思科ACL详解

 

基本原则：1、按顺序执行，只要有一条满足，则不会继续查找

                

    2、隐含拒绝，如果都不匹配，那么一定匹配最后的隐含拒绝条目，思科默认的

                    3、任何条件下只给用户能满足他们需求的最小权限

                    4、不要忘记把ACL应用到端口上

一、标准ACL

    命令：access-list {1-99} {permit/deny} source-ip source-wildcard [log]

    例：access-list 1 penmit 192.168.2.0 0.0.0.255      允许192.168.2.0网段的访问

           access-list 1 deny 192.168.1.0 0.0.0.255         拒绝192.168.1.0网段的访问

    说明：wildcard为反掩码，host表示特定主机等同于192.168.2.3 0.0.0.0；any表示所有的源或目标等同于0.0.0.0 255.255.255.255 ；log表示有匹配时生成日志信息；标准ACL一般用在离目的最近的地方

二、扩展ACL

    命令：access-list {100-199} {permit/deny} protocol source-ip source-wildcard [operator port] destination-ip destination-wildcard [operator port] [established][log]

    例：access-list 101 permit tcp 192.168.2.0 0.0.0.255 gt 1023 host 192.168.1.2 eq 80

             允许192.168.2.0网段的主机访问主机192.168.1.2的web服务

           access-list 101 permit udp 192.168.2.0 0.0.0.255 gt 1023 any eq 53

             允许192.168.2.0网段的主机访问外网以做dns查询

    说明：gt 1023表示所有大于1023的端口，这是因为一般访问web、ftp等服务器时客户端的主机是使用一个1023以上的随机端口；established 表示允许一个已经建立的连接的流量，也就是数据包的ACK位已设置的包。

注:protocol是根据你允许用户使用相应通信的协议来确定的,如上面中WEB是TCP协议,DNS用UDP协议

三、命名ACL

     命令： ip access-list {standard/extended} name

                   { permit /deny} source-ip source-wildcard            标准

                   { permit /deny} protocol source-ip source-wildcard [operator port] destination-ip destination-wildcard [operator port] [established][log]                              扩展

    例：ip access-list extended outbound             定义一个名为outbound的命名ACL

           permit tcp 192.168.2.0 0.0.0.255 gt 1023 host 192.168.1.2 eq 80
           允许192.168.2.0网段的主机访问主机192.168.1.2的web服务
   优点：可以删除/修改其中一条ACL,而不必删除整个ACL
　       ip access-list extend server- protect
　　   no permit tcp 10.0.0.0 0.0.255.255 host 10.1.2.21 eq 1521
　　   permit tcp 10.1.0.0 0.0.0.255 host 10.1.2.21 eq 1521
　　   exit

四、自反ACL

     基本思想：内网可以访问外网，但外网没有允许不能访问内网，内网访问外网的回应数据可以通过

    例：一、ip access-list extended outbound permit tcp any any reflect cisco      

                  创建出去数据的ACL，tcp的流量可以进来，但要在有内部tcp流量出去时动态创建

            二、 ip access-list extended inbound permit icmp any any evaluate cisco        

                    创建进来数据的ACL，允许基于ICMP的数据如echo-request，允许出去的ACL中的有cisco对应语句的TCP流量进来

            三、 int s1/0      s1/0为路由器的接外网的端口

                 ip access-group outbound out

                ip access-group inbound in

    说明：reflect和evalute后面的对应名应该相同，此例中为cisco

五、基于时间ACL
　　要求：要求在上班时间内(9:00-18:00)禁止内部员工浏览internet，禁止使用QQ、MSN。而且在2003年6月1号到2号的所有时间内都不允许进行上述操作。但在任何时间都可以允许以其它方式访问Internet。
　　分析：浏览internet现在基本上都是使用http或https进行访问，标准端口是TCP/80端口和TCP/443，MSN使用TCP/1863端口，QQ登录会使用到TCP/UDP8000这两个端口，还有可能使用到udp/4000进行通讯。而且这些软件都能支持代理服务器，目前的代理服务器主要布署在TCP 8080、TCP 3128（HTTP代理）和TCP1080(socks)这三个端口上。由于是对访问Internet进行控制，ACL就放到公司的Internet出口处。

　　应用　　协议　　 源地址　　源端口　　目的地址　　目的端口　　操作
　　 IE　　    TCP 　　10.1/16　　　所有　　　　所有　　　　80　　　　限制访问
　　 IE　　    TCP 　　10.1/16　　　所有　　　　所有　　　　443　　      限制访问
　   MSN　　 TCP 　　10.1/16　　　所有　　　　所有　　　　1863　　   限制访问
　    QQ　　 TCP 　　10.1/16　　　所有　　　　所有　　　　8000　　    限制访问
        UDP　　 TCP 　　10.1/16　　　所有　　　　所有　　　     8000　　   限制访问
        UDP　　 TCP 　　10.1/16　　　所有　　　　所有　　　    4000　　   限制访问
   HTTP代理    TCP          10.1/16            所有                所有               8080           限制访问
   HTTP代理    TCP          10.1/16            所有                所有                  3128           限制访问
     Socks        TCP          10.1/16           所有                所有                1080