第4章 路由器安全管理

标准IP协议：1300～1999（IOS v12.0 and later） 扩展IP协议：2000～2699（IOS v12.0 and later）
标准访问控制列表
只限制IP数据包中的源地址.
扩展访问控制列表
可针对IP数据包五元素中任一项进行限制. 源IP 目标IP 协议 源Port 目标Port
4.2 访问控制——ACL
4.2.3 扩展ACL配置方法
1．扩展IP访问控制列表语句
ACCESS-LIST access-list-number {DENY|PERMIT|REMARK} protocol source source-wildcard destination destination-wildcard option access-list-number 范围介于100-199之间。可以使用这个范围之内的任 意号码。和标准IP访问控制列表一样，下一个关键字指出该访问控制 列 表 是 允 许 还 是 拒 绝 数 据 包 或 者 是 对 ACL 语 句 的 描 述 。 接 下 来 的 protocol关键字指明要匹配使用何种协议的数据包，如TCP、UCP、 ICMP、IP等。接下来，可以选择主机或网络的源地址、目的地址及通 配符掩码，或者使用关键字ANY。最后，是一些进一步定义数据包特 征的可选项。
标准IP访问控制列表配置实例2
路由器有三个接口，以 太网接口ethernt 0 连接内 网210.31.10.0/24， ethernet 1 连接内网 210.31.20.0/24。所有内 网用户通过串行接口 serial 0 访问Internet。假 设在系统调试期间，我 们只想允许以太网接口 ethernet 0 所连接的 内网 用户访问Internet。禁止 其他网段对Internet的访 问。
扩展IP访问控制列表配置实例
access-list 101 permit tcp210.31.225.0 0.0.0.255 host 210.31.224.11 eq Telnet //允许源自 210.31.225.0/24网段的、以TCP协 议方式访问服务器210.31.224.11上运行的 Telnet服务的数据包。 access-list 101 permit tcp210.31.226.0 0.0.0.255 host 210.31.224.11 eq WWW //允许源自 210.31.226.0/24网段的、以TCP协 议方式访问服务器210.31.224.11上运行的 WWW服务的数据包。
配置访问控制访问列表需要两个步骤: 1.定义允许或禁止报文的描述语句（访问列表 ）； 2.将访问列表应用到路由器的具体的接口（应 用访问组），这样，当数据包出入相应的接口 时，路由器将检查数据包的类型并按照预先定 义的控制访问列表对数据包进行处理：放行或 丢弃。
不同类型的访问控制列表。访问控制列表按照 号码的范围划分为不同的类型，分别用于不同 的协议和选项 下图列出了使用控制列表的协议以及协议有效 地访问控制列表号码范围。
表4-1 通过编号指定的访问列表所支持的协议
协议 标准IP协议 扩展IP协议 Ethernet类型码 DECnet XNS 扩展XNS AppleTalk Ethernet地址 IPX 扩展IPX IPX SAP MAC IPX汇总地址 1～99 100～199 200～299 300～399 400～499 500～599 600～699 700～799 800～899 900～999 1000～1099 1100～1199 1200～1299 范围
路由器使用的通配符掩码(或者称作反掩码)与源或目 标地址一起来分辨匹配的地址范围，它跟子网掩码 刚好相反。它像子网掩码告诉路由器IP地址的 哪一 位属于网络号一样，通配符掩码告诉路由器为了判 断出匹配，它需要检查IP地址中的多少位。 在子网掩码中，将掩码的一位设成1表示IP地址对应 的位属于网络地址部分。相反，在访问列表中将通 配符 掩码中的一位设成1表示I P地址中对应的位既 可以是1又可以是0。有时，可将其称作“无关”位 ，因为路由器在判断是否匹配时并不关心它们。掩 码位设成0则表示IP地址中相对应的位 必须精确匹配 。
access-list-number：编号范围为100～199。 permit：通过；deny：禁止通过 protocol：需要被过滤的协议的类型，如IP、TCP 、UDP、ICMP、EIGRP,GRE等。 source-address ：源IP地址 source-wildcard：源通配符掩码
2．IP访问控制组语 句
功能：拒绝来自于 功能：拒绝来自于172.16.40 子网的所有主机访问Server. 子网的所有主机访问
Router
Router # config t Router(config) # access-list 10 deny 172.16.40.0 0.0.0.255 Router(config) # access-list 10 permit any ( or Router(config) # access-list 10 permit 0.0.0.0 255.255.255.255) Router(config) # interface ethernet 0 Router(config-if) # ip access-group 10 out
返回某次Telnet会话过程
断开指定Telnet连接
4.1 Telnet会话管理
4.1.2 呼入Telnet会话管理
采用相对线号断开远程Telnet连接
用绝对线号断开远程Telnet连接
4.2 访问控制——ACL
4.2.1 访问控制列表概述
1．访问控制列表概述 ACL 是一种数据包过滤机制，通过允许或拒绝特定 的数据包进出网络，网络设备可以对网络访问进 行控制，有效保证网络的安全运行。用户可以基 于报文中的特定信息制定一组规则，每条规则都 描述了对匹配一定信息的数据包所采取的动作： 允许通过或拒绝通过。用户可以把这些规则应用 到特定网络设备端口的入口或出口方向，这样特 定端口上特定方向的数据流就必须依照指定的ACL 规则进出网络设备。
32位的IP地址与32位的通配符掩码逐位进 行比较，通配符掩码为0的位要求IP地址的 对应位必须匹配，通配符掩码为1的位所对 应的IP地址位不必匹配
标准IP访问控制列表配置实例1
路由器有两个接口，以 太网ethernet0连接内网。 内网用户通过 串行接 口serial0访问Internet。 假设在系统调试期间， 我们只想允许IP地址为 210.31.10.20的服务器 访问Internet,禁止其他 PC机对Internet的访问。
符掩码）。同时，每一个 符掩码）。同时，每一个ACL最后都隐藏了一个语 ）。同时 最后都隐藏了一个语 句“deny all”。 。
标准ACL示例
（1）access-list 2 deny host 192.168.0.99 access-list 2 permit any （只限制IP地址为 192.168.0.99 的主机） （2）access-list 4 deny 192.168.0.99 0.0.0.255 access-list 4 permit any （限制192.168.0.0 网络）
在路由器的全局配置模式下输入访问控制列表命令 :access-list 1 permit 210.31.10.0 0.0.0.255，允许在 210.31.10.0/24网段的主机访问。 在路由器的全局配置模式下输入访问控制列表命令 ：access-list 1 deny any，禁止所有其他网段的主机 。 在路由器的全局配置模式下输入命令：interface serial 0，进入接口配置模式下。 在路由器的接口配置模式下输入访问控制组命令： ip access-group 1 out，设置在接口 serial 0的出站 方向按1号访问控制列表对数据包进行过滤。
子网掩码为255.255.255.0的IP地址10.10.10.0 的反掩码: 255.255.255.255-255.255.255.0=0.0.0.255 即10.10.10.0的反掩码为0.0.0.255 255.255.255.248 反掩掩码就是0.0.0.7
IP地址与通配符掩码的作用规则
反转掩码，顾名思义，是将原子网的掩码0变 成1，1变成0。原子网掩码为255.255.255.0， 反转掩码就是0.0.0.255 ACL里的掩码也叫inverse mask(反掩码)或 wildcard mask(通配符掩码),由32位长的2进制 数字组成,4个八位位组.其中0代表必须精确匹 配,1代表任意匹配(即不关心) 反掩码可以通过使用255.255.255.255减去正 常的子网掩码得到
访问列表用号码来标识。使用什么号码可由你 随意决定，但必须符合：标准ACL使用1—99, 扩展ACL使用100 — 199。 对一个表的所有语句必须使用相同的号码。
4.2 访问控制——ACL
4.2.2 标准ACL配置方法
1．标准IP访问控制列表语句
ACCESS-LIST access-list-number {DENY|PERMIT|REMARK} {SOURCE [source-wildcard]|ANY}
访问控制列表不但可以起到控制网络流量、流 向的作用，而且在很大程度上起到保护网络设 备、服务器的关键作用。作为外网进入企业内 网的第一道关卡，同时也是保护内网安全的重 要手段。
2．配置访问控制列表 访问控制列表是一个有序的语句集合，它通过 匹配报文信息与访问列表参数，来允许报文或 拒绝报文通过某个接口。因此，访问控制列表 也被称为包过滤器。
在路由器的全局配置模式下输入访问控制列表命令 ：acces-list 1 permit host 210.31.10.20，允许IP地 址为210.31.10.20的主机。 在路由器的全局配置模式下输入访问控制列表命令 ：access-list 1 deny any,禁止所有其他主机。 在路由器的全局配置模式下输入命令：interface ethernet 0，进入接口配置模式。 在路由器的和接口配置模式下输入访问控制命令：ip access-group 1 in，设置在接口 ethernet0 的入站方 向按1号访问控制列表对数据包进行过滤。