利用acl实现网络单向访问

《利用acl实现网络单向访问》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、本文由艾迪飞整理 PC(10.1.1.2)---E0(10.1.1.1)[RouterA]S0(192.1.1.1)---S1(192.1.1.2)[RouterB]　　做网络的单向访问其实实现的是防火墙的基本功能：我是内网，你是外网，我能访问你，但你不能访问我。 　　所以现在假设RouterA的E0口所连网段为内网段，RouterAS0所连的网段为外网段，还假设我想做的是内网的PC机能ping通外网RouterB的S1口，但RouterB却ping不进我的内网。 　　用ACL来实现类似的单向访问控制需要用到一种特殊的ACL，叫ReflexiveACL。Refle

2、xiveACL的配置分为两个部分，一部分是outbound的配置，一部分是inbound的配置。 　　在继续下面的说明之前，先说点题外话。在最开始想到单向访问问题时，我（也包括其它一些我的同事）自然的就这么想：那我在E0口上允许PC的流量进来，然后再在S0口上禁止RouterB的流量进来不就行了？看上去好像没什么问题，但一试就知道其实是不行的。为什么不行呢，因为很多人都忽略了这么一个问题：即绝大多数的网络流量都是有去有回的，上面的方法只解决了去的问题，但这个流量在到达RouterB后，RouterB还需要返回这个流量给PC，这个返回的流量到了RouterA的S0口

3、，但上面的方法却在S0口上禁止了RouterB的流量进来，回来的流量被挡住了，通讯失败。 　　ReflexiveACL中outbound的部分决定了我出去的哪些内网网络流量是需要被单向访问的，inbound部分决定了这些流量在返回后能被正确的识别并送给内网发起连接的PC机。 ReflexiveACL中outbound的部分： ipaccess-listextendedoutbound_filter permiticmpanyanyreflecticmp_traffic permitipanyany !---注意在ReflexiveACL中只能用named方式的AC

4、L，不能用numbered方式的ACL。 !---基本配置和普通ACL并没有什么太多不同，不同之处是reflecticmp_traffic，它的意思是这条ACE作为单向流量来处理，并且给了一个名称叫icmp_traffic，icmp_traffic在inbound部分被引用。 !---permitipanyany并不是必要的，加在这里是为了另一个测试，下面会说明。 ReflexiveACL中inbound的部分： ipaccess-listextendedinbound_filter evaluateicmp_traffic denyipanyanylog 　　!

5、---inbound的配置有和普通ACL有点不同了，第一句evaluateicmp_traffic对上述outbound配置中的icmp_traffic进行了引用，也就是说，它要检查从外网进来的流量，如果这个流量确实是从内网发起的对外访问的返回流量，那么允许这个流量进来。 　　!---注意denyipanyanylog这句，虽然这句也是不必配的，因为是默认的denyipanyany，但我加了log来对上面outbound部分的permitipanyany进行测试。 　　Reflexive本文由艾迪飞整理本文由艾迪飞整理ACL中应用到接口的部分： interface

6、Serial0 ipaddress192.1.1.1255.255.255.0 ipaccess-groupinbound_filterin ipaccess-groupoutbound_filterout      !---这里也有一些讲究，ACLoutbound_filter被应用到外网口的out方向，ACLinbound_filter被应用到外网口的in方向，in和out不能搞混。 　　好，现在进行测试，在10.1.1.2上ping192.1.1.2，通了，RouterB上则ping不通10.1.1.2。 　　现在还余下一个问题：路由器既然已经deny了外网

7、进来的所有流量，那么它是怎么允许内网出去的返回流量进来呢？ 　　它是通过创建动态生成的ACL来允许返回流量的，下面看看showaccess-list的结果： ……   ReflexiveIPaccesslisticmp_traffic 　permiticmphost192.1.1.2host10.1.1.2(24matches)(timeleft196) …… 　　这些动态ACL可通过TCP的FIN/RST包来动态自动消除，对ICMP这样stateless的包来说，是通过内置的timer来消除的，这点可通过上述showaccess-list结果中的(timelef

8、t196)