關(guān)于ACL的其它輸寫形式與應(yīng)用注意事項(xiàng)
在前面的幾個(gè)小節(jié)中描述了關(guān)于標(biāo)準(zhǔn)與擴(kuò)展ACL的應(yīng)用,并演示了具體的配置過程,在本節(jié)小編主要對ACL的應(yīng)用事項(xiàng)進(jìn)行一下總結(jié),其中包括ACL的輸寫形式、ACL的應(yīng)用位置、ACL條目的增加與刪除,具體如下:
關(guān)于ACL語句的輸寫形式:
access-list 1permit host 192.168.100.1等于access-list 1 permit 192.168.100.1 0.0.0.0的功能,語句中的host是申明配置的地址是一個(gè)主機(jī)地址,它等于反碼的全匹配(0.0.0.0),以全匹配形式出現(xiàn)的反碼,表示匹配的IP地址是一個(gè)主機(jī)IP地址。
access-list 102permit tcp 0.0.0.0 255.255.255.255 0.0.0.0255.255.255.255 eq www 等于access-list 102 permit tcp any any eq 80的功能,語句中的源IP地址和目標(biāo)IP地址都是0,指示源和目標(biāo)IP地址可以是任意IP地址;源地址和目標(biāo)地址的反碼都是255,指示不關(guān)心任何位,它就等同于在擴(kuò)展ACL中源和目標(biāo)IP地址都以any關(guān)鍵字出現(xiàn)的情況;eqwww就等于eq 80,因?yàn)門CP 80號(hào)端口正是眾所周知的www服務(wù)端口,但是這里提出一個(gè)注意事項(xiàng),如果Web服務(wù)器的端口沒有使用眾所周知的80號(hào)端口,出于某種安全原因或者特殊要求,服務(wù)器管理員自定義了Web的服務(wù)端口號(hào),那么,在輸寫ACL時(shí),就只能在eq關(guān)鍵字之后申明具體的端口號(hào),而不是申明www,否則ACL將無法完成匹配。
access-list 102permit ip host 192.168.1.2 host 192.168.2.2 等于access-list 102 permit ip 192.168.1.20.0.0.0 192.168.2.2 0.0.0.0;ACL的語句中的源IP和目標(biāo)IP都是具體的主機(jī)IP地址,所以可以在ACL語句中使有host關(guān)鍵字申明主機(jī)地址,它和反碼的全匹配形式所表示的意義同種。
關(guān)于ACL應(yīng)用位置的設(shè)計(jì):
n 標(biāo)準(zhǔn)ACL只關(guān)心源地址,所以必須將其應(yīng)用到距離控制目標(biāo)最近的接口位置。
n 擴(kuò)展ACL既關(guān)心源地址,又關(guān)心目標(biāo)地址,建議將其應(yīng)用到距離控制源最近的接口位置,這樣可以優(yōu)化流量,減少主干網(wǎng)上沒有必要的流量開銷。
n 在同一接口、同一協(xié)議、同一方向只能應(yīng)用一個(gè)訪問控制列表。
n 訪問控制列表,只能過濾穿越路由器的流量,對應(yīng)用訪問控制列表的.路由器本地產(chǎn)生的流量不生效。
關(guān)于在傳統(tǒng)IOS版本中ACL條目的增加與刪除問題
在傳統(tǒng)的IOS版本中,對ACL條目的增加或者刪除是一件非常痛苦的事情,因?yàn)楫?dāng)一個(gè)ACL的多條語句被配置在路由器之后,如果想要在ACL中增加一條過濾語句,那么這條增加的語句將出現(xiàn)在已存在的所有ACL語句之后,這樣就會(huì)出現(xiàn)安全漏洞,為網(wǎng)絡(luò)造成風(fēng)險(xiǎn)行為,為了更好的理解這一點(diǎn),現(xiàn)在要舉一個(gè)實(shí)例:
用戶首次已經(jīng)完成了一條ACL 101的編寫:
ACL 101 的第一條語句 :access-list 101 deny ip host 192.168.1.2 host192.168.2.1
ACL 101 的第二條語句: access-list 101 permit ip any any
現(xiàn)在用戶希望更改原有的ACL 101,希望在上述的兩條語句之間加入如下所示的ACL語句:
access-list 101 deny ip host192.168.3.1 host 192.168.4.1
但是當(dāng)你完成加入后,這條被加入的語句將被放到ACL 101的最后,如下圖所示,這樣,它的匹配順序也如圖所示,最后加入的語句被放置到ACL列表的最后,而第二條語句是允許任何流量,所以根本不會(huì)給第三條語句匹配的機(jī)會(huì),那么第三條語句將永遠(yuǎn)不生效,即便是您可能希望它于permit any any 之前生效,但事實(shí)上它不會(huì),這類似于微機(jī)原理里面的堆棧原理,先進(jìn)入。先調(diào)用。
所以在傳統(tǒng)IOS中管理員對ACL的修改變得很頭痛,通常,管理員會(huì)把現(xiàn)在的ACL復(fù)制到一個(gè)文本文件中進(jìn)行增加或者刪除語句的操作,然后把原本在路由器上配置的ACL通過no access-list 101全部清除,再將文本文件中修改完成的ACL復(fù)制到路由器上,無法做到逐條修改ACL語句的效果。
【關(guān)于ACL的其它輸寫形式與應(yīng)用注意事項(xiàng)】相關(guān)文章:
4.廣告創(chuàng)意設(shè)計(jì)應(yīng)用形式
6.關(guān)于TimerTask與Timer類的應(yīng)用