思科路由器用自反访问控制列表实现网段

1、思科路由器用自反访问控制列表（ACL ）实现网段之间单向访问配置（设置）方法问题的提出：有二个网段，网络号分别为与，分别有主机与 ,开启了 WWW服务和远程桌面。要求只允许网络访问， 而不允许反向访问，应该怎样用ACL解决？ 万案：首先会想到用ACL实现，或者用扩展ACL实现。Router#conf tRouter(config)#acc 10 deny 55拒绝 网段Router(config)#acc 10 permit anyRouter(config)#int e0Router(config-if)#ip ace 10 in/ACL 应用在流入方向Router(config)#endR

2、outer#wri显示配置清单看上去拒绝了 网段发往网段的数据流，但是，由网段主 动发起的发往网段的回程数据也被挡住了。两边无法通讯。换扩展ACL试试Router#conf tRouter（config）#acc 110 deny tcp 55 55 eq 3389/拒绝网段访问网段远程桌面Router(config)#acc 110 permit ip any anyRouter(config)#int e0Router(config-if)#ip ace 110 inRouter(config)#endRouter#wri显示配置清单测试结果网段不能访问网段远程桌面，网段可以访问 网段，与

3、目标近了一步。但是，是否要写完整全部的使用端口才能达到目的呢？ 这似乎不可能，并且也不是好办法。一种被称为自反扩展ACL可以在这种场合使用。它能以出去为条件，触发开启返回数 据流通道。使单向访问得以实现。试试自反控制访问列表效果Router(config)#ip acce ext refin /refin是访问控制列表名，随意定，此处表示自反应用在进方向Router(config-ext-nacl)#per icmp 55 55 echo 允许 网段 ping 网段Router(config-ext-nacl)#evaluate abc/ACL 到此处结束Router(config-ext-n

4、acl)#exitRouter(config)#ip acce ext refoutRouter(config-ext-nacl)#per ip 55 55 ref abc time 5 允许 网段访问 网段Router(config-ext-nacl)#exitRouter(config)#int e0在 e0 接口上作绑定Router(config-if)#ip access-g refin inRouter(config-if)#ip access-g refout outRouter(config-if)#endRouter#显示配置清单Router#sh sccess-l显示 ACL

5、ACL生效后，远程桌面到H 1S2. 168. 0.2 -远程季面登录至I Windows掘和r 1持c 由a adn3QtfiTii srrittCicoWindows Server 2003 Enterprise EditionCapyrtghL 1BS32ipconf igUindcus P ConFigurationEthernet adapter INSIDE：Connectionepecific DNS Eufix ,:IP flddrcss= 192.1GS .1.2Subnet Mask . . . . : 255.25S .255.0Def dult Gciteijciij!

6、=192.1G9.1.1C- Dccunents and Settingrsping .1&8.0.2Pinging 192.168 .Q.2 with 32 bytes of data：ReplReplsiJtepMRbdIjjfrom 192.168-0.2：from ：from 192.168-0.2：from ：bytes=32 tine=2ns bL/tes=32 time =2ms bytes=32 tine=2ns bytes=32 time=2msTIL=125TIL=125TIL=125TIL=125Ping statisttics oi* 192PAckers- Sent

7、= 4. Receiued = 4. Lost = C0Mflpproximat：c roundtinc In milliseconds =Min inun Snirs r Maximuni 2ms f fl veraefe 2ns|G= ocitiffmnt：， 瓦nd Settings)可以看到自反触发了一条允许条目，允许PING当timeout不限定是，默认是300秒Router#sh sccess-l显示 ACLR1MR1HR1HH1HH1HF?lllR1IIR1 llsh iiccuss-Reflexive TP access list abcpermit tcp host eq 3

8、389 hosi eq 1070 (102 matches)( limn 1pTI 299)ppr-mi i frp hnr.t 1 92. 1 A . ? nq www host 192.1仙.1.2 e.| 1(9 mfltrhesj Hima Iftfi 网1)perRiii icmp host 12.150. U. 2 host 1*)2.16SJ .1.2 (16 matches! f time left 29/)Ext莒nded IP 日cces国 1 ist refiinpermit icmp 192.168.B.0 55 1 0用.0.255 echo (8 Hatches)eyuluLi le libeExtended TP access list refouipermit ip 192 168 1.6 0.0 0.255 192.1S8.0.0 55 reflect abcRIH已匡按一.笋.L556