圍，為每周周末（6，日）的0點到23點59分。當然可以使用periodic weekdays定義工作日或跟星期幾定義具體的周幾。accesslist 101 deny tcp any eq ftp timerange softer設置ACL。accesslist 101 permit ip any any設置ACL，容許其他時間段和其他條件下的正常訪問。int e 1進入E1端口。ip accessgroup 101 out宣告ACL101。基于時間的ACL比較適合于時間段的管理，平時無法訪問。(由于芯片結構的原因，中端產品的QACL配置較復雜，給用戶使用帶來了一定的難度，用服人員維護起來有時也會較為棘手，經常會有用戶和用服人員打電話過來咨詢這方面的配置的使用，下面的配置案例全部取材于6500系列產品在使用中的實際配置，大多是客戶的咨詢，其中一些還曾發生過網上問題。將這些東西進行總結，有利于我們更好的使用6506。【案例1】我想實現辦公網只有個別的機器（），我進行了如下配置，6506是不是不能實現這種需求啊。aclnumber100rule0 permit ip sou des rule1 deny ipinte2/0/1paipin100【問題分析】這是個比較典型的錯誤，錯誤原因就是沒有搞清6506的acl的其作用的順序。在6500系列產品上，是根據規則的下發時間順序來決定起作用的順序的，最近下發的規則我們認為是用戶最新的需求，它會最新起作用。對于上面的配置，rule0先下發，rule1后下發，那么首先其作用的是rule1。這樣會將所有的報文都過濾掉。【解決辦法】將兩條規則的配置順序對調。【案例2】，但卻無法實現，請幫忙檢查一下。aclnumber100matchorderautorule1denytcpsourceporteq135destinationporteq135rule2denytcpsourceporteq135destinationporteq139rule3denytcpsourceporteq135destinationporteq4444rule4denytcpsourceporteq135destinationporteq445rule5denyudpsourceporteqtFTPdestinationporteqtftprule6denytcpsourceporteq1025rule8permitip【問題分析】又是一個比較典型的錯誤，用戶認為要想讓交換機轉發，必須配置類似rule8的規則，其實這是不必要的，6506缺省有一條matchall表項，將交換機配置成轉發模式，再配置一條，則覆蓋了前面的所有規則。【解決辦法】將最后一條規則去掉。【案例3】規則如下，但配置后其他網段也可以訪問了，請問是為什么？aclnumber101matchorderautorule0denyipaclnumber102matchorderauto 。。interfaceEthernet2/0/3descriptionconnectedto5louportlinktypehybridporthybridvlan1taggedporthybridvlan20untaggedporthybridpvidvlan20qospacketfilterinboundipgroup101rule0packetfilterinboundipgroup102rule0packetfilterinboundipgroup103rule0packetfilterinboundipgroup105rule2packetfilterinboundipgroup105rule3packetfilterinboundipgroup105rule5packetfilterinboundipgroup105rule6packetfilterinboundipgroup105rule4【問題分析】由于ACL102的rule0的原因，只要是從這個網段上來的報文都會匹配這個規則的前半部分，它不會匹配上ACL102的rule0，本來希望它匹配到ACL101的rule0，所以ACL101的rule0也不再會被匹配到。那么報文會匹配到最后一條缺省的matchall表項，進行轉發。【解決辦法】 。【案例4】某銀行當每天造成重起6506后，發現有部分網段的用戶無法訪問病毒服務器（），將防火墻配置刪除后再下發問題消除。配置如下：aclnumber122descriptionguokuaclnumber186interfaceEthernet1/0/48descriptionconnect_to_vlan1000routertrafficpriorityoutboundipgroup181dscp46trafficpriorityoutboundipgroup182dscp34trafficpriorityoutboundipgroup183dscp26trafficpriorityoutboundipgroup184dscp18trafficpriorityoutboundipgroup185dscp10trafficpriorityoutboundipgroup186dscp0packetfilterinboundipgroup120notcareforinterfacepacketfilterinboundipgroup121notcareforinterfacepacketfilterinboundipgroup122notcareforinterfacepacketfilterinboundipgroup123notcareforinterfacepacketfilterinboundipgroup124notcareforinterfacepacketfilterinboundipgroup125notcareforinterface【問題分析】當我們做完配置時，軟件對配置進行了相應的記錄，我們使用save命令就可以將這些記錄保存在配置文件中，每次啟動后按照此記錄的順序逐條下發。由于acl的功能和下發順序密切相關，所以軟件上應該能夠保證啟動后的配置順