基于时间的访问控制列表的应用研究

摘 要: 基于时间的访问控制列表是在特定时间段对网络中传输的数据包进行过滤的一种技术,在实际工作中有着非常广泛的应用。本文作者结合其校园网中的实际应用,以锐捷3750交换机为例,结合实际网络拓扑结构,介绍了基于时间的访问控制列表的使用方法。

关键词: 访问控制列表 基于时间 应用

1.访问控制列表

访问控制是网络安全防范和保护的主要策略,它的主要任务是保证网络资源不被非法使用和访问。它是保证网络安全最重要的核心策略之一。访问控制涉及的技术比较广,包括入网访问控制、网络权限控制、目录级控制及属性控制等多种手段。

访问控制列表(ACL)是应用在路由器接口的指令列表。这些指令列表用来告诉路由器哪些数据包可以接收、哪些数据包需要拒绝。至于数据包是被接收还是拒绝,可以由类似于源地址、目的地址、端口号等的特定指示条件来决定。

访问控制列表(ACL)是网络防御的前沿阵地,它提供了一种可以控制通过路由器和交换机不同接口的信息流的机制。通过访问控制列表来管理信息流,以达到指定相应的网络策略。这种策略通过描述安全、时间等条件来反映流量的优先权。

2.几种常见的访问控制列表

(1)标准IP访问控制列表。

一个标准IP访问控制列表匹配IP包中的源地址或源地址中的一部分,可对匹配的包采取拒绝或允许两个操作。编号范围是从1到99的访问控制列表是标准IP访问控制列表。

(2)扩展IP访问控制列表。

扩展IP访问控制列表比标准IP访问控制列表具有更多的匹配项,包括协议类型、源地址、目的地址、源端口、目的端口、建立连接的和IP优先级等。编号范围是从100到199的访问控制列表是扩展IP访问控制列表。

(3)命名的IP访问控制列表。

所谓命名的IP访问控制列表是以列表名代替列表编号来定义IP访问控制列表,同样包括标准和扩展两种列表,定义过滤的语句与编号方式中相似。

3.基于时间的访问控制列表

基于时间的访问列表是在原来标准访问列表和扩展访问列表中加入有效的时间范围来更合理、有效地控制网络的。它先定义一个时间范围,然后在原来的各种访问列表的基础上应用它,对于编号访问列表和名称访问列表均适用。

4.应用举例

我院网络(1)(2)班教室里,每人一台电脑,接入交换机与一台RG3750交换机相连,可以全天候访问Internet。但是,部分学生在上课时间还在上网,不注意听讲,影响了上课效果。于是,我想到利用基于时间的访问控制列表对两班教室进行上网控制,即只有课外时间才能上网,上课时间网络会自动中断,下课后又会自动开启,以减少管理负担。

基于时间的访问控制列表的配置步骤通常是以下几点。

(1)定义时间段及时间范围。

【配置命令】

Switch#time-range free

absolute:该命令用来指定绝对时间范围。它后面紧跟start和end两个关键字。在两个关键字后面的时间要以24小时制和“hh:mm(小时:分钟)”表示,日期要按照“日/月/年”形式表示。这两个关键字也可以都省略。如果省略start及其后面的时间,表示与之相联系的permit或deny语句立即生效,并一直作用到end处的时间为止;若省略end及其后面的时间,表示与之相联系的permit或deny语句在start处表示的时间开始生效,并且永远发生作用(当然,如把访问列表删除了的话就不会起作用了)。

periodic:主要以星期为参数来定义时间范围。它的参数主要有Monday、Tuesday、Wednesday、Thursday、Friday、Saturday、Sunday中的一个或者几个的组合,也可以是daily(每天)、weekday(周一到周五)或者weekend(周末)。

【配置命令】

Switch#periodic Weekend 8:00 to 21:00

Switch#periodic Weekdays 17:30 to 21:00

(2)ACL自身的配置,即将详细的规则添加到ACL中。

Switch#ip access-list standard net

Permit 192.168.81.0.0.0.255 time-rang free

Permit 192.168.82.0.0.0.255 time-rang free

Deny any

网络(1)班IP地址为192.168.81.x,网络(2)班IP地址为192.168.82.x。

(3)宣告ACL,将设置好的ACL添加到相应的端口中。

Switch(config)#interface range fastEthernet0/1

Switch(config-if)#ip access-group net in

其中f0/1为网络(1)班接入口,f0/2为网络(2)班接入口。

(4)配置系统时间

至此,基于时间的访问控制列表就配置完毕了,但是路由器或交换机的时间是否准确,也是一个非常关键的问题。所以,我们还须对交换机系统时间进行设置。

clock set hh:mm:ss day month year

【配置命令】

Switch#clock set 10:23:02 10 3 2010

基于时间的访问控制列表的应用非常多,譬如有的公司要求其员工在上班时间内不能使用QQ、MSN等聊天软件,但在休息时间可以正常访问;学校宿舍区要求夜里11∶00以后断网,以督促学生按时休息,等等。如果网络管理员能熟练运用基于时间的访问控制列表,就可以使工作事半功倍。

参考文献:

[1]禹龙等.利用访问控制列表提高网络安全及实例[J].微计算机信息.

[2]王渊明等.基于时间的访问控制列表的应用.山东通信技术,2005,(1).

本文为全文原貌 未安装PDF浏览器用户请先下载安装 原版全文