思科路由器用自反訪問控制列表ACL實現(xiàn)網(wǎng)段之間單向訪問配置設(shè)置方法圖解

1、思科路由器用自反訪問控制列表（ACL）實現(xiàn)網(wǎng)段之間單向訪問配置（設(shè)置）方法問題的提出：有二個網(wǎng)段，網(wǎng)絡(luò)號分別為與，分別有主機與，開啟了WWW服務(wù)和遠程桌面。要求只允許網(wǎng)絡(luò)訪問，而不允許反向訪問，應(yīng)該怎樣用ACL解決？方案：首先會想到用ACL實現(xiàn)，或者用擴展ACL實現(xiàn)。Router#conf tRouter(config)#acc 10 deny .255 /拒絕網(wǎng)段Router(config)#acc 10 permi

2、t anyRouter(config)#int e0Router(config-if)#ip ace 10 in /ACL應(yīng)用在流入方向Router(config)#endRouter#wri顯示配置清單看上去拒絕了網(wǎng)段發(fā)往網(wǎng)段的數(shù)據(jù)流，但是，由網(wǎng)段主動發(fā)起的發(fā)往網(wǎng)段的回程數(shù)據(jù)也被擋住了。兩邊無法通訊。換擴展ACL試試Router#conf tRouter(config)#acc 110 deny tcp .255 55 eq 3389 /拒絕1

3、網(wǎng)段訪問網(wǎng)段遠程桌面Router(config)#acc 110 permit ip any any Router(config)#int e0Router(config-if)#ip ace 110 inRouter(config)#endRouter#wri顯示配置清單測試結(jié)果網(wǎng)段不能訪問網(wǎng)段遠程桌面，網(wǎng)段可以訪問網(wǎng)段，與目標近了一步。但是，是否要寫完整全部的使用端口才能達到目的呢？這似乎不可能，并且也不是好辦法。一種被稱為自反擴展ACL可以在這種場合使用。它能

4、以出去為條件，觸發(fā)開啟返回數(shù)據(jù)流通道。使單向訪問得以實現(xiàn)。試試自反控制訪問列表效果Router(config)#ip acce ext refin /refin是訪問控制列表名，隨意定，此處表示/自反應(yīng)用在進方向Router(config-ext-nacl)#per icmp .255 55 echo /允許網(wǎng)段ping網(wǎng)段Router(config-ext-nacl)#evaluate abc /ACL到此處結(jié)束Router(config-ext-nacl)#exitRouter(con

5、fig)#ip acce ext refout Router(config-ext-nacl)#per ip .255 55 ref abc time 5 /允許網(wǎng)段訪問網(wǎng)段Router(config-ext-nacl)#exit Router(config)#int e0 /在e0接口上作綁定Router(config-if)#ip access-g refin in Router(config-if)#ip access-g refout out Router(config-if)#e

6、ndRouter#顯示配置清單Router#sh sccess-l /顯示ACLACL生效后，Router#sh sccess-l /顯示ACL可以看到自反觸發(fā)了一條允許條目，用3389端口回應(yīng)的隨機端口1065ACL生效后，訪問的WWW服務(wù)Router#sh sccess-l /顯示ACL可以看到自反觸發(fā)了一條允許條目，用WWW端口回應(yīng)的隨機端口1064ACL生效后，主機Router#sh sccess-l /顯示ACL當timeout不限定是，默認是300秒Router#sh sccess-l /顯示ACL可以看到自反觸發(fā)的全部允許條目再測試一下從從網(wǎng)段到網(wǎng)段，禁止了所有協(xié)議，除