Cisco IOS Cookbook 中文精简版第十九章 访问列表 (2)

class=MsoNormal>Router1(config-subif)#ip access-group 144 in

Router1(config-subif)#exit

Router1(config)#end

Router1#

注释 被动模式下的FTP，客户端会再对服务器发送一个高于1024端口的链接，所以对于此类会话必须开启所有高于1024的端口，例子中的配置虽然能够解决此问题，但是减少了安全性，在以后的章节会介绍更有效的处理方式

19.13.  使用基于时间的控制列表

提问 对应用基于时间段进行控制

回答

Router1#configure terminal

Enter configuration commands, one per line.  End with CNTL/Z.

Router1(config)#time-range NOSURF

Router1(config-time-range)# periodic weekdays 9:00 to 17:00

Router1(config-time-range)#exit

Router1(config)#ip access-list extended NOSURFING

Router1(config-ext-nacl)# deny   tcp any any eq www time-range NOSURF

Router1(config-ext-nacl)# permit ip any any

Router1(config-ext-nacl)#exit

Router1(config)#interface FastEthernet0/1

Router1(config-if)#ip access-group NOSURFING in

Router1(config-if)#end

Router1#

注释 在时间段的配置上你可以配置多个periodic，

19.14.  基于非连续端口的过滤

提问 配置一种高效的非连续端口的过滤

回答

Router2#configure terminal

Enter configuration commands, one per line.  End with CNTL/Z.

Router2(config)#ip access-list extended OREILLY

Router2(config-ext-nacl)#permit tcp any host 172.25.100.100 eq 80 23 25 110 514 21

Router2(config-ext-nacl)#end

Router2#

注释 通常对于连续端口的过滤可以使用permit tcp any any range 20 25此类的命令，而对于非连续端口的过滤则要使用多个类似permit tcp any host 172.25.100.100 eq 80 的命令，自从12.3(7)T以后则可以使用上例中的配置方式来进行简化。

19.15.  控制列表编辑

提问 直接对控制列表进行编辑

回答

插入一个条目至现有的控制列表中

Router2#configure terminal         

Enter configuration commands, one per line.  End with CNTL/Z.

Router2(config)#ip access-list extended OREILLY        

Router2(config-ext-nacl)#12 permit tcp any host 172.25.100.100 eq 20

Router2(config-ext-nacl)#end

Router2#

重新对控制列表序列号进行调整

Router2#configure terminal

Enter configuration commands, one per line.  End with CNTL/Z.

Router2(config)#ip access-list resequence OREILLY 10 10

Router2(config)#end

Router2#

删除特定的控制列表条目

Router2#configure terminal         

Enter configuration commands, one per line.  End with CNTL/Z.

Router2(config)#ip access-list extended OREILLY           

Router2(config-ext-nacl)#no 60

Router2(config-ext-nacl)#end

Router2#

注释 从12.3(2)T以后路由器增加了对控制列表条目序列号的支持，缺省10递增，这样可以方便对控制列表进行编辑

Router2#show ip access-lists OREILLY

Extended IP access list OREILLY

    10 permit tcp any host 172.25.100.100 eq www

    20 permit tcp any host 172.25.100.100 eq telnet

    30 permit tcp any host 172.25.100.100 eq smtp

    40 permit tcp any host 172.25.100.100 eq pop3

    50 permit tcp any host 172.25.100.100 eq cmd

 

19.16.       基于IPv6过滤

提问 对Ipv6的数据包进行过滤

回答

Router1#configure terminal

Enter configuration commands, one per line.  End with CNTL/Z.

Router1(config)#ipv6 access-list EXAMPLES

Router1(config-ipv6-acl)#permit ipv6 AAAA:5::/64 any

Router1(config-ipv6-acl)#permit ipv6 host AAAA:5::FE:1 any

Router1(config-ipv6-acl)#permit tcp any any eq telnet establishedormal>Router1(config-ipv6-acl)#deny tcp any any eq telnet syn

Router1(config-ipv6-acl)#sequence 55 permit udp any any eq snmp

Router1(config-ipv6-acl)#remark this is a comment

Router1(config-ipv6-acl)#sequence 66 remark this comment has a sequence number

Router1(config-ipv6-acl)#permit icmp any any reflect ICMP-REFLECT

Router1(config-ipv6-acl)#deny ipv6 any host AAAA:6::1 log

Router1(config-ipv6-acl)#deny ipv6 any any log-input

Router1(config-ipv6-acl)#exit

Router1(config)#interface FastEthernet0/0

Router1(config-if)#ipv6 traffic-filter EXAMPLES in

Router1(config-if)#exit

Router1(config)#end

Router1#

注释 Ipv6过滤只能使用命名式控制列表，当然也继承了命名式控制列表的所有优点。