10 [ 标签：h3c, 端口映射, 防火墙规则 ] 标准偏差 2011-03-30 12:45 我要映射8000,8010,8003,8009,8880，nat已经做好了，如何在防火墙里设置ACL允许外部机器进入这几个端口？命令行里的ACL怎么写？目前情况是：firewall enable，内部指定机器能上网，外网映射正常，比如映射80,网页就能打开了undo firewall enable 内部所有机器都能上网了（这是不允许的），外网映射错误，所有映射失效！ firewall enable的情况之下，添加下面规则之后，www通过。删除下面规则之后，www无法通过！acl number 3000rule 2 permit tcp destination-port eq www所以，我不做acl的话，nat是无效的……另我我现在的上网管理是通过MAC地址限制做的，是acl 答：
ACL的基本原理、功能与局限性 注意：IOS中的ACL均使用wildcards，并且会用wildcards对IP地址进行严格的对齐，如你输入一条access-list 1 permit 10.1.1.129 0.0.0.31，在你show access-list看时，会变成access-list 1 permit 10.1.1.128 0.0.0.31，PIXOS中的ACL均使用subnet masks，并且不会进行对齐操作。 int vlan1///ip access-group 1 out：这两句将access-list 1应用到vlan1接口的out方向。其中1是ACL号，和相应的ACL进行关联。Out是对路由器该接口上哪个方向的包进行过滤，可以有in和out两种选择。 注意：这里的in/out都是站在路由器或三层模块（以后简称R）上看的，in表示从该接口进入R的包，out表示从该接口出去的包。 好了，这就是一个最基本的ACL的配置方法。什么，你说普通用户还能telnet到RTA？那你在int vlan3上现加一个ip access-group 1 out吧。Hammmm，等等，你这样加上去普通用户就访问不了internet了。让我们把刚才的ACL去掉，重新写一个。 回忆一下，我们的目的是除了10.1.6.66能够进行telnet操作外，其它用户都不允许进行telnet操作。刚才我们说过，标准的IP ACL只能控制源IP地址，不能控制到端口。要控制到第四层的端口，就需要使用到： 扩展的IP ACL的配置 先看看配置实例吧。在SWA上进行如下配置： int vlan 1 no ip access-group 1 out exit no access-list 1 access-list 101 permit tcp host 10.1.6.66 any eq telnet access-list 101 deny tcp any any eq telnet int vlan 1 ip access-group 101 out int vlan 3 ip access-group 101 out 你应该注意到到这里的ACL有一些变化了，现在对变化的部分做一些说明： access-list 101：注意这里的101，和刚才的标准ACL中的1一样，101是ACL号，表示这是一个扩展的IP ACL。扩展的IP ACL号范围是100-199，扩展的IP ACL可以控制源IP、目的IP、源端口、目的端口等，能实现相当精细的控制，扩展ACL不仅读取IP包头的源地址/目的地址，还要读取第四层包头中的源端口和目的端口，的IP在没有硬件ACL加速情况下，会消耗大量的CPU资源。 int vlan 1///no ip access-group 1 out///exit///no access-list 1：取消access-list 1，对于非命名的ACL，可以只需要这一句就可以全部取消。注意，在取消或修改一个ACL前，必须先在它所应用的接口上先把应用给no掉，否则会导致相当严重的后果。 tcp host 10.1.6.66 any eq telnet：匹配条件。完整格式为：协议 源地址 源wildcards [关系] [源端口] 目的地址 目的wildcards [关系] [目的端口]。其中协议可以是IP、TCP、UDP、EIGRP等，[]内为可选字段。仅在协议为tcp/udp等具备端口号的协议才有用。关系可以是eq(等于)、neq（不等于）、lt(大于)、range（范围）等。端口一般为数字的1-65535，对于周知端口，如23(服务名为telnet)等可以用服务名代替。源端口和目的端口不定义时表示所有端口。 把这个ACL应用上去后，用户们开始打电话来骂娘了，因为他们都访问不了Internet了，是哪里出了问题了呢？ 注意：所有的ACL，缺省情况下，从安全角度考虑，最后都会隐含一句deny any(标准ACL)或deny ip any any（扩展IP ACL）。所以在不了解业务会使用到哪些端口的情况下，最好在ACL的最后加上一句permit ip any any，在这里就是access-list 101 permit ip any any。 现在用户倒是能够访问Internet了，但我们的可怜的网管却发现普通用户还是能够telnet到他的SWA上面，因为SWA上面有很多个网络接口，而且使用扩展的ACL会消耗很多的资源。有什么简单的办法能够控制用户对网络设备的Telnet访问，而又不消耗太多的资源呢？这就需要使用到： 对网络设备自身的访问如何进行控制的技术 让我们先把刚才配置的ACL都取掉(具体配置略，不然后读者会以为我在骗稿费了。)，再在每台网络设备上均进行如下配置： access-list 1 permit host 10.1.6.66 line vty 0 4(部分设备是15) access-class 1 in 这样就行了，telnet都是访问的设备上的line vty，在line vty下面使用access-class与ACL组进行关联，in关键字表示控制进入的连接。 就这么简单？wk，你丫是不是在玩我们，为什么还要绕一大圈？臭鸡蛋和烂西红柿开始在70的脑袋上方狂飞。(5555555，偶也只是想向大家把ACL的基础知识讲的明白一些的嘛)。经过刚才的配置，我们可以理出一个简单的ACL配置步骤了： 分析需求，找清楚需求中要保护什么或控制什么；为方便配置，最好能以表格形式列出。在本文的后面会举例的。 分析符合条件的数据流的路径，寻找一个最适合进行控制的位置； 书写ACL，并将ACL应用到接口上； 测试并修改ACL。 当A公司的领导知道在网管能够控制普通用户对网络设备的访问后，我们的可怜的网管就收到了很多看起来很难的要求。领导要求网管： ACL执行顺序 “使用ACL技术对网络访问进行精细化控制”――ACL进阶配置 命名的IP ACL 由于最近服务器网段的机器老是被人用telnet、rsh等手段进行攻击，我们只对员工开放web服务器(10.1.2.20)所提供的http、FTP服务器(10.1.2.22)提供的FTP服务和数据库服务器(10.1.2.21：1521)。好吧，我们着手进行配置，可是我们的ACL刚写到一半，发现前面写的几句好像有问题，一个no命令输进去，整个ACL都没了，唉，一切都得重来，难道就没有一个变通的办法么？有，这里我就需要用到： 命名的IP acl提供的两个主要优点是： l 解决ACL号码不足的问题。 l 可以自由的删除ACL中的一条语句，而不必删除整个ACL。 命名的ACL的主要不足之处在于无法实现在任意位置加入新的ACL条目。比如上面那个例子中，我们进行了如下的配置： ip access-list extend server-protect permit tcp 10.1.0.0 0.0.255.255 host 10.1.2.20 eq www permit tcp 10.0.0.0 0.0.255.255 host 10.1.2.21 eq 1521 permit tcp 10.1.0.0 0.0.255.255 host 10.1.2.22 eq ftp 配置到这里，我们发现permit tcp 10.0.0.0 0.0.255.255 host 10.1.2.21 eq 1521这句配错了，我们得把它给取掉并重新配置，OK，我样可以简单的进行如下配置： ip access-list extend server- protect no permit tcp 10.0.0.0 0.0.255.255 host 10.1.2.21 eq 1521 permit tcp 10.1.0.0 0.0.0.255 host 10.1.2.21 eq 1521 exit int vlan 2 ip access-group server- protect 就可以了。现在对命名的IP access-list的配置方法解释如下： ip access-list extend server-access-limit：ip access-list相当于使用编号的access-list中的access-list段。extend表明是扩展的ACL(对应地，standard表示标准的ACL)。server-access-limit是access-list的名字，相当于基于编号的ACL中的编号字段。 permit tcp 10.1.6.0 0.0.0.255 host 10.1.2.21 eq 1521：这一段和使用编号的access-list的后半段的意义相同，都由操作和条件两段组成。 其实基于名字的IP ACL还有一个很好的优点就是可以为每个ACL取一个有意义的名字，便于日后的管理与维护。所以Ultra工作室强烈建议各位看官在实际工作中均使用命名的ACL。 进一步完善对服务器数据的保护――ACL执行顺序再探讨 在服务器网段中的数据库服务器中存放有大量的市场信息，市场部门的人员不希望研发部门访问到数据库服务器，经过协商，同意研发部门的领导的机器（IP地址为10.1.6.33）可以访问到数据库服务器。这样，我们的服务器网段的的访问权限部分如下表所示： 协议 源地址 源端口 目的地址 目的端口 操作 tcp 10.1/16 所有 10.1.2.20/32 80 允许访问 tcp 10.1/16 所有 10.1.2.22/32 21 允许访问 tcp 10.1/16 所有 10.1.2.21/32 1521 允许访问 tcp 10.1.6/24 所有 10.1.2.21/32 1521 禁止访问 tcp 10.1.6.33/32 所有 10.1.2.21/32 1521 允许访问 ip 10.1/16 n/a 所有 n/a 禁止访问
于是，网管就在server-protect后面顺序加了两条语句进去，整个ACL变成了如下形式： permit tcp 10.1.0.0 0.0.255.255 host 10.1.2.20 eq www permit tcp 10.1.0.0 0.0.255.255 host 10.1.2.21 eq 1521 permit tcp 10.1.0.0 0.0.255.255 host 10.1.2.22 eq ftp deny tcp 10.1.6.0 0.0.0.255 host 10.1.2.21 eq 1521 permit tcp host 10.1.6.33 host 10.1.2.21 eq 1521 做完之后发现根本没起到应有的作用，研发部门的所有机器还是可以访问到数据库服务器。这是为什么呢？ 前面我们提到过，ACL的执行顺序是从上往下执行，一个包只要遇到一条匹配的ACL语句后就会停止后续语句的执行，在我们的这个ACL中，因为前面已经有了一条permit tcp 10.1.0.0 0.0.255.255 host 10.1.2.21 eq 1521语句。内部网上所有访问10.1.2.21的1521端口的在这儿就全部通过了，跟本不会到后面两句去比较。所以导致达不到我们的目的。应该把server-protect这个ACL按如下形式进行修改才能满足我们的要求： ip access-list extend server-protect permit tcp host 10.1.6.33 host 10.1.2.21 eq 1521 deny tcp 10.1.6.0 0.0.0.255 host 10.1.2.21 eq 1521 permit tcp 10.1.0.0 0.0.255.255 host 10.1.2.21 eq 1521 permit tcp 10.1.0.0 0.0.255.255 host 10.1.2.20 eq www permit tcp 10.1.0.0 0.0.255.255 host 10.1.2.22 eq ftp 这个例子告诉我们在写ACL时，一定要遵循最为精确匹配的ACL语句一定要写在最前面的原则，只有这样才能保证不会出现无用的ACL语句。 基于时间的ACL 在保证了服务器的数据安全性后，领导又准备对内部员工上网进行控制。要求在上班时间内(9:00-18:00)禁止内部员工浏览internet，禁止使用QQ、MSN。而且在2003年6月1号到2号的所有时间内都不允许进行上述操作。但在任何时间都可以允许以其它方式访问Internet。天哪，这可叫人怎么活呀，但领导既然这样安排，也只好按指示做了。
首先，让我们来分析一下这个需求，浏览internet现在基本上都是使用http或https进行访问，标准端口是TCP/80端口和TCP/443，MSN使用TCP/1863端口，QQ登录会使用到TCP/UDP8000这两个端口，还有可能使用到udp/4000进行通讯。而且这些软件都能支持代理服务器，目前的代理服务器主要布署在TCP 8080、TCP 3128（HTTP代理）和TCP1080(socks)这三个端口上。这个需求如下表所示： 然后，让我们看看ACL应该在哪个位置配置比较好呢？由于是对访问Internet进行控制，涉及到的是公司内部所有的网段，这们这次把ACL就放到公司的Internet出口处。在RTA上进行如下的配置，就能够满足领导的要求了： time-range TR1 absolute start 00:00 1 June 2003 end 00:00 3 June 2003 periodic weekdays start 9:00 18:00 exit ip access-list extend internet_limit deny tcp 10.1.0.0 0.0.255.255 any eq 80 time-range TR1 deny tcp 10.1.0.0 0.0.255.255 any eq 443 time-range TR1 deny tcp 10.1.0.0 0.0.255.255 any eq 1863 time-range TR1 deny tcp 10.1.0.0 0.0.255.255 any eq 8000 time-range TR1 deny udp 10.1.0.0 0.0.255.255 any eq 8000 time-range TR1 deny udp 10.1.0.0 0.0.255.255 any eq 4000 time-range TR1 deny tcp 10.1.0.0 0.0.255.255 any eq 3128 time-range TR1 deny tcp 10.1.0.0 0.0.255.255 any eq 8080 time-range TR1 deny tcp 10.1.0.0 0.0.255.255 any eq 1080 time-range TR1 permit ip any any int s0/0 ip access-group internet_limit out 或int fa0/0 ip access-group internet_limit in 或者将ACL配置在SWA上，并 int vlan 3 ip access-group internet_limit out 呵呵，现在让我们来看看在基于时间的访问列表中都有哪些新内容吧： time-range TR1：定义一个新的时间范围，其中的TR1是为该时间范围取的一个名字。 absolute：为绝对时间。只使用一次。可以定义为1993-2035年内的任意一个时点。具体的用法请使用？命令查看。 Periodic：为周期性重复使用的时间范围的定义。完整格式为periodic 日期关键字 开始时间 结束时间。其中日期关键字的定义如下所示： Monday 星期一 Tuesday 星期二 Wednesday 星期三 Thursday 星期四 Friday 星期五 Saturday 星期六 Sunday 星期天 daily 每天 weekdays 周一至五 weekend 周末 access-list 101 deny ip 10.1.0.0 0.0.255.255 any time-range TR1:注意这一句最后的time-range TR1，使这条ACL语句与time-range TR1相关联，表明这条语句在time-range TR1所定义的时间范围内才起作用。 注意：给出三种配置位置是帮助大家深刻理解关于in/out的区别的。acl是对从一个接上流入(in)或流出(out)路由器的包进行过滤的。 网管发问了，“你是怎么找到这些应用的所使用的端口的？”。呵呵，在如下文件中可以找到大多数应用的端口的定义： Win9x:%windir%\services WinNT/2000/XP：%windir%\system32\drivers\etc\services Linux：/etc/services 对于在services文件中找不到端口的应用，可以在运行程序的前后，运行netstat –ap来找出应用所使用的端口号。 单向访问控制 使用IP ACL实现单向访问控制 A公司准备实行薪资的不透明化管理，由于目前的薪资收入数据还放在财务部门的Vlan中，所以公司不希望市场和研发部门能访问到财务部Vlan中的数据，另一方面，财务部门做为公司的核心管理部门，又希望能访问到市场和研发部门Vlan内的数据。我们的网管在接到这个需求后就在SWA上做了如下的配置： ip access-list extend fi-access-limit deny ip any 10.1.4.0 0.0.0.255 permit ip any any int vlan 5 本文由路由器网www.luyouqiwang.net站长编辑整理，转载请注明出处。 |
