warm77
warm77

CCNA学习笔记（五） 安全（访问控制列表）

访问控制列表(ACL)实例详解

引言

这篇文章介绍访问控制列表的作用；分别介绍标准、扩展、命名访问控制列表的配置和需要注意的问题。文章后半部分会实例演示一些高级访问控制列表的配置，包括动态、反射、和基于时间的访问控制列表（本文中所有配置都可以在GNS3中完成，使用的路由ios为c3640）。

文章目录

  • 0×1.ACL概述
  • a.ACL的作用
  • b.ACL的工作流程
  • c.通配符掩码在ACL中的作用
  • 0×2.标准ACL配置
  • a.如何配置标准ACL
  • b.如何编辑标准ACL
  • c.标准ACL放置的位置
  • d.如何配置标准命名ACL
  • 0×3.扩展ACL配置
  • a.如何配置扩展ACL
  • b.扩展ACL放置的位置
  • c.如何编辑扩展ACL
  • d.扩展ACL中的established
  • e.如何配置扩展命名ACL
  • 0×4.配置ACL需要注意的事项
  • a.配置扩展ACL允许RIP协议
  • b.配置扩展ACL允许EIGRP协议
  • c.配置扩展ACL允许OSPF协议
  • 0×5.高级ACL配置
  • a.如何配置反射ACL
  • b.如何配置动态ACL
  • c.如何配置基于时间的ACL

0×1.ACL概述

ACL（Access Control List，访问控制列表），是一系列运用到路由器接口的指令列表，路由根据ACL中指定的条件对经过路由器接口的数据包进行检查。本篇文章仅讨论IP的访问控制列表，针对IP协议在路由的每个端口可以创建两个ACL：一个用于过滤进入端口的数据，另外一个用于过滤流出端口的数据。

ACL指令的放置顺序是很重要的，Cisco的IOS软件，按照ACL中指令的顺序依次检查数据包是否满足某一个指令条件，当检测到某个指令满足条件时就执行该指令规定的动作，并且不会再检测后面的指令条件。

a.ACL的作用

ACL的作用大致分为下面这几点：

限制网络流量，提高网络性能。
提供数据流控制。
为网络访问提供基本的安全层。
决定转发或阻止哪些类型的数据流。

b.ACL的工作流程

下图为ACL的工作流程图，当路由器的进入方向的接口收到一个分组的时候，首先检查它是否是可路由的，如果不可路由（比如并非是发往本路由的分组），则直接丢弃。

如果可路由，接下来判断进入方向的接口是否配置了ACL，如果没有配置进入方向的ACL，则直接查询路由表，然后根据路由表中找到的端口准备往外转发；如果配置了进入方向的ACL则检查指令组是否允许该分组通过，不允许则丢弃，允许则查询路由表，选择外出接口准备往外转发，从这里可以看出入站的ACL检查是在查询路由表之前执行的。

外出接口选择好之后，再检查外出接口上有没有配置ACL，如果配置了ACL则检查ACL指令组是否允许，没有配置ACL则直接转发。

CCNA学习笔记（五） 安全（访问控制列表）_第1张图片

在ACL流程图中的"ACL指令组"可能包含多条语句，"ACL指令组"的工作流程图如下：

CCNA学习笔记（五） 安全（访问控制列表）_第2张图片

"ACL指令组"是逐条执行的，在逐条执行的过程中，只要发现有一条匹配，则使用那一条规定动作确定允许或拒绝（比如执行第一条的时候就匹配了，那么就使用第一条规定的动作允许或拒绝，后面的语句就不会被执行了），如果所有指令都不匹配，默认的动作是拒绝。

c.通配符掩码在ACL中的作用

路由器使用通配符掩码(Wildcard Masking)与源或目标地址一起来分辨匹配的地址范围，在访问控制列表中，将通配符掩码中的位设置成1表示忽略IP地址中对应的位，设置成0表示必须精确匹配IP地址中对应的位，下面举几个浅显易懂的例子：

192.168.1.0 0.0.0.255

这个例子中，通配符掩码是0.0.0.255，前面24位是0，最后8位是1，也就是前面24位必须精确匹配，最后8位是什么都没关系。将这个通配符和前面的IP地址192.168.1.0结合起来意思就是,匹配从192.168.1.0到192.168.1.255的所有IP地址（这和OSPF或EIGRP中的反掩码是一个道理）。

192.168.0.0 0.0.255.255

匹配的IP地址范围是192.168.0.0-192.168.255.255。

192.168.16.0 0.0.7.255

这个例子中，通配符掩码的第三个数是7，IP地址的第三位是16，对他们进行分解转化成二进制；
7 = 00000 111
16 = 00010 000
前面说过，通配符掩码中0的部分必须精确匹配，1的部分什么都可以，也就是说16的二进制表示法前面的5位（00010）必须精确匹配，最后3位的取值范围可以是(000-111)，那么就是；
00010 000-00010 111,转化成十进制就是16-23。
所以这条规则匹配的IP地址范围是"192.168.16.0-192.168.23.255"。

192.168.1.0 0.0.0.254

匹配192.168.1.0中所有偶数IP地址。

192.168.1.1 0.0.0.254

匹配192.168.1.0中所有奇数IP地址。

上面这些例子说明了怎么通过规则中的通配符掩码确定匹配的IP地址范围，如果一个数据包中包含了源IP地址"192.168.0.2"到达路由器，假设路由器上的访问控制列表语句中包含"192.168.0.0 0.0.0.255"，路由器按照下面的步骤匹配这个IP地址：

1）使用访问控制列表中的地址对"192.168.0.0 0.0.0.255"执行逻辑或操作（192.168.0.0和0.0.0.255执行逻辑或运算），得到结果192.168.0.255。
2）用地址对中的通配符掩码（0.0.0.255）和数据包头中的IP（192.168.0.2）执行逻辑或操作，结果为192.168.0.255。
3）将得到的两个结果相减，如果结果是0则匹配，如果结果非0,则说明不匹配。对接下来的ACL条目都重复以上三步相同的操作。

在IP访问控制列表地址掩码对中，有两个关键词可以用来省略一些输出：

"any"：它可以用来代替地址掩码对"0.0.0.0 255.255.255.255"，该地址掩码对匹配任何IP地址。
"host"：它可以用来代替通配符掩码"0.0.0.0"，该通配符掩码只能匹配一个IP地址。比如"host 192.168.1.1"等同于地址对"192.168.1.1 0.0.0.0"。在标准的访问控制列表中，如果仅匹配一个IP地址，可以省略关键字host，也就是说在标准访问控制列表条目中，没有通配符掩码，说明掩码是"0.0.0.0"；而在扩展的访问控制列表中不能省略host关键字。

0×2.标准ACL配置

这一部分的实验全部在GNS3中完成，使用的路由ios为c3640。

a.如何配置标准ACL

首先配置下面的拓扑（图3），保证全网可以互通：

CCNA学习笔记（五） 安全（访问控制列表）_第3张图片

R1配置：

1 R1(config)#ints 0/0
2 R1(config-if)#ipadd12.1.1.1 255.255.255.0
3 R1(config-if)#noshut
4 R1(config)#iproute0.0.0.0 0.0.0.0 12.1.1.2
5 R1(config)#end

R2配置：

1 R2(config-if)#ints 0/1
2 R2(config-if)#ipadd23.1.1.2 255.255.255.0
3 R2(config-if)#noshut
4 R2(config-if)#ints 0/0
5 R2(config-if)#ipadd12.1.1.2 255.255.255.0
6 R2(config-if)#noshut
7 R2(config-if)#end

R3配置：

1 R3(config)#ints 0/1
2 R3(config-if)#ipadd23.1.1.3 255.255.255.0
3 R3(config-if)#noshut
4 R3(config-if)#exit
5 R3(config)#iproute0.0.0.0 0.0.0.0 23.1.1.2
6 R3(config)#end

完成基本连通性的配置后，下面来创建和应用标准的访问控制列表。

访问控制列表是在路由器的全局配置模式输入的，增加一条标准的访问控制列表语法格式如下：

01 Router(config)#access-list{ACL的编号} {deny|permint} {source[source-wildcard]|any} [log]
02  
03 /*
04  * 其中大括号里面的类容表示必选，中括号里面的类容表示可选，
05  *
06  * {ACL的编号}:
07  * 标准ACL的编号范围是1-99之间的整数，
08  * 扩展ACL的编号是100-199之间的整数。
09  *
10  * {deny|permint}:
11  * 指定匹配这条规则的数据是允许（permint）还是拒绝（deny），
12  *
13  * {source[source-wildcard]|any} :
14  * 指定了一个IP地址范围，使用地址对的形式，比如,
15  * "192.168.1.0 0.0.0.255","host 192.168.1.1"或者"any"。
16  * 这个参数在前面的"通配符掩码在ACL中的作用"中详细介绍过。
17  *
18  * [log]:可选参数，表示要不要将匹配的条目显示在控制台输出中，
19  * 或者输出到特定的服务器。
20  */

在R3上创建一条标准ACL，禁止IP（12.1.1.1）的访问：

R3配置：

01 /*
02  * 创建标准的ACL，编号是1，第一个条目是阻止12.1.1.1，
03  * 第二个条目是允许任何IP地址的访问，
04  * 两个条目的顺序很重要，不能颠倒，如果将允许任何IP地址放在第一条，
05  * 那么由于每个IP地址都能匹配第一条，所以第二条将永远不会被执行到。
06  * 这个ACL的第一条还可以简写成"access-list 1 deny 12.1.1.1",
07  * 这是标准ACL的简写规则，在扩展ACL中不能省略关键字host。
08  */
09 R3(config)#access-list1deny host 12.1.1.1
10 R3(config)#access-list1permit any
11  
12 /*
13  * 将编号是1的标准ACL应用到路由器的s0/1接口上，
14  * 方向是in，即进入的方向。
15  */
16 R3(config)#ints 0/1
17 R3(config-if)#ipaccess-group 1 in
18 R3(config-if)#end
19  
20 /*在R1上pingR3测试*/
21 R1#ping23.1.1.3
22  
23 U.U.U  /*ping不通了*/

这条标准的ACL仅仅是禁止了一个IP地址12.1.1.1，如果R1上面还有其他接口，使用高级ping命令让其他接口的IP地址作为源，去ping R3的s0/1接口IP，还是可以ping通的。

下面看一下如何编辑这个创建好了的标准ACL。

b.如何编辑标准ACL

完成上面的配置后，可以在R3上使用下面的命令来查看ACL条目：

1 /*
2  * "Standard IP access list 1"ACL类型和编号，
3  * 每一行是一个条目,其中"10"是行号，
4  * 后面是执行的操作，（22 matches）表示匹配的次数。
5  */
6 R3#showaccess-lists
7 Standard IP accesslist 1
8     10 deny   12.1.1.1 (22 matches)
9     20 permit any (15 matches)

可以使用下面的命令来删除标准ACL中对应的条目：

1 /*首先进入标准ACL 1的编辑模式*/
2 R3(config)#ipaccess-liststandard 1
3 R3(config-std-nacl)#no10  /*删除行号是10的这一行*/
4 R3(config-std-nacl)#end
5  
6 /*再次查看，发现只剩下行号是20的了*/
7 R3#showaccess-lists
8 Standard IP accesslist 1
9     20 permit any (30 matches)

注意，这种删除方法只能适用于Cisco的IOS 12.0之后的版本（包括12.0），有个简单的判断方法，如果使用"show access-lists"看不到每个条目前面的行号，就说明当前路由器的IOS版本不支持这种方法，也同样不支持接下来要介绍到的"标准命名ACL"。

标准ACL配置完成后，如果不需要了可以用下面的方法来删除ACL：

1 /*删除编号是1的标准ACL*/
2 R3(config)#noaccess-list1
3  
4 /*删除在接口上的调用*/
5 R3(config)#ints 0/1
6 R3(config-if)#noipaccess-group 1 in
7 R3(config-if)#end

c.标准ACL放置的位置

标准的ACL只能对源地址进行控制，如下图（图4）所示，将R1的s0/0接口作为源地址，R3的s0/1作为目的地址，数据一共要经过四个接口。

CCNA学习笔记（五） 安全（访问控制列表）_第4张图片

如果将前面创建的ACL 1配置在R1的s0/0上，方向是Out，结果将不起作用，因为ACL仅对穿越流量起作用，对本路由器起源的流量不起作用。

如果将前面创建的ACL 1配置在R2的s0/0上，方向是In，结果起作用，R1不能访问R3了，但同时R1也不能访问R2了，因为标准ACL只针对源地址进行过滤。

如果将前面创建的ACL 1配置在R2的s0/1上,方向是Out，结果正确，R1能正常访问R2，但是不能访问R3。

如果将前面创建的ACL 1配置在R3的s0/1上,方向是In，结果同样正确。

经过上面四步的分析，可以得出这样的结论，标准访问控制列表要尽可能的应用在靠近目标端，因为标准ACL只针对源地址进行过滤。

b.如何配置标准命名ACL

可以使用字符来代替数字标识ACL，称为命名ACL，命名ACL与Cisco IOS 11.2以前的版本不兼容，现在一般都是12.0以后的版本。另外，不能为多个ACL使用相同的名字，不能使用相同的名字来命名不同类型的ACL，比如，不能使用相同的名字来命名一个标准ACL和一个扩展ACL。

下面使用标准命名ACL来实现拒绝R1访问R3：

01 /*"deny-r1"就是这条标准ACL的自定义名称*/
02 R3(config)#ipaccess-liststandard deny-r1
03 R3(config-std-nacl)#deny12.1.1.1 /*第一条规则，阻止12.1.1.1*/
04 R3(config-std-nacl)#permitany    /*第二条规则允许所有IP*/
05 R3(config-std-nacl)#exit
06 R3(config)#ints 0/1   /*在R3的s0/1接口上调用它*/
07 R3(config-if)#ipaccess-groupdeny-r1 in
08 R3(config-if)#end
09  
10 /*查看ACL*/
11 R3#showaccess-lists
12 Standard IP accesslistdeny-r1
13     10 deny   12.1.1.1
14     20 permit any

标准命名的ACL也可以使用标准ACL里面的编辑语句来编辑它：

01 /*删除编号是20的条目*/
02 R3(config)#ipaccess-liststandard deny-r1
03 R3(config-std-nacl)#no20
04 R3(config-std-nacl)#end
05  
06 /*再次查看，发现只剩下一条ACL条目了*/
07 R3#showaccess-lists
08 Standard IP accesslistdeny-r1
09     10 deny   12.1.1.1
10  
11 /*可以使用下面的方法删除这个标准命名ACL，并在接口上删除对它的调用*/
12 R3#conft
13 R3(config)#noipaccess-list standard deny-r1
14 R3(config)#ints 0/1
15 R3(config-if)#noipaccess-groupdeny-r1 in
16 R3(config-if)#end

0×3.扩展ACL配置

a.如何配置扩展ACL

配置扩展ACL也分为两个步骤——创建ACL和在接口下调用；扩展ACL的结尾也是隐式的拒绝所有。下面是创建扩展ACL的基本格式：

01 Router(config)#access-listaccess-list-number {deny|permit|remark} protocolsource source-wildcard [operator operand] [port port-name or name]destinationdestination-wildcard [operator operand] [port port-name or name] [established]
02  
03 /*
04  * "access-list-number"是扩展ACL编号，范围从100-199。
05  *
06  * {deny|permit|remark} 是这条ACL条目执行的操作，拒绝|允许|注释，
07  * 其中的"remark"是添加注释，相当于程序设计中的注释语句。
08  *
09  * "protocol"代表协议，可以用具体的协议名称代替，比如TCP、UDP、ICMP、IP等。
10  *
11  * "source source-wildcard",表示源地址以及通配符掩码。
12  *
13  * "destination destination-wildcard",表示目的地址以及通配符掩码。
14  *
15  * "[port port-name or name]"表示端口号或名称，输入telnet和23的效果是一样的。
16  *
17  * "[established]"在后面的"扩展ACL中的established"中介绍。
18  */

下面举个例子，还是使用上面的图三作为拓扑图，配置扩展ACL拒绝R1去往R3的Telnet通信。

在R2上配置扩展ACL然后调用它：

01 /*
02  * 扩展ACL号为100，第一条命令拒绝tcp类型的连接，
03  * 源主机是12.1.1.1，没有配置源端口，默认就匹配所有端口，
04  * 目的主机是23.1.1.3，目的端口是23，即telnet。
05  */
06 R2(config)#access-list100deny tcp host12.1.1.1 host 23.1.1.3 eq telnet
07  
08 /*第二条命令允许所有IP通信，源和目的是任意主机。*/
09 R2(config)#access-list100permit ip any any
10  
11 /*在R2的s0/0接口上调用它*/
12 R2(config)#ints 0/0
13 R2(config-if)#ipaccess-group 100 in
14 R2(config-if)#end

在R3上配置VTY：

1 /*"www.qingsword.com"被配置成特权密码与vty登陆密码*/
2 R3(config)#enablesecretwww.qingsword.com
3 R3(config)#line vty0 4
4 R3(config-line)#passwordwww.qingsword.com
5 R3(config-line)#login
6 R3(config-line)#end

测试在R1上telnet R3：

1 R1#telnet 23.1.1.3
2 Trying 23.1.1.3 ...
3 % Destination unreachable; gateway or host down
4 /*发现无法连接上，说明ACL起作用了*/

这里需要注意，因为这个实验是在前面的标准ACL实验的基础上进行的，请确保静态路由配置无误，全网能够互相通信。如果之前没有删除标准ACL请先删除它，之后再进行扩展ACL的实验。

那么为什么要将扩展ACL配置在R2上呢？下面这一部分将介绍扩展ACL推荐放置的位置。

b.扩展ACL放置的位置

利用上面的图4来进行说明，R1的12.1.1.1是源地址，R3的23.1.1.3是目的地址：

如果将扩展ACL 100放在R1的s0/0接口上，方向是Out，结果将不起作用，前面介绍过，ACL只对穿越流量起作用，对本地起源的流量不起作用。
如果将扩展ACL 100放在R2的s0/0接口上，方向是In，结果正确，并无其他影响。
如果将扩展ACL 100放在R2的s0/1接口上，方向是Out，结果正确，并无其他影响。
如果将扩展ACL 100放在R3的s0/1接口上，方向是In，结果正确，并无其他影响。

经过上面四步的分析，因为扩展ACL是可以根据源和目的地址以及端口进行过滤，放在R2和R3的任何接口上都不会影响其他数据流量。但有以下两点需要注意：

放在R2的s0/1接口，方向是Out，根据前面的"ACL工作流程示意图"可以知道，路由器会先处理这个数据，并且查询路由表准备转发，转发的时候发现在转发端口上面调用的扩展ACL 100中，有一个条目匹配，并且动作是阻止，这个数据在这个时候被丢弃，这就浪费了R2的CPU资源（需要查询路由表）。
放在R3的s0/1接口，方向是In，不但会因为一个最终会被丢弃的数据浪费R2和R3的CPU资源，还会造成带宽资源的浪费。

从上面的分析得出结论，扩展ACL应该尽可能的放在靠近源端，这样可以使得一些非法的数据流尽早的被丢弃。所以在上面的实例中，扩展ACL 100被放置在R2的s0/0接口上，方向是In，这是最靠近源的端口。

c.如何编辑扩展ACL

这一部分的命令适用于扩展ACL以及扩展命名ACL，下面介绍如何查看、添加、删除、更改扩展ACL：

在R2的ACL 100中，只是阻止了R1对R3的telnet访问，R1此时是可以ping通R3的，可以使用下面的命令禁止R1 ping R3的23.1.1.3：

01 /*首先查看R2上面的扩展ACL*/
02 R2#showaccess-lists
03 Extended IP accesslist 100
04     10 deny tcp host12.1.1.1host 23.1.1.3 eq telnet (3 matches)
05     20 permit ip any any
06  
07 /*在R1上测试Ping*/
08 R1#ping23.1.1.3
09  
10 !!!!!  /*可以ping通*/
11  
12 /*
13  * 在R2上添加ACL条目到ACL 100，让R1无法ping通R3，
14  * 进入ACL 100编辑模式。
15  */
16 R2(config)#ipaccess-listextended 100
17  
18 /*
19  * 添加一条新的规则，阻止ICMP协议，
20  * 源地址是12.1.1.1，目的地址是23.1.1.3。
21  */
22 R2(config-ext-nacl)#denyicmphost 12.1.1.1 host23.1.1.3
23 R2(config-ext-nacl)#end
24  
25 /*
26  * 查看ACL 100，发现了一个问题，
27  * 新添加的ACL条目被增加到了ACL的末尾，
28  * 而在此之前有一条"permit ip any any",
29  * 这样，新增加的那个条目永远也别想执行到，
30  * 这个时候在R1上pingR3的23.1.1.3任然能够Ping通。
31  */
32 R2#showaccess-list
33 Extended IP accesslist 100
34     10 deny tcp host12.1.1.1host 23.1.1.3 eq telnet (3 matches)
35     20 permit ip any any (5 matches)
36     30 deny icmp host12.1.1.1host 23.1.1.3
37  
38 /*先用下面的命令删除最新添加的ACL条目*/
39 R2(config)#ipaccess-listextended 100
40 R2(config-ext-nacl)#no30
41  
42 /*
43  * 然后用这条命令在中间插入一条ACL条目，
44  * 前面的数字15是条目编号，可以是10-20之间的任何整数，
45  * 这样这条条目就会被自动插入到ACL100的10到20之间。
46  */
47 R2(config-ext-nacl)#15 denyicmphost 12.1.1.1 host23.1.1.3
48 R2(config-ext-nacl)#end
49  
50 /*查看一下，发现果然插入到了10-20之间,这样R1就Ping不了R3了。*/
51 R2#showaccess-lists
52 Extended IP accesslist 100
53     10 deny tcp host12.1.1.1host 23.1.1.3 eq telnet (3 matches)
54     15 deny icmp host12.1.1.1host 23.1.1.3
55     20 permit ip any any (5 matches)
56  
57 /*从这个例子可以看出，ACL编号设计从10开始增量是10，是有其道理的，这为我们留下了足够的空间去插入新的ACL条目*/

如果大家觉得ACL条目前面的编号从10开始不怎么习惯，可以使用下面的命令自己调整起始编号和编号的递增方式：

01 /*
02  * 100是ACL的编号，也可以是一个命名扩展ACL的字符串名称，
03  * 1代表起始的数字，5代表增量（每个条目编号增加5）。
04  */
05 R2(config)#ipaccess-listresequence 100 1 5
06 R2(config)#end
07  
08 /*查看ACL，条目编号就变成1、6、11了*/
09 R2#showaccess-lists
10 Extended IP accesslist 100
11     1 deny tcp host12.1.1.1host 23.1.1.3 eq telnet (3 matches)
12     6 deny icmp host12.1.1.1host 23.1.1.3
13     11 permit ip any any (5 matches)

d.扩展ACL中的established

在扩展ACL中有一个可选参数"established"，可以用作TCP的单向访问控制。这种设计基于TCP的三次握手，在TCP会话中初始的数据包只有Sequence（序列号）而没有ACK（确认号），如果受保护的网络主动发起对外部网络的TCP访问，外部返回的数据将携带TCP ACK参数，这样的数据将被允许，而外部主动发起的对内部受保护网络的访问则不会被允许，因为只有序列号没有确认号。

下面还是使用本文上面的拓扑图图3来完成这一实验演示，首先配置各路由的IP以及静态路由，让全网都可以互通，这一步这里就不重复了，实验的目的是在R1和R3上面都配置VTY，只允许R3对R1的telnet访问，不允许R1对R3的telnet访问；

R1、R3配置VTY：

01 /*R1上面配置VTY*/
02 R1(config)#enablesecretwww.qingsword.com
03 R1(config)#line vty0 4
04 R1(config-line)#passwww.qingsword.com
05 R1(config-line)#login
06 R1(config-line)#end
07  
08 /*R3上面配置VTY*/
09 R3(config)#enablesecretwww.qingsword.com
10 R3(config)#line vty0 4
11 R3(config-line)#passwww.qingsword.com
12 R3(config-line)#login
13 R3(config-line)#end

R2上面配置ACL：

01 /*
02  * 末尾添加established参数，
03  * 注意，因为是允许R3访问R1的telnet，
04  * 源和目的地址以及端口别搞错了，
05  * 这个访问列表是当R3的telnet发到R1，R1回复的TCP中携带ACK号才匹配的，
06  * 所以源应该是R1，源端口应该是R1的telnet端口23，
07  * 目的端口是R3上的一个随机端口，没有写出来就是匹配所有端口。
08  */
09 R2(config)#access-list100permit tcp host12.1.1.1 eq telnethost 23.1.1.3 established
10 R2(config)#ints 0/1
11 /*在接口上调用，注意方向是Out*/
12 R2(config-if)#ipaccess-group 100 out
13 R2(config-if)#end
14  
15 /*有些朋友可能觉得这个acl配置在R2的s0/0接口，方向是in，效果也是一样的，但如果那样配置，R1不仅仅不能访问R3，就连R2也不能访问了*/

下面测试R1 telnet R3和R3 telnet R1：

01 R1#telnet 23.1.1.3
02 Trying 23.1.1.3 ...
03 % Destination unreachable; gateway or host down
04 /*
05  * 发现连接不上，根据前面的分析可以知道，
06  * 因为R1始发的TCP连接只有序列号，在经过R2的s0/1接口准备往外发送的时候，
07  * 被ACL拦截了下来。
08  */
09  
10 /*可以看到拦截记录*/
11 R2#showaccess-lists
12 Extended IP accesslist 100
13     10 permit tcp host12.1.1.1 eq telnethost 23.1.1.3 established (25 matches)
14  
15 /*R3 telnet R1没有任何问题*/
16 R3#telnet 12.1.1.1
17 Trying 12.1.1.1 ... Open

此时不论是R1 ping R3还是R3 ping R1结果都是Ping不通的，因为ACL 100中没有匹配ICMP的条目，最后默认的操作是拒绝所有没有条目匹配的数据，可以使用下面的命令添加一条条目允许R3 ping R1，R1不能Ping R3：

01 /*进入ACL 100的编辑模式*/
02 R2(config)#ipaccess-listextended 100
03  
04 /*添加一条命令允许R1对R3的ICMP的应答包*/
05 R2(config-ext-nacl)#permiticmphost 12.1.1.1 host23.1.1.3 echo-reply
06 R2(config-ext-nacl)#end
07  
08 /*查看一下*/
09 R2#showaccess-lists
10 Extended IP accesslist 100
11     10 permit tcp host12.1.1.1 eq telnethost 23.1.1.3 established (25 matches)
12     20 permit icmp host12.1.1.1host 23.1.1.3 echo-reply
13 R2#
14  
15 /*测试ping*/
16 R3#ping12.1.1.1
17  
18 !!!!! /*R3 pingR1成功了*/
19  
20  
21 R1#ping23.1.1.3
22  
23 U.U.U  /*R1 ping不通R3*/

在实际应用中很少使用这一参数，因为established只能用于基于TCP的应用，对于UDP、ICMP等协议不起作用，稍后的高级ACL配置中"如何配置反射ACL"将会介绍一种高级版本用来解决这一缺陷。

e.如何配置扩展命名ACL

配置扩展命名ACL和标准命名ACL使用的方法类似，下面就简单的使用扩展命名ACL来实现上面"established"中的配置：

01 /*首先删除之前配置好的ACL 100*/
02 R2(config)#noaccess-list100
03 R2(config)#ints 0/1
04 R2(config-if)#noipaccess-group 100 out
05 R2(config-if)#exit
06  
07 /*配置扩展命名ACL，名称为tcp-firewall*/
08 R2(config)#ipaccess-listextended tcp-firewall
09 R2(config-ext-nacl)#permittcphost 12.1.1.1 eq 23 host 23.1.1.3 established
10 R2(config-ext-nacl)#permiticmphost 12.1.1.1 host23.1.1.3 echo-reply
11 R2(config-ext-nacl)#exit
12  
13 /*在接口上调用*/
14 R2(config)#ints 0/1
15 R2(config-if)#ipaccess-group tcp-firewall out
16 R2(config-if)#end
17  
18 /*查看*/
19 R2#showaccess-lists
20 Extended IP accesslist tcp-firewall
21     10 permit tcp host12.1.1.1 eq telnethost 23.1.1.3 established
22     20 permit icmp host12.1.1.1host 23.1.1.3 echo-reply

0×4.配置ACL需要注意的事项

下面是应用访问控制列表需要注意的一些事情：

访问控制列表只对穿越流量起作用。
标准列表应该尽可能应用在靠近目标端。
扩展访问列表应该尽可能应用在靠近源端。
ACL条目的放置顺序很重要，如果两条语句放置的前后都不影响结果，一般将较多使用的那条放在前面，这样可以减少路由器的查找时间。
IP访问控制列表中最后隐含为拒绝所有，没有匹配任何语句的流量将被拒绝。
同一个访问控制列表可以应用在同一个路由的不同接口上；对于每个协议的每个接口的每个方向，只能提供一个访问控制列表。
没有携带条目号对ACL的编辑，比如添加操作，条目默认是被添加在ACL的最后面。

a.配置扩展ACL允许RIP协议

配置ACL时往往容易忽略路由协议，如果一个网络中运行的是RIPv1协议，在路由器上使用了ACL，ACL条目中没有能够匹配RIP数据流的条目，默认的操作是拒绝，这样就会影响RIP协议的正常工作，可以在ACL的第一条添加下面的语句，允许RIPv1协议的数据流通过：

1 Router(config)#access-list100permit udp any host255.255.255.255 eqrip

如果一个网络中运行的是RIPv2协议，则可以使用下面这条语句允许RIPv2的流量：

1 Router(config)#access-list100permit udp any host224.0.0.9 eqrip

b.配置扩展ACL允许EIGRP协议

如果一个网络中运行的是EIGRP协议，可以使用下面这条语句允许EIGRP的流量：

1 Router(config)#access-list100permit eigrp any any

c.配置扩展ACL允许OSPF协议

如果一个网络中运行的是OSPF协议，可以使用下面这条语句允许OSPF的流量：

1 Router(config)#access-list100permit ospf any any

0×5.高级ACL配置

a.如何配置反射ACL

注意：Cisco IOS只支持使用扩展的命名访问控制列表来定义反射列表。

前面介绍的ACL参数中携带established能够起到单向访问控制的目的，但是这种使用方法只能针对TCP的流量，而反射ACL能够提供真正意义上的单向访问控制，下图（图5）描述了反射ACL的工作方式：

CCNA学习笔记（五） 安全（访问控制列表）_第5张图片

上图的上半部分，当内部发起一个会话（基于IP、ICMP、TCP、UDP都可以），并将数据发给外部网络时，反射ACL被触发并且生成一个新的临时条目，如果从外部返回的数据符合临时条目，则允许进入内部网络。

如果是一个始发于外部的会话，在边界路由上不会有临时条目的记录，边界路由上的反射ACL将阻止这样的流量进入内部网络。

临时条目的生成依据的原则：协议(protocol)保持不变，Source-IP和Destination-IP严格对调，Source-Port和Destination-Port严格对调；对于ICMP协议，会根据协议类型号进行匹配。

下面就来实际的配置一下反射ACL（使用上面的图5），让R3可以远程telnet R1，R1不能telnet R3：

步骤1，路由器各接口IP如图5所示，在R1和R3上面配置静态路由，让全网互通，这些配置就不贴出来了，请自己完成；

步骤2，在R1和R3上分别配置远程登录VTY；

01 R1(config)#enablesecretwww.qingsword.com
02 R1(config)#line vty0 4
03 R1(config-line)#passwordwww.qingsword.com
04 R1(config-line)#login
05 R1(config-line)#end
06  
07 R3(config)#enablesecretwww.qingsword.com
08 R3(config)#line vty0 4
09 R3(config-line)#passwww.qingsword.com
10 R3(config-line)#login
11 R3(config-line)#end

步骤3，在R2上创建反射ACL；

01 /*
02  * 创建扩展命名ACL，这个ACL将在R2的s0/0接口的出方向上调用，
03  * "permit ip any any reflect out-ip",这个条目的意思是，
04  * 允许所有IP流量，并对外出的IP流量进行反射，
05  * 反射生成的临时ACL被保存到out-ip列表中。
06  */
07 R2(config)#ipaccess-listextended out-acl
08 R2(config-ext-nacl)#permitipany any reflect out-ip
09 R2(config-ext-nacl)#exit
10  
11 /*
12  * 创建另外一个扩展命名ACL，这个ACL的作用是对进入的流量做评估，
13  * "evaluate out-ip"当有流量进入的时候，使用这个临时的ACL评估。
14  */
15 R2(config)#ipaccess-listextended in-acl
16 R2(config-ext-nacl)#evaluate out-ip
17 R2(config-ext-nacl)#exit
18  
19 R2(config)#ints 0/0
20 /*
21  * 在R2的s0/0接口的外出方向调用out-acl，
22  * 这个ACL会根据每个从R3途径R2外出到R1的流量做反射，
23  * 生成一个临时的ACL out-ip。
24  */
25 R2(config-if)#ipaccess-group out-acl out
26 /*在R2的s0/0接口进入方向做评估*/
27 R2(config-if)#ipaccess-group in-acl in
28 R2(config-if)#end
29  
30 /*注意，这里说的进入方向、外出方向是相对的。从R1访问R3，那么R2的s0/0就是进入方向；从R3访问R1，R2的s0/0接口对于R3来说就是外出方向。*/

配置完成后，分别在R1和R3上telnet对方进行测试：

01 /*发现R1不能telnet R3了*/
02 R1#telnet 23.1.1.3
03 Trying 23.1.1.3 ...
04 % Destination unreachable; gateway or host down
05  
06 /*首先查看一下R2的ACL*/
07 R2#showaccess-lists
08 Extended IP accesslist in-acl
09     10 evaluate out-ip
10 Extended IP accesslist out-acl
11     10 permit ip any any reflect out-ip
12 Reflexive IP accesslist out-ip
13  
14 /*在R3上面telnet R1*/
15 R3#telnet 12.1.1.1
16 Trying 12.1.1.1 ... Open
17 User Access Verification
18 Password: www.qingsword.com
19 R1>en
20 Password: www.qingsword.com
21 R1#  /*成功*/
22  
23 /*再次查看R2的ACL*/
24 R2#showaccess-lists
25 Extended IP accesslist in-acl
26     10 evaluate out-ip
27 Extended IP accesslist out-acl
28     10 permit ip any any reflect out-ip (50 matches)
29  
30 /*这个条目就是反射ACL自动生成的*/
31 Reflexive IP accesslist out-ip
32      permittcphost 12.1.1.1 eq telnet host 23.1.1.3 eq 52116 (86 matches) (time left 269)

临时的反射条目是有生存时间的，对于TCP会话，如果路由器检测到两组FIN标记，则会在5秒内删除这个临时条目（比如R3登录R1后使用exit退出登录，R2就会在5秒钟以内删除这个临时条目）；如果路由器检测到RST位的分组，则会立即删除临时条目；对于UDP和其他协议（比如ICMP等），默认的删除时间是倒计时300秒。

可以使用下面的命令来更改反射ACL中临时ACL条目的默认生存时间：

1 /*将默认生存时间改成30秒*/
2 R2(config)#ipreflexive-list timeout 30

对于这个生存时间的测试，大家可以在R3上面Ping一下R1的12.1.1.1，然后在R2上查看ACL条目信息，就可以看到临时ICMP条目的末尾有一个(time left 26)，time left后面的数字是从刚才更改的30秒开始倒计时的。

b.如何配置动态ACL

结合下图（图6）来解释什么是动态ACL，当Internet上的用户需要访问内网的服务器时，外网用户需要先向边界路由发起一个telnet会话，并且提供有效的用户名和密码，边界路由验证成功后，将会临时添加一条ACL语句到动态ACL中，然后关闭Telnet会话。动态添加的条目对被验证用户进行授权，当条目超时后删除这条临时添加的动态条目。

CCNA学习笔记（五） 安全（访问控制列表）_第6张图片

配置动态ACL前有下面两点需要了解：

1）临时条目的生存周期

动态ACL的生存周期有两个参数：空闲时间和绝对时间，当验证通过后，动态ACL临时条目生成后，空闲时间和绝对时间倒计时同时启动，空闲计时器在每当有一个报文匹配动态访问列表时进行复位（即重新开始倒计时），当空闲计时器到期时，该临时条目被删除。绝对计时器永不复位，当绝对定时器到期时，该动态条目被删除。

2）Telnet的设置

配置了动态ACL后，R2上所有的Telnet请求都会被路由器认为是要开启一个动态ACL条目，当用户验证后，telnet就会被关闭，这样会带来一个问题，网络管理员将不能通过Telnet对路由进行管理，解决的方法是使用rotary命令开启其他Telnet端口,如"rotary 1"命令开启的端口是3001，"rotary 2"开启3002以此类推。

下面就结合图6来讲解如何配置动态ACL；

这里我们希望实现，让R1（Internet上的用户）访问R3（内网）前，先需要在R2上进行验证，最后达到的效果是，验证前R1不能Telnet R3，验证通过后R1能够telnet R3。

第一步：配置R1、R2、R3各接口IP，配置静态路由让全网能够互相通信，在R1和R3上面配置VTY,这一步很简单就不贴出配置信息了，请大家自己完成。

第二步：在R2上配置动态ACL

01 /*允许外网Telnet本路由进行验证*/
02 R2(config)#access-list100permit tcp any host12.1.1.2 eq 23
03  
04 /*
05  * 允许使用3001端口对本路由进行管理，
06  * 稍后会用"rotary 1"命令打开这一端口，
07  * 在实际应用中很少使用Telnet去对路由进行远程管理，
08  * 如果使用其他网络协议，在这里需要打开对应端口。
09  */
10 R2(config)#access-list100permit tcp any host12.1.1.2 eq 3001
11  
12 /*
13  * 创建动态ACL，名称为"ccna_dyanmic_acl",
14  * timeout 60 是绝对时间，60分钟。
15  *
16  * "permit tcp any host 23.1.1.3 eq 23"
17  * 后半部分中的"any"会被通过验证的主机的IP地址所代替。
18  */
19 R2(config)#access-list100 dynamic ccna_dyanmic_acl timeout 60permittcp any host23.1.1.3 eq 23
20  
21 /*在本地创建验证用的用户名www.qingsword.com和密码www.qingsword.com*/
22 R2(config)#user www.qingsword.com pass www.qingsword.com
23  
24 /*用来验证的VTY线路0、1、2、3*/
25 R2(config)#line vty0 3
26 R2(config-line)#loginlocal /*使用本地用户名和密码验证*/
27 /*
28  * 这条命令中的host会被验证通过的主机的IP代替，
29  * 这个IP会被传递到上面的动态临时ACL中，去替换any关键字，
30  * timeout 3,是空闲时间，这里设置成3分钟。
31  */
32 R2(config-line)#autocommand access-enablehosttimeout 3
33  
34 /*
35  * 另外创建一条VTY线路4，也使用本地用户名和密码验证，
36  * 这条线路用来远程管理路由器，使用的端口是3001。
37  */
38 R2(config-line)#line vty4
39 R2(config-line)#loginlocal
40 R2(config-line)#rotary 1
41  
42 /*在路由的端口上调用这个ACL*/
43 R2(config-line)#ints 0/0
44 R2(config-if)#ipaccess-group 100 in
45 R2(config-if)#end
46 R2#

配置完成后进行下面的测试来验证动态ACL配置的正确性：

01 /*在没有登录R2验证前，telnet不了R3*/
02 R1#telnet 23.1.1.3
03 Trying 23.1.1.3 ...
04 % Destination unreachable; gateway or host down
05  
06 /*登录R2进行验证*/
07 R1#telnet 12.1.1.2
08 Trying 12.1.1.2 ... Open
09 User Access Verification
10 Username: www.qingsword.com  /*用户名和密码都是www.qingsword.com*/
11 Password: www.qingsword.com
12 [Connection to 12.1.1.2 closed by foreignhost]
13 R1#   /*验证成功，然后R2主动断开连接*/
14  
15 /*在R2上查看ACL条目*/
16 R2#showaccess-lists
17 Extended IP accesslist 100
18     10 permit tcp any host12.1.1.2 eq telnet (66 matches)
19     20 permit tcp any host12.1.1.2 eq 3001
20     30 Dynamic ccna_dyanmic_aclpermittcp any host23.1.1.3 eq telnet
21 /*在动态临时条目下面多出一条，any关键字被验证通过的R1的s0/0接口IP替代。*/
22        permittcphost 12.1.1.1 host23.1.1.3 eq telnet
23  
24 /*这时在R1再次telnet R3*/
25 R1#telnet 23.1.1.3
26 Trying 23.1.1.3 ... Open
27 User Access Verification
28 Password:  /*连接上了，没有任何问题*/
29  
30 /*再次查看R2的ACL*/
31  
32 R2#showaccess-lists
33 Extended IP accesslist 100
34     10 permit tcp any host12.1.1.2 eq telnet (66 matches)
35     20 permit tcp any host12.1.1.2 eq 3001
36     30 Dynamic ccna_dyanmic_aclpermittcp any host23.1.1.3 eq telnet
37 /*
38  * 如果没有任何符合这个动态临时条目的流量，
39  * (time left 107)这个条目将在107秒后被删除，
40  * 这个显示是空闲时间倒计时。
41  */
42        permittcphost 12.1.1.1 host23.1.1.3 eq telnet (39 matches) (time left 107)
43  
44 /*最后测试3001端口对R2的远程管理*/
45 R1#telnet 12.1.1.2 3001
46 Trying 12.1.1.2, 3001 ... Open
47 User Access Verification
48 Username: ccna
49 Password:
50 R2>  /*登录R2成功，没有和验证的时候一样断开连接。*/

c.如何配置基于时间的ACL

使用基于时间的ACL配置下面的拓扑，让R1只有在每周周一到周五上午7点到8点，下午1点到2点可以Telnet R2：

CCNA学习笔记（五） 安全（访问控制列表）_第7张图片

R1配置：

1 R1(config)#ints 0/0
2 R1(config-if)#ipadd12.1.1.1 255.255.255.0
3 R1(config-if)#noshut

R2配置：

01 R2(config)#ints 0/1
02 R2(config-if)#ipadd12.1.1.2 255.255.255.0
03 R2(config-if)#noshut
04 R2(config-if)#exit
05  
06 /*配置时区，我们是在东八区。*/
07 R2(config)#clocktimezone GMT +8
08 R2(config)#end
09 /*设置成当前时间*/
10 R2#clockset 22:33:00 25 november 2012
11  
12 R2#conft
13 /*创建时间范围，working是自定义的名称*/
14 R2(config)#time-range working
15 R2(config-time-range)#? /*查看帮助*/
16 Time range configuration commands:
17   absolute  absolute time and date
18   default   Set a command to its defaults
19   exit     Exit from time-range configurationmode
20   no       Negate a command or set its defaults
21   periodic  periodic time and date
22  
23 /*使用周期性的时间范围，关键字weekdays代表周一到周五*/
24 R2(config-time-range)#periodic weekdays 7:00 to 8:00
25 R2(config-time-range)#periodic weekdays 13:00 to 14:00
26 R2(config-time-range)#exit
27  
28 /*创建基于时间的ACL，time-range后面跟上面创建的时间范围名称*/
29 R2(config)#access-list100permit tcp host12.1.1.1 host 12.1.1.2 eq 23 time-range working
30  
31 /*在接口上调用它*/
32 R2(config)#ints 0/1
33 R2(config-if)#ipaccess-group 100 in
34 R2(config-if)#end
35  
36 /*查看，因为现在时间不符合，这个条目没有生效(inactive)*/
37 R2#showaccess-lists
38 Extended IP accesslist 100
39     10 permit tcp host12.1.1.1host 12.1.1.2 eq telnet time-range working (inactive)

你可能感兴趣的:(CCNA)

  • IT行业有哪些证书含金量高？ youmatech 经验分享
    在IT行业，有一些证书被广泛认可并被认为具有较高的含金量。以下是一些在IT行业中被认为有价值的证书：Cisco认证（CCNA、CCNP、CCIE）：Cisco的网络认证是网络领域最受尊重的证书之一。CCNA（CiscoCertifiedNetworkAssociate）、CCNP（CiscoCertifiedNetworkProfessional）和CCIE（CiscoCertifiedInter
  • 话题：IT行业有哪些证书含金量高? 小桥流水---人工智能 机器学习算法人工智能深度学习
    IT行业有哪些证书含金量高?1.以下是一些在IT行业中我认为具有高含金量的证书：思科认证（CiscoCertifications）：思科认证是由网络领域的著名厂商——Cisco公司推出的，是互联网领域的国际权威认证。这个认证体系包含了多个不同级别、不同内容、不同方向的各种认证，如CCNA、CCDA、CCNP、CCDP、CCSP、CCIP、CCVP、CCIE等。其中，CCIE是专家级认证，具有极高的
  • 【IT行业证书之路：职业发展的钥匙与技巧】 Gd-lee 分享IT证书学习经验分享
    IT行业有哪些证书含金量高?在IT行业，有一些证书被认为具有较高的含金量，因为它们涵盖了广泛的技术领域，得到了业界的认可，并能够提升持有者的职业竞争力。以下列举出了一些在IT行业中被认为含金量较高的证书：Cisco认证（CCNA，CCNP，CCIE）、AWS认证、CompTIAA+、Microsoft认证（MCSA，MCSE）、CertifiedEthicalHacker（CEH）、ITIL认证等
  • IT行业证书的获取与价值：提升职业竞争力的关键 Srlua 话题分享IT证书
    目录IT行业证书的价值和作用1.Cisco（思科）认证（如CCNA、CCNP、CCIE）：2.微软认证（如MCSA、MCSE、MCSD）：3.计算机网络技术（CompTIANetwork+、CompTIASecurity+）：4.项目管理专业证书（如PMP）：5.安全相关证书（如CISSP、CEH）：7.软考：8.PAT：9.CRISC：10.CRISC：11.AWS认证：12.Oracle认证：
  • IT行业证书的重量级玩家：职业发展中的敲门砖 赵闪闪168 闪闪精选python
    ###IT行业证书的重量级玩家：职业发展中的敲门砖在快速发展的IT行业中，专业技能的证明变得尤为重要。不论是初入职场的新手还是寻求进一步发展的资深人士，一张含金量高的证书往往是开启职业新篇章的关键。今天，我要分享的是我心中IT行业最重要的几张证书，它们不仅是技能的象征，更是职业生涯中不可或缺的敲门砖。####1.Cisco认证网络工程师（CCNA/CCNP/CCIE）Cisco的认证体系历来以其严
  • IT行业有哪些证书含金量高 csdn_aspnet IT行业证书含金量
    在IT行业，有一些证书被认为是具有高含金量的。以下是一些国内外常见的高含金量证书：1、MicrosoftCertifiedSolutionsExpert(MCSE)：这是微软针对各种IT专业相关技能领域的高级证书，包括云计算、数据管理、服务器等方向。2、CiscoCertifiedNetworkAssociate(CCNA)：这是思科公司颁发的用于测试和验证网络工程师的证书，在网络和通信领域非常有
  • IT行业有哪些含金量高的证书？ 古猫先生 云技术linux运维服务器
    IT行业含金量高的证书多种多样，每种证书都代表着特定领域的专业知识和技能水平。以下是一些备受业界认可的高含金量IT证书及其原因与获取方式：思科认证（CiscoCertifications）CCNA(CiscoCertifiedNetworkAssociate)：初级网络工程师认证，涵盖基础路由和交换技术，证明拥有安装、配置、运行中型网络的能力。CCNP(CiscoCertifiedNetworkP
  • 含金量高的证书 小狗蛋ing 鸿蒙IT行业的证书
    IT行业有哪些证书含金量高?在IT行业，专业证书是衡量一个人专业技能和知识水平的重要标准之一。随着技术的不断发展和企业对专业人才的需求增加，拥有含金量高的证书对于职业发展来说至关重要。以下是一些在IT行业中被广泛认可的证书，它们在不同的领域和职位中扮演着重要的角色。Cisco认证（如CCNA/CCNP/CCIE）Cisco认证是网络工程师的黄金标准。CCNA（CiscoCertifiedNetwo
  • IT行业含金量较高的证书 憨憨的官 笔记证书IT证书
    在IT行业中，一些含金量较高的证书包括：1.Cisco认证：如CCNA（思科认证网络工程师）、CCNP（思科认证专业级网络工程师）和CCIE（思科认证专家级网络工程师）等。这些认证证书被广泛认可，并且能够证明持有人具备在网络工程领域的深入知识和实际经验。2.Microsoft认证：如MicrosoftCertifiedSolutionsExpert(MCSE)和MicrosoftCertified
  • IT行业有哪些证书含金量高? love6a6 业界资讯职场和发展
    IT行业有哪些证书含金量高?在信息技术（IT）行业，证书是衡量个人技术能力和专业水平的重要标准之一，也是企业在招聘时评估求职者专业技能的一种方式。以下是一些在IT行业中被普遍认为含金量较高的证书：微软认证：微软认证专家（MCSE）和微软认证解决方案专家（MCSA）等证书，尤其是针对云计算、企业协作和数据管理等方面的认证。思科认证：思科认证网络工程师（CCNA）和思科认证网络专家（CCNP）等网络相
  • 【考证须知】IT行业高含金量的证书 今天背单词了吗980 职场学习开发语言职场和发展程序人生程序员创富
    IT行业高含金量的证书在IT行业，拥有含金量高的证书是职业发展的关键思科认证由网络著名厂商——Cisco公司推出，是互联网领域的国际权威认证，有CCNA、CCDA、CCNP、CCDP、CCSP、CCIP、CCVP、CCIE等多种不同级别、不同内容、不同方向的各种认证。微软认证微软认证是微软公司设立的推广微软技术，培养系统网络管理和应用开发人才的完整技术金字塔证书体系，在全世界90多个国家认可有效，
  • IT行业中最重要的证书 闫英杰 科技杂谈microsoftpython开发语言
    在IT行业，拥有一些含金量较高的证书是职业发展的关键。这些证书不仅可以证明技能水平，还有助于提升在职场上的竞争力。本文将介绍几个IT行业中最重要的证书。1.Cisco认证CCNA（CiscoCertifiedNetworkAssociate）是Cisco公司新近推出的认证培训课程，内容涵盖识别、设计推荐的Cisco中小规模企业解决方案。Cisco认证是网络工程师必备的证书之一，分为多个级别和专业领
  • 078-20180319-学习反思 慢慢蒋
    O：今天忙完工作还有些空闲，于是开始继续自学。貌似好久没有看书学习了，想到了慧慧老师跟我讲的微习惯，制订了一下计划。每天学习CCNA一页，哪怕是一个小知识点，把它吃透了也算。R：看着自己的笔记还是蛮有成就感的。I：1、其实每天就算有很多工作也不能称为忙，我们现在还处在系统学习阶段，以后可能就没有这种机会了，所以还是应该每天都抽空学习。之前学习CCNA也制订过计划，每天看一章，或是一节，想把书尽快的
  • IT行业有哪些证书含金量高? 五敷有你 证书
    IT行业有哪些证书含金量高?方向一：IT行业证书的价值和作用在IT行业，拥有高含金量的证书对个人职业发展至关重要。IT证书是通过相关的培训和考试获得的专业资格，可以证明持有者在特定领域具备一定的知识和技能。以下是一些在IT行业中被认为含金量高的证书：CiscoCertifiedNetworkAssociate(CCNA):作用：验证网络基础知识和技能，对于网络工程师和管理员的职业发展至关重要。价值
  • 软件行业考哪些证书可以拿到高薪，含金量比较高？ 表哥一枚155 数据库java编程语言大数据网络
    目前IT业界顶尖的认证证书往往与企业直接挂钩，具体可以分成网络工程、软件研发、数据库、应用软件、项目管理、云计算等。网络工程领域1、Cisco认证Cisco认证，常见的有CCNA/CCDA，CCNP/CCDP，CCIE这样一个级别升迁证书，最高级是CCIE。国内获得CCIE认证的人大概也有上千人了，工作方面都会收到很好的待遇或薪酬，这也是目前含金量比较高的认证，但考试费较高，需要1万多人民币。分支
  • IT行业哪些证书含金量高? 专家-百锦再 C语言C++程序员c++学习人工智能开发语言
    IT行业有哪些证书含金量高?在IT行业中，有许多有价值和含金量高的证书可以提升职业发展和就业竞争力。以下是一些在IT行业中被广泛认可的高含金量证书：Cisco认证：如CCNA（CiscoCertifiedNetworkAssociate）、CCNP（CiscoCertifiedNetworkProfessional）和CCIE（CiscoCertifiedInternetworkExpert），它
  • 【webrtc】跟webrtc学时间戳、序号类型转换 等风来不如迎风去 WebRTC入门与实战webrtc
    间隔mssrc\modules\congestion_controller\remb_throttler.ccnamespace{constexprTimeDeltakRembSendInterval=TimeDelta::Millis(200);}//namespace百分比的处理src\modules\congestion_controller\remb_throttler.ccvoidRem
  • 小白读书笔记之【笨办法学Python3】【持续更新】 Mr_流浪法师 python编程语言
    小白读书笔记之【笨办法学Python3】【持续更新】读者/笔者：Mr.流浪法师日期：2021-02-06截至文章发布，本人34岁高龄，膝下育有一女，人道中年，和部分人一样，不笨，但当年不爱学习，跟随着时代的大浪接触了计算机，是计算机专业出身（当年要是学了建筑专业就好了），充其量是半吊子水平，C，Java，php，JavaScript，Html+Css，mysql，CCNA，Nginx，tomcat
  • TS 学习指南(下) 懂会悟
    十一、TypeScript类11.1类的属性与方法在面向对象语言中，类是一种面向对象计算机编程语言的构造，是创建对象的蓝图，描述了所创建的对象共同的属性和方法。在TypeScript中，我们可以通过Class关键字来定义一个类：classGreeter{//静态属性staticcname:string="Greeter";//成员属性greeting:string;//构造函数-执行初始化操作co
  • CCNA2 v7 Modules 1 – 4 Switching Concepts, VLANs, and InterVLAN Routing Exam Answers 我是小杨杨 cisco实验网络
    4.WhenconfiguringaswitchforSSHaccess,whatothercommandthatisassociatedwiththeloginlocalcommandisrequiredtobeenteredontheswitch?enablesecretpasswordpasswordpasswordusernameusernamesecretsecretloginblock
  • 【实战演练】Packet Tracer玩转CCNA实验02-VLAN基本配置 工程师Waiting
    #本文欢迎转载，转载请注明出处和作者。一般教程第一课都讲交换机/路由器的操作系统（IOS）的基本操作，例如介绍普通模式、特权模式，修改密码等。我们反其道而行之，先动手做VLAN的划分操作，先讲实操，再说概念。1、实验1（配置vlanaccess）：1.1搭建拓扑图实验需求：实验的拓扑如上图，PC1、PC2、PC3、PC4连接同一台交换机，PC1、PC3的人属于同一个部门（如销售部），PC2、PC4
  • vue2+elementUI表格实现实现多列动态合并 四岁爱上了她 elementui前端javascript
    exportdefault{name:'demo',data(){return{tableData:[{id:1,cloudTypeName:"阿里云",accName:"glodon_gm1",crashAmount:0.1,creditAmount:240000.0,availaleAmount:83548.66,},{id:2,cloudTypeName:"阿里云",accName:"glo
  • 网络技术基础入门全套实验-厦门微思网络CCNA实验手册 爱网络爱Linux 华为网络服务器网络协议运维tcp/ip信息与通信
    知识改变命运，技术就是要分享，有问题随时联系，免费答疑，欢迎联系！微思简介（https://www.xmws.cn)微思成立于2002年，是一个诚信敬业、积极向上、充满活力、专注技术服务的企业。微思获得了八大厂商的培训授权，成长为福建地区广受认可的IT认证培训机构，同时也是知名的IT服务提供商及系统集成商，业务主要包含国际IT认证培训及考试、IT维护服务、系统集成。微思从成立开始，就把技术服务作为
  • 【实战演练】Packet Tracer玩转CCNA实验08-静态路由配置 工程师Waiting
    本文欢迎转载，转载请注明出处和作者。前面实验的01~07，已经将基本的二层通信说完了。其中04、05的单臂路由与SVI，已经将使用单台路由器与三层交换机的三层路由也说明了。但是，由于路由都集中在单台设备，并且还都是直连路由，根本无法体验到到底查询路由表，设置路由条目，到底是怎样的情况。因此，此节开始讲述三层路由相关的知识。1、实验：配置静态路由1.1网络拓扑拓扑图如下，其中引入了一个概念，就是lo
  • [ZT]《让我们一起CCNA吧》系列文章五：IP路由- - u014461454 系统运维
    ·执行与操作根据用户需求配置路由协议。在路由器和主机上配置IP地址，子网掩码和网关地址。在路由器上进行初始配置。在交换机上进行初始配置。·故障检测进行LAN和VLAN的故障检测。检测路由协议的故障。检测IP寻址和主机配置的故障。检测运行中网络的一个设备故障。·技术评价路由协议特性。评价TCP/IP通信过程及相关协议。在这一章里，我准备讨论IP路由选择的过程。自从在所有路由器配置上使用IP以来，IP
  • 思科认证 | 2024思科认证还值得考吗？ HCIE考证研究所 网络工程师网络服务器思科认证CCNACCNPCCIE
    在不断发展的网络技术领域，Cisco认证一直以其世界领先的地位吸引着众多专业人士。随着时间的流逝，互联网行业也推出了越来越多相关的证书。那么2024，Cisco认证还有没有考的价值？思科认证体系中CCNA、CCNP、CCIE之间有什么区别？考思科认证中的CCIE认证又需要多长时间呢？012024Cisco认证还值得考吗？思科认证值不值得考要看认证本身。推出这个认证体系的思科一直是网络技术领域的领导
  • CCNA英文单词总汇 weixin_34050389 大数据
    Access通路访问Accomplish完成实现Accordance一致的Active活动Additionally加上Adequate适当的Administrative管理Advantage有优势利益Aggregation集合Algorithm运算法则Allocate分配Application请求Apply申请应用Assign分配指派Asynchronou异步不同Automatic自动的Auton
  • 【Second Round Interview - Mercedes Bendz with Siemens】 DADIAN_GONG SkillSolutions网络
    2ndroundInterviewNTTMercedesprojectbySiemensI)GreetingHappy,II)ITIL运维体系、cisconw设备，cisco网络名词。处理过的网络问题、故障，准备下。2.1)Cisco思科常用英文缩写及英语单词大全(中英文2.2)CCNA英文单词总汇III)着重说网络方面的管理经验，与***国外team的合作经验***3.1)Domestic/lo
  • 【实验】配置用户自动获取IPv6地址的案例 厦门微思网络 网络工程师-华为认证/思科认证智能路由器网络ipv6CCNACCNPHCIAHCIP
    思科CCNA试听课程【视频教程】：网络工程师都要懂的IPv6编址与路由组网需求PC直连Router的接口后可通过协议自动获取IPv6地址，并自动生成默认网关，从而使PC与路由器可以自动连通。具体到该试验中，在路由器使能RA（RouterAdvertisement，路由器通告）后，PC能够根据接收到的RA报文自动配置地址，且能生成指向该路由器的默认路由。图1配置路由器IPv6无状态地址自动配置功能1
  • CCNA课程实验-14-Final_Lab 烈火蜓蜻 CCNA课程CISCO
    目录实验条件网络拓朴需求配置实现1.配置PC1~3,DHCP_Server的vlan2.VLAN10、20的网关为MSW1对应的SVI，VLAN30、40的网关为MSW2对应的SVI；3.配置5台交换机之间线路均为Trunk4.配置5台交换机均启用Rapid-PVST(RSTP)5.配置DHCPServer，创建3个地址池6.配置动态路由OSPF7.配置OR出口路由器PPPoE拨号上网配置ISP服
  • java责任链模式 3213213333332132 java责任链模式村民告县长
    责任链模式，通常就是一个请求从最低级开始往上层层的请求，当在某一层满足条件时，请求将被处理，当请求到最高层仍未满足时，则请求不会被处理。 就是一个请求在这个链条的责任范围内，会被相应的处理，如果超出链条的责任范围外，请求不会被相应的处理。 下面代码模拟这样的效果： 创建一个政府抽象类,方便所有的具体政府部门继承它。 package 责任链模式; /** *
  • linux、mysql、nginx、tomcat 性能参数优化 ronin47
    一、linux 系统内核参数 /etc/sysctl.conf文件常用参数 net.core.netdev_max_backlog = 32768 #允许送到队列的数据包的最大数目 net.core.rmem_max = 8388608 #SOCKET读缓存区大小 net.core.wmem_max = 8388608 #SOCKET写缓存区大
  • php命令行界面 dcj3sjt126com PHPcli
    常用选项 php -v php -i PHP安装的有关信息 php -h 访问帮助文件 php -m 列出编译到当前PHP安装的所有模块 执行一段代码 php -r 'echo "hello, world!";' php -r 'echo "Hello, World!\n";' php -r '$ts = filemtime("
  • Filter&Session 171815164 session
    Filter HttpServletRequest requ = (HttpServletRequest) req; HttpSession session = requ.getSession(); if (session.getAttribute("admin") == null) { PrintWriter out = res.ge
  • 连接池与Spring,Hibernate结合 g21121 Hibernate
            前几篇关于Java连接池的介绍都是基于Java应用的，而我们常用的场景是与Spring和ORM框架结合，下面就利用实例学习一下这方面的配置。         1.下载相关内容：     &nb
  • [简单]mybatis判断数字类型 53873039oycg mybatis
           昨天同事反馈mybatis保存不了int类型的属性,一直报错，错误信息如下:       Caused by: java.lang.NumberFormatException: For input string: "null" at sun.mis
  • 项目启动时或者启动后ava.lang.OutOfMemoryError: PermGen space 程序员是怎么炼成的 eclipsejvmtomcatcatalina.sheclipse.ini
       在启动比较大的项目时，因为存在大量的jsp页面，所以在编译的时候会生成很多的.class文件，.class文件是都会被加载到jvm的方法区中，如果要加载的class文件很多，就会出现方法区溢出异常 java.lang.OutOfMemoryError: PermGen space.     解决办法是点击eclipse里的tomcat，在
  • 我的crm小结 aijuans crm
    各种原因吧，crm今天才完了。主要是接触了几个新技术： Struts2、poi、ibatis这几个都是以前的项目中用过的。 Jsf、tapestry是这次新接触的，都是界面层的框架，用起来也不难。思路和struts不太一样，传说比较简单方便。不过个人感觉还是struts用着顺手啊，当然springmvc也很顺手，不知道是因为习惯还是什么。jsf和tapestry应用的时候需要知道他们的标签、主
  • spring里配置使用hibernate的二级缓存几步 antonyup_2006 javaspringHibernatexmlcache
    ．在spring的配置文件中 applicationContent.xml，hibernate部分加入 xml 代码 <prop key="hibernate.cache.provider_class">org.hibernate.cache.EhCacheProvider</prop> <prop key="hi
  • JAVA基础面试题 百合不是茶 抽象实现接口String类接口继承抽象类继承实体类自定义异常
    /*   * 栈（stack）：主要保存基本类型（或者叫内置类型）（char、byte、short、   *int、long、 float、double、boolean）和对象的引用，数据可以共享，速度仅次于   * 寄存器（register），快于堆。堆（heap）：用于存储对象。   */  &
  • 让sqlmap文件 "继承" 起来 bijian1013 javaibatissqlmap
            多个项目中使用ibatis , 和数据库表对应的 sqlmap文件（增删改查等基本语句)，dao, pojo 都是由工具自动生成的, 现在将这些自动生成的文件放在一个单独的工程中，其它项目工程中通过jar包来引用 ，并通过"继承"为基础的sqlmap文件，dao,pojo 添加新的方法来满足项
  • 精通Oracle10编程SQL(13)开发触发器 bijian1013 oracle数据库plsql
    /* *开发触发器 */ --得到日期是周几 select to_char(sysdate+4,'DY','nls_date_language=AMERICAN') from dual; select to_char(sysdate,'DY','nls_date_language=AMERICAN') from dual; --建立BEFORE语句触发器 CREATE O
  • 【EhCache三】EhCache查询 bit1129 ehcache
    本文介绍EhCache查询缓存中数据，EhCache提供了类似Hibernate的查询API，可以按照给定的条件进行查询。   要对EhCache进行查询，需要在ehcache.xml中设定要查询的属性   数据准备 @Before public void setUp() { //加载EhCache配置文件 Inpu
  • CXF框架入门实例 白糖_ springWeb框架webserviceservlet
    CXF是apache旗下的开源框架，由Celtix + XFire这两门经典的框架合成，是一套非常流行的web service框架。 它提供了JAX-WS的全面支持，并且可以根据实际项目的需要，采用代码优先（Code First）或者 WSDL 优先（WSDL First）来轻松地实现 Web Services 的发布和使用，同时它能与spring进行完美结合。 在apache cxf官网提供
  • angular.equals boyitech AngularJSAngularJS APIAnguarJS 中文APIangular.equals
    angular.equals   描述: 比较两个值或者两个对象是不是 相等。还支持值的类型，正则表达式和数组的比较。   两个值或对象被认为是 相等的前提条件是以下的情况至少能满足一项： 两个值或者对象能通过=== （恒等） 的比较 两个值或者对象是同样类型，并且他们的属性都能通过angular
  • java-腾讯暑期实习生-输入一个数组A[1,2,...n]，求输入B，使得数组B中的第i个数字B[i]=A[0]*A[1]*...*A[i-1]*A[i+1] bylijinnan java
    这道题的具体思路请参看 何海涛的微博：http://weibo.com/zhedahht import java.math.BigInteger; import java.util.Arrays; public class CreateBFromATencent { /** * 题目：输入一个数组A[1,2,...n]，求输入B，使得数组B中的第i个数字B[i]=A
  • FastDFS 的安装和配置 修订版 Chen.H linuxfastDFS分布式文件系统
    FastDFS Home:http://code.google.com/p/fastdfs/ 1. 安装 http://code.google.com/p/fastdfs/wiki/Setup http://hi.baidu.com/leolance/blog/item/3c273327978ae55f93580703.html 安装libevent (对libevent的版本要求为1.4.
  • [强人工智能]拓扑扫描与自适应构造器 comsci 人工智能
          当我们面对一个有限拓扑网络的时候,在对已知的拓扑结构进行分析之后,发现在连通点之后,还存在若干个子网络,且这些网络的结构是未知的,数据库中并未存在这些网络的拓扑结构数据....这个时候,我们该怎么办呢?       那么,现在我们必须设计新的模块和代码包来处理上面的问题
  • oracle merge into的用法 daizj oraclesqlmerget into
    Oracle中merge into的使用 http://blog.csdn.net/yuzhic/article/details/1896878 http://blog.csdn.net/macle2010/article/details/5980965 该命令使用一条语句从一个或者多个数据源中完成对表的更新和插入数据. ORACLE 9i 中，使用此命令必须同时指定UPDATE 和INSE
  • 不适合使用Hadoop的场景 datamachine hadoop
    转自：http://dev.yesky.com/296/35381296.shtml。 　　Hadoop通常被认定是能够帮助你解决所有问题的唯一方案。 当人们提到“大数据”或是“数据分析”等相关问题的时候，会听到脱口而出的回答：Hadoop!  实际上Hadoop被设计和建造出来，是用来解决一系列特定问题的。对某些问题来说，Hadoop至多算是一个不好的选择，对另一些问题来说，选择Ha
  • YII findAll的用法 dcj3sjt126com yii
    看文档比较糊涂，其实挺简单的： $predictions=Prediction::model()->findAll("uid=:uid",array(":uid"=>10));   第一个参数是选择条件：”uid=10″。其中:uid是一个占位符，在后面的array(“:uid”=>10)对齐进行了赋值； 更完善的查询需要
  • vim 常用 NERDTree 快捷键 dcj3sjt126com vim
    下面给大家整理了一些vim NERDTree的常用快捷键了，这里几乎包括了所有的快捷键了，希望文章对各位会带来帮助。 切换工作台和目录 ctrl + w + h 光标 focus 左侧树形目录ctrl + w + l 光标 focus 右侧文件显示窗口ctrl + w + w 光标自动在左右侧窗口切换ctrl + w + r 移动当前窗口的布局位置 o 在已有窗口中打开文件、目录或书签，并跳
  • Java把目录下的文件打印出来 蕃薯耀 列出目录下的文件文件夹下面的文件目录下的文件
    Java把目录下的文件打印出来 >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>> 蕃薯耀 2015年7月11日 11:02:
  • linux远程桌面----VNCServer与rdesktop hanqunfeng Desktop
    windows远程桌面到linux，需要在linux上安装vncserver，并开启vnc服务，同时需要在windows下使用vnc-viewer访问Linux。vncserver同时支持linux远程桌面到linux。   linux远程桌面到windows，需要在linux上安装rdesktop，同时开启windows的远程桌面访问。   下面分别介绍，以windo
  • guava中的join和split功能 jackyrong java
    guava库中，包含了很好的join和split的功能，例子如下： 1） 将LIST转换为使用字符串连接的字符串    List<String> names = Lists.newArrayList("John", "Jane", "Adam", "Tom");
  • Web开发技术十年发展历程 lampcy androidWeb浏览器html5
    回顾web开发技术这十年发展历程： Ajax 03年的时候我上六年级，那时候网吧刚在小县城的角落萌生。传奇，大话西游第一代网游一时风靡。我抱着试一试的心态给了网吧老板两块钱想申请个号玩玩，然后接下来的一个小时我一直在，注，册，账，号。 彼时网吧用的512k的带宽，注册的时候，填了一堆信息，提交，页面跳转，嘣，”您填写的信息有误，请重填”。然后跳转回注册页面，以此循环。我现在时常想，如果当时a
  • 架构师之mima-----------------mina的非NIO控制IOBuffer(说得比较好) nannan408 buffer
    1.前言。   如题。 2.代码。   IoService IoService是一个接口，有两种实现：IoAcceptor和IoConnector；其中IoAcceptor是针对Server端的实现，IoConnector是针对Client端的实现；IoService的职责包括： 1、监听器管理 2、IoHandler 3、IoSession
  • ORA-00054:resource busy and acquire with NOWAIT specified Everyday都不同 oraclesessionLock
    [Oracle] 今天对一个数据量很大的表进行操作时，出现如题所示的异常。此时表明数据库的事务处于“忙”的状态，而且被lock了，所以必须先关闭占用的session。   step1，查看被lock的session：   select t2.username, t2.sid, t2.serial#, t2.logon_time from v$locked_obj
  • javascript学习笔记 tntxia JavaScript
      javascript里面有6种基本类型的值:number、string、boolean、object、function和undefined。number：就是数字值，包括整数、小数、NaN、正负无穷。string:字符串类型、单双引号引起来的内容。boolean:true、false object:表示所有的javascript对象，不用多说function:我们熟悉的方法，也就是
  • Java enum的用法详解 xieke90 enum枚举
    Java中枚举实现的分析：     示例：  public static enum SEVERITY{ INFO,WARN,ERROR }     enum很像特殊的class，实际上enum声明定义的类型就是一个类。 而这些类都是类库中Enum类的子类      (java.l
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他