第9章訪問列表高級(jí)應(yīng)用

1、基于時(shí)間的訪問控制列表應(yīng)用某公司經(jīng)理最近發(fā)現(xiàn)，有些員工在上班時(shí)間經(jīng)常上網(wǎng)瀏覽與工作無關(guān)的網(wǎng)站，影響了工作，因此他通知網(wǎng)絡(luò)管理員，在網(wǎng)絡(luò)上進(jìn)行設(shè)置，在上班時(shí)間只允許瀏覽與工作相關(guān)的幾個(gè)網(wǎng)站，禁止訪問其它網(wǎng)站。本案例以1臺(tái)S2126G交換機(jī)和1臺(tái)R2624路由器為例。PC機(jī)的IP地址和缺省網(wǎng)關(guān)分別為172.16.1.1/24和172.16.1.2/24，服務(wù)器（Server）的IP地址和缺省網(wǎng)關(guān)分別為160.16.1.1/24和160.16.1.2/24，路由器的接口F0和F1的IP地址分別為172.16.1.2/24和160.16.1.2/24。拓?fù)浣Y(jié)構(gòu)如圖9-1所示。2341基于時(shí)間的訪問控制

2、列表概述訪問控制表(ACL)實(shí)際上是在路由器或三層交換機(jī)上實(shí)現(xiàn)的根據(jù)數(shù)據(jù)報(bào)文的內(nèi)容進(jìn)行的過濾行為。路由器或者三層交換機(jī)根據(jù)報(bào)文的特征以及ACL中所定義的策略，決定將該報(bào)文進(jìn)行轉(zhuǎn)發(fā)或者丟棄。常用的訪問控制表通常是根據(jù)IP數(shù)據(jù)包的源地址、目標(biāo)地址、協(xié)議類型等來進(jìn)行配置?；跁r(shí)間的訪問控制表可以根據(jù)一天中的不同時(shí)間或一星期中的不同日期、或二者相結(jié)合來控制網(wǎng)絡(luò)數(shù)據(jù)包的轉(zhuǎn)發(fā)。這種基于時(shí)間的訪問控制表，就是在原來的標(biāo)準(zhǔn)訪問控制表和擴(kuò)展訪問控制表中，加入有效的時(shí)間范圍來更合理有效地控制網(wǎng)絡(luò)。首先定義一個(gè)時(shí)間范圍，然后在原來的各種訪問列表的基礎(chǔ)上應(yīng)用它。52基于時(shí)間的訪問控制列表配置基于時(shí)間的訪問控制列表由兩

3、部分組成，第一部分是定義時(shí)間段，第二部分是用定義規(guī)則。從特權(quán)模式開始，您可以通過以下步驟來設(shè)置一個(gè) Time-Range：absolute：該命令用來指定絕對(duì)時(shí)間范圍。它后面緊跟著start和end兩個(gè)關(guān)鍵字。在這兩個(gè)關(guān)鍵字后面的時(shí)間要以24小時(shí)制hh:mm表示，日期要按照日/月/年來表示。如果省略start及其后面的時(shí)間，則表示與之相聯(lián)系的permit或deny語句立即生效，并一直作用到end處的時(shí)間為止。如果省略end及其后面的時(shí)間，則表示與之相聯(lián)系的permit或deny語句在start處表示的時(shí)間開始生效，并且一直進(jìn)行下去。Periodic：主要是以星期為參數(shù)來定義時(shí)間范圍的一個(gè)命令。

4、它的參數(shù)主要有Monday、Tuesday、Wednesday、Thursday、Friday、Saturday、Sunday中的一個(gè)或者幾個(gè)的組合，也可以是daily(每天)、weekday(周一至周五)，或者weekend(周末)。67專家級(jí)的訪問控制列表應(yīng)用出于安全考慮，某企業(yè)網(wǎng)絡(luò)管理員需要按物理地址及網(wǎng)絡(luò)地址禁止某些主機(jī)訪問某服務(wù)器，但允許其他主機(jī)訪問，現(xiàn)在需要在交換機(jī)上做相應(yīng)配置。本案例以1臺(tái)S2126G交換機(jī)和1臺(tái)R2624路由器為例。PC1和PC2的IP地址分別為172.16.1.1/24和172.16.1.3/24，缺省網(wǎng)關(guān)為172.16.1.2/24，服務(wù)器 （ S e r

5、v e r ） 的 I P 地 址 和 缺 省 網(wǎng) 關(guān) 分 別 為160.16.1.1/24和160.16.1.2/24，路由器的接口F0和 F 1 的 I P 地 址 分 別 為 1 7 2 . 1 6 . 1 . 2 / 2 4 和160.16.1.2/24。拓?fù)浣Y(jié)構(gòu)如圖9-2所示。89101專家級(jí)的訪問控制列表概述專家級(jí)訪問控制列表可以利用MAC地址、IP地址、VLAN號(hào)、傳輸端口號(hào)、協(xié)議類型、時(shí)間ACL等元素進(jìn)行靈活組合，定義規(guī)則。從而更加靈活的控制網(wǎng)絡(luò)的流量，保證網(wǎng)絡(luò)的安全運(yùn)行。Expert 擴(kuò)展訪問列表（編號(hào) 2700 -2899）為基本訪問列表和 MAC 擴(kuò)展訪問列表的綜合體，并且能對(duì) VLAN ID