风不停
ASA5500系列防火墙恢复IOS全过程 博客统计信息
热门文章
搜索本博客内文章 我的技术圈(
最近访客
最新评论
友情链接
[1楼] [匿名]wander
[2楼] [匿名]51CTO游客
点击图片可刷新验证码
思科Cisco路由器access-list访问控制列表命令详解 Post by mrchen, 2010-07-25, Views: 原创文章如转载，请注明：转载自冠威博客 [ https://www.doczj.com/doc/8714576730.html,/ ] 本文链接地址： https://www.doczj.com/doc/8714576730.html,/post/Cisconetwork/07/Cisco-access-list.html CISCO路由器中的access-list（访问列表）最基本的有两种，分别是标准访问列表和扩展访问列表，二者的区别主要是前者是基于目标地址的数据包过滤，而后者是基于目标地址、源地址和网络协议及其端口的数据包过滤。 标准型IP访问列表的格式 ---- 标准型IP访问列表的格式如下： ---- access-list[list number][permit|deny][source address][address][wildcard mask][log] ---- 下面解释一下标准型IP访问列表的关键字和参数。首先，在access和list 这2个关键字之间必须有一个连字符"-"； 一、list nubmer参数 list number的范围在0～99之间，这表明该access-list语句是一个普通的标准型IP访问列表语句。因为对于Cisco IOS，在0～99之间的数字指示出该访问列表和IP协议有关，所以list number参数具有双重功能: （1）定义访问列表的操作协议; （2）通知IOS在处理access-list语句时，把相同的list number参数作为同一实体对待。正如本文在后面所讨论的，扩展型IP访问列表也是通过list number（范围是100～199之间的数字）而表现其特点的。因此，当运用访问列表时，还需要补充如下重要的规则: 在需要创建访问列表的时候，需要选择适当的list number参数。 二、permit|deny 允许/拒绝数据包通过 ---- 在标准型IP访问列表中，使用permit语句可以使得和访问列表项目匹配的数据包通过接口，而deny语句可以在接口过滤掉和访问列表项目匹配的数据包。
思科交换机基本配置实例讲解
目录 1、基本概念介绍............................................... 2、密码、登陆等基本配置....................................... 3、CISCO设备端口配置详解...................................... 4、VLAN的规划及配置........................................... 4.1核心交换机的相关配置..................................... 4.2接入交换机的相关配置..................................... 5、配置交换机的路由功能....................................... 6、配置交换机的DHCP功能...................................... 7、常用排错命令...............................................
1、基本概念介绍 IOS: 互联网操作系统，也就是交换机和路由器中用的操作系统VLAN: 虚拟lan VTP: VLAN TRUNK PROTOCOL DHCP: 动态主机配置协议 ACL：访问控制列表 三层交换机：具有三层路由转发能力的交换机 本教程中“#”后的蓝色文字为注释内容。 2、密码、登陆等基本配置 本节介绍的内容为cisco路由器或者交换机的基本配置，在目前版本的cisco交换机或路由器上的这些命令是通用的。本教程用的是cisco的模拟器做的介绍，一些具体的端口显示或许与你们实际的设备不符，但这并不影响基本配置命令的执行。 Cisco 3640 (R4700) processor (revision 0xFF) with 124928K/6144K bytes of memory. Processor board ID 00000000 R4700 CPU at 100MHz, Implementation 33, Rev 1.2
Network Object NAT配置介绍 1.Dynamic NAT（动态NAT，动态一对一） 实例一: 传统配置方法： nat (Inside) 1 10.1.1.0 255.255.255.0 global (Outside) 1 202.100.1.100-202.100.1.200 新配置方法（Network Object NAT） object network Outside-Nat-Pool range 202.100.1.100 202.100.1.200 object network Inside-Network subnet 10.1.1.0 255.255.255.0 object network Inside-Network nat (Inside,Outside) dynamic Outside-Nat-Pool 实例二: object network Outside-Nat-Pool range 202.100.1.100 202.100.1.200 object network Outside-PAT-Address host 202.100.1.201 object-group network Outside-Address network-object object Outside-Nat-Pool network-object object Outside-PAT-Address object network Inside-Network （先100-200动态一对一，然后202.100.1.201动态PAT,最后使用接口地址动态PAT） nat (Inside,Outside) dynamic Outside-Address interface 教主认为这种配置方式的好处是，新的NAT命令绑定了源接口和目的接口，所以不会出现传统配置影响DMZ的问题（当时需要nat0 + acl来旁路）2.Dynamic PAT (Hide)（动态PAT，动态多对一） 传统配置方式： nat (Inside) 1 10.1.1.0 255.255.255.0 global(outside) 1 202.100.1.101 新配置方法（Network Object NAT） object network Inside-Network subnet 10.1.1.0 255.255.255.0 object network Outside-PAT-Address host 202.100.1.101 object network Inside-Network nat (Inside,Outside) dynamic Outside-PAT-Address
思科PIX防火墙简单配置实例 在本期应用指南中，管理员可以学到如何设置一个新的PIX防火墙。你将设置口令、IP地址、网络地址解析和基本的防火墙规则。 假如你的老板交给你一个新的PIX防火墙。这个防火墙是从来没有设置过的。他说，这个防火墙需要设置一些基本的IP地址、安全和一些基本的防火墙规则。你以前从来没有使用过PIX防火墙。你如何进行这种设置?在阅读完这篇文章之后，这个设置就很容易了。下面，让我们看看如何进行设置。 基础 思科PIX防火墙可以保护各种网络。有用于小型家庭网络的PIX防火墙，也有用于大型园区或者企业网络的PIX防火墙。在本文的例子中，我们将设置一种PIX 501型防火墙。PIX 501是用于小型家庭网络或者小企业的防火墙。 PIX防火墙有内部和外部接口的概念。内部接口是内部的，通常是专用的网络。外部接口是外部的，通常是公共的网络。你要设法保护内部网络不受外部网络的影响。 PIX防火墙还使用自适应性安全算法(ASA)。这种算法为接口分配安全等级，并且声称如果没有规则许可，任何通信都不得从低等级接口(如外部接口)流向高等级接口(如内部接口)。这个外部接口的安全等级是“0”，这个内部接口的安全等级是“100”。 下面是显示“nameif”命令的输出情况: pixfirewall# show nameif nameif ethernet0 outside security0 nameif ethernet1 inside security100 pixfirewall# 请注意，ethernet0(以太网0)接口是外部接口(它的默认名字)，安全等级是0。另一方面，ethernet1(以太网1)接口是内部接口的名字(默认的)，安全等级是100。 指南 在开始设置之前，你的老板已经给了你一些需要遵守的指南。这些指南是: ·所有的口令应该设置为“思科”(实际上，除了思科之外，你可设置为任意的口令)。 ·内部网络是10.0.0.0，拥有一个255.0.0.0的子网掩码。这个PIX防火墙的内部IP地址应该是10.1.1.1。
AAA详解收藏 Authentication:用于验证用户的访问，如login access,ppp network access等。Authorization:在Autentication成功验证后，Authorization用于限制用户可以执行什么操作，可以访问什么服务。 Accouting:记录Authentication及Authorization的行为。 Part I. 安全协议 1>Terminal Access Controller Access Control System Plus (TACACS+) Cisco私有的协议。加密整个发给tacacs+ server的消息，用户的keys。 支持模块化AAA，可以将不同的AAA功能分布于不同的AAA Server甚至不同的安全协议，从而可以实现不同的AAA Server/安全协议实现不同的AAA功能。 配置命令： Router(config)# tacacs-server host IP_address [single-connection] [port {port_#}] [timeout {seconds}] [key {encryption_key}] Router(config)# tacacs-server key {encryption_key} 注： (1)single-connection:为Router与AAA Server的会话始终保留一条TCP链接，而不是默认的每次会话都打开/关闭TCP链接。 (2)配置两个tacacs-server host命令可以实现tacacs+的冗余，如果第一个server fail了，第二个server可以接管相应的服务。第一个tacacs-server host命令指定的server为主，其它为备份。 (3)配置inbound acl时需要permit tacacs+的TCP port 49。 (4) 如果两个tacacs-server使用不同的key,则需要在tacacs-server host命令中指定不同的encryption_key,否则可以使用tacacs-server key统一定制。但tacacs-server host命令中的key 定义优先于tacacs-server key命令。 Troubleshooting: 命令： #show tacacs #debug tacacs 关于TACACS+的操作信息。 #debug tacacs events 比debug tacacs更详细的信息，包括router上运行的TACACS+ processes 消息。 Router# show tacacs Tacacs+ Server : 10.0.0.10/49 Socket opens: 3 Socket closes: 3 Socket aborts: 0 Socket errors: 0 Socket Timeouts: 0 Failed Connect Attempts: 0 Total Packets Sent: 42 Total Packets Recv: 41 Expected Replies: 0
Cisco ASA 5505配置详解 (2011-06-10 09:46:21) 分类：IT 标签： it 在配ASA 5505时用到的命令 2009-11-22 22:49 nat-control命令 在6.3的时候只要是穿越防火墙都需要创建转换项，比如：nat；static等等，没有转换项是不能穿越防火墙的，但是到了7.0这个规则有了变化，不需要任何转换项也能正常的像路由器一样穿越防火墙。但是一个新的命令出现了！当你打上nat-control这个命令的时候，这个规则就改变得和6.3时代一样必须要有转换项才能穿越防火墙了。7.0以后开始nat-control 是默认关闭的，关闭的时候允许没有配置NAT规则的前提下和外部主机通信，相当于路由器一样，启用NAT开关后内外网就必须通过NAT转换才能通信 1、定义外口 interface Ethernet0/0 进入端口 nameif outside 定义端口为外口 security-level 0 定义安全等级为0 no shut 激活端口 ip address ×.×.×.× 255.255.255.248 设置IP 2、定义内口 interface Ethernet0/1 nameif inside 定义端口为内 security-level 100 定义端口安去昂等级为100 no shut ip address 192.168.1.1 255.255.255.0 3、定义内部NAT范围。 nat (inside) 1 0.0.0.0 0.0.0.0 任何IP都可以NAT，可以自由设置范围。 4、定义外网地址池 global (outside) 1 10.21.67.10-10.21.67.14 netmask 255.255.255.240 或 global (outside) 1 interface 当ISP只分配给一个IP是，直接使用分配给外口的IP地址。5、设置默认路由 route outside 0 0 218.17.148.14 指定下一条为IPS指定的网关地址 查看NAT转换情况 show xlate --------------------------------------------------- 一：6个基本命令：nameif、interface、ip address 、nat、global、route。 二：基本配置步骤：
Cisco 交换机SHOW 命令详解！ show cdp entry * 同show cdpneighbordetail命令一样，但不能用于1900交换机show cdp interface 显示启用了CDP的特定接口 show cdp neighbor 显示直连的相邻设备及其详细信息 show cdp neighbor detail 显示IP地址和IOS版本和类型，并且包括show cdp neighbor命令显示的所有信息 show cdp traffic 显示设备发送和接收的CDP分组数以及任何出错信息 Show controllers s 0 显示接口的DTE或DCE状态 show dialer 显示拨号串到达的次数、B信道的空闲超时时间值、呼叫长度以及接口所连接的路由器的名称 show flash 显示闪存中的文件 show frame-relay Imi 在串行接口上设置LMI类型 show frame-relay map 显示静态的和动态的网络层到PVC的映射 show frame-relay pvc 显示路由器上己配置的PVC和DLCI号 show history 默认时显示最近输人的10个命令 show hosts 显示主机表中的内容
show int fO/26 显示抑/26的统汁 show inter e0/l 显示接口e0/l的统计 show interface So 显示接口serial上的统计信息 show ip 显示该交换机的IP配置 show ip access-list 只显示IP访问列表 show ip interface 显示哪些接口应用了IP访问列表 show ip interface 显示在路由器上配置的路由选择协议及与每个路由选择协议相关的定时器 show ip route 显示IP路由表 show ipx access-list 显示路由器上配置的IPX访问列表 trunk on 将一个端口设为永久中继模式 usemame name password 为了Cisco路由器的身份验证创建用户名和口令password variance 控制最佳度量和最坏可接受度量之间的负载均衡 vlan 2 name Sales 创建一个名为Sales的VLAN2 lan-membership static 2 给端口分配一个静态VLAN
cisco ASA5510配置实例 2008年11月11日 07:52 ASA5510# SHOW RUN : Saved : ASA Version 7.0(6) ! hostname ASA5510 enable password 2KFQnbNIdI.2KYOU encrypted names dns-guard ! interface Ethernet0/0 此接口为外部网络接口 nameif outside 设置为 OUTSIDE 外部接口模式 security-level 0 外部接口模式安全级别为最低 0 ip address 192.168.3.234 255.255.255.0 添加外部IP地址（一般为电信/网通提供） ! interface Ethernet0/1此接口为内部网络接口 nameif inside设置为 INSIDE 内部接口模式 security-level 100内部接口模式安全级别最高为 100 ip address 10.1.1.1 255.255.0.0添加内部IP地址 ! interface Ethernet0/2 没用到 shutdown no nameif no security-level no ip address ! interface Management0/0 nameif management security-level 100 ip address 192.168.1.1 255.255.255.0 没用，用网线连接管理的端口。management-only ! passwd 2KFQnbNIdI.2KYOU encrypted ftp mode passive pager lines 24 logging asdm informational mtu outside 1500 mtu inside 1500 mtu management 1500 no asdm history enable arp timeout 14400
CISCO PIX防火墙系统管理 使用Telnet进行远程系统管理（Using Telnet for Remote System Management）IDS系统日志信息（IDS Syslog Messages） 使用DHCP（Using DHCP） 使用SNMP（Using SNMP） 使用SSH（Using SSH） 一、使用Telnet进行远程系统管理（Using Telnet for Remote System Management） 在内部和第三接口上可经由Telnet访问控制台。第三接口是与PIX防火墙中第三个可用插槽相连的网络。您可用show nameif命令浏览第三接口。列表从上往下的第三项是第三接口。 串行控制台让单一用户配置PIX防火墙，但很多情况下这对有多位管理员的站点来说不太方便。PIX防火墙允许您从任意内部接口上的主机经由Telnet访问串行控制台。配置了IPSec后，您就可使用Telnet从外部接口远程管理PIX防火墙的控制台。本部分包括以下内容： ? 配置Telnet控制台访问（Configuring Telnet Console Access） ? 测试Telnet访问（Testing Telnet Access） ? 保护外部接口上的Telnet连接（Securing a Telnet Connection on the Outside Interface） ? Trace Channel特性（Trace Channel Feature） (一)、配置Telnet控制台访问（Configuring Telnet Console Access） 按照以下步骤来配置Telnet控制台访问： 步骤1 使用PIX防火墙telnet命令。例如，如想让一台位于内部接口之上、地址为192.168.1.2的主机访问PIX防火墙，就输入以下命令。 telnet 192.168.1.2 255.255.255.255 inside 如果设置了IPSec，您即可让位于外部接口上的主机访问PIX防火墙控制台。具体信息请参见"保护外部接口上的Telnet连接（Securinga Telnet Connection on the Outside Interface）"部分。使用如下命令。telnet 209.165.200.225 225.255.225.224 outside 步骤2 如需要，可对PIX防火墙在断开一个Telnet会话前，该会话可闲置的时间长度
交换机支持的命令： 交换机基本状态switch 路由器是rommon> hostname> 用户模式hostname# 特权模式 hostname(config)# 全局配置模式 hostname(config-if)# 接口状态交换机口令设置： switch>enable 进入特权模式 switch#config terminal 进入全局配置模式 switch(config)#hostname 设置交换机的主机名 switch(config)#enable secret xxx 设置特权加密口令 switch(config)#enable password xxa 设置特权非密口令 switch(config)#line console 0 进入控制台口 switch(config-line)#line vty 0 4 进入虚拟终端 switch(config-line)#login 允许登录 switch(config-line)#password xx 设置登录口令xx switch#exit 返回命令交换机VLAN设置： switch#vlan database 进入VLAN设置 switch(vlan)#vlan 2 建VLAN 2 switch(vlan)#no vlan 2 删vlan 2 switch(config)#int f0/1 进入端口1 switch(config-if)#switchport access vlan 2 当前端口加入vlan 2 switch(config-if)#switchport mode trunk 设置为干线 switch(config-if)#switchport trunk allowed vlan 1，2 设置允许的vlan switch(config-if)#switchport trunk encap dot1q 设置vlan 中继 switch(config)#vtp domain 设置vtp域名 switch(config)#vtp password 设置vtp密码 switch(config)#vtp mode server 设置vtp模式 switch(config)#vtp mode client 设置vtp模式 交换机设置IP地址： switch(config)#interface vlan 1 进入vlan 1 switch(config-if)#ip address 设置IP地址 switch(config)#ip default-gateway 设置默认网关 switch#dir flash: 查看闪存交换机显示命令： switch#write 保存配置信息 switch#show vtp 查看vtp配置信息 switch#show run 查看当前配置信息 switch#show vlan 查看vlan配置信息 switch#show interface 查看端口信息 switch#show int f0/0 查看指定端口信息 路由器支持的命令： 路由器显示命令： router#show run 显示配置信息\ router#show interface 显示接口信息 router#show ip route 显示路由信息 router#show cdp nei 显示邻居信息 router#reload重新起动 路由器口令设置： router>enable 进入特权模式 router#config terminal 进入全局配置模式
思科交换机的配置命令 你还在为不知道思科交换机的配置命令而烦恼么?接下来是小编为大家收集的思科交换机的配置命令教程，希望能帮到大家。 思科交换机的配置命令 交换机基本状态： hostname>/用户模式 hostname#/特权模式 hostname(config)#/全局配置模式 hostname(config-if)#/接口状态 交换机口令设置： switch>enable/进入特权模式
switch#configterminal/进入全局配置模式 switch(config)#hostname/设置交换机的主机名switch(config)#enablesecretxxx/设置特权加密口令switch(config)#enablepasswordxxa/设置特权非密口令switch(config)#lineconsole0/进入控制台口 switch(config-line)#linevty04/进入虚拟终端 switch(config-line)#login/允许登录 switch(config-line)#passwordxx/设置登录口令xx switch#exit/返回命令 交换机VLAN设置： switch#vlandatabase/进入VLAN设置
switch(vlan)#vlan2/建VLAN 2switch(vlan)#novlan2/删vlan 2switch(config)#intf0/1/进入端口1 switch(config-if)#switchportaccessvlan2/当前端口加入 vlan2switch(config-if)#switchportmodetrunk/设置为干线 switch(config-if)#switchporttrunkallowedvlan1，2/设置允许的 vlanswitch(config-if)#switchporttrunkencapdot1q/设置vlan中继 switch(config)#vtpdomain/设置发vtp域名 switch(config)#vtppassword/设置发vtp密码 switch(config)#vtpmodeserver/设置发vtp模式
ASA防火墙疑难杂症解答 ASA防火墙疑难杂症解答 1...............................内部网络不能ping通internet 2........................内部网络不能使用pptp拨入vpn服务器 3....................内部网络不能通过被动Mode访问ftp服务器 4.................................内部网络不能进行ipsec NAT 5...................................内网不能访问DMZ区服务器 6................................内网用户不能ping web服务器1. 内部网络不能ping通internet 对于ASA5510，只要策略允许，则是可以Ping通的，对于ASA550，部分IOS可以ping，如果所以流量都允许还是不能Ping的话，则需要做 inspect，对icmp协议进行检查即可 2. 内部网络不能使用pptp拨入vpn服务器 因pptp需要连接TCP 1723端口，同时还需要GRE协议，如果防火墙是linux的Iptables，则需要加载： modprobe ip_nat_pptp modprobe ip_conntrack_proto_gre 如果防火墙是ASA，则需要inspect pptp。 3. 内部网络不能通过被动Mode访问ftp服务器 同样需要inspect ftp，有些还需要检查相关参数 policy-map type inspect ftp ftpaccess parameters match request-command appe cdup help get rnfr rnto put stou site dele mkd rmd 4. 内部网络不能进行ipsec NAT 这种情况不多用，如查进行ipsect ：IPSec Pass Through 5. 内网不能访问DMZ区服务器 增加NAT规则，即DMZ到内网的规则 6. 内网用户不能ping web服务器
常用命令有：nameif、interface、ip address、nat、global、route、static 等。 global 指定公网地址范围：定义地址池。 Global命令的配置语法： global (if_name) nat_id ip_address-ip_address [netmark global_mask] 其中： (if_name)：表示外网接口名称，一般为outside。 nat_id：建立的地址池标识(nat要引用)。 ip_address-ip_address：表示一段ip地址范围。 [netmark global_mask]：表示全局ip地址的网络掩码。 nat 地址转换命令，将内网的私有ip转换为外网公网ip。 nat命令配置语法：nat (if_name) nat_id local_ip [netmark] 其中： (if_name)：表示接口名称，一般为inside. nat_id：表示地址池，由global命令定义。 local_ip：表示内网的ip地址。对于0.0.0.0表示内网所有主机。 [netmark]：表示内网ip地址的子网掩码。 route route命令定义静态路由。 语法： route (if_name) 0 0 gateway_ip [metric] 其中： (if_name)：表示接口名称。 0 0 ：表示所有主机 Gateway_ip：表示网关路由器的ip地址或下一跳。 [metric]：路由花费。缺省值是1。 static 配置静态IP地址翻译，使内部地址与外部地址一一对应。 语法： static(internal_if_name,external_if_name) outside_ip_addr inside_ ip_address 其中： internal_if_name表示内部网络接口，安全级别较高，如inside。 external_if_name表示外部网络接口，安全级别较低，如outside。 outside_ip_address表示外部网络的公有ip地址。 inside_ ip_address表示内部网络的本地ip地址。 (括号内序顺是先内后外，外边的顺序是先外后内) 例如： asa(config)#static (inside，outside) 133.0.0.1 192.168.0.8 表示内部ip地址192.168.0.8，访问外部时被翻译成133.0.0.1全局地址******************************************************************** ******
C I S C O路由器配置命令详解及实例 目录 CISCO路由器配置命令详解及实例 ............................................................................................... 第一章：路由器配置基础 ................................................................................................................ 一、基本设置方式 .................................................................................................................... 二、命令状态 ............................................................................................................................ 三、设置对话过程 .................................................................................................................... 四、常用命令 ............................................................................................................................ 五、配置IP寻址....................................................................................................................... 六、配置静态路由 .................................................................................................................... 第二章：广域网协议设置 ................................................................................................................ 一、HDLC ................................................................................................................................. 二、PPP ..................................................................................................................................... 三、x.25.................................................................................................................................... 四、Frame Relay........................................................................................................................ 五. Cisco765M通过ISDN拨号上263 .................................................................................... 六、PSTN .................................................................................................................................. 第三章：路由协议设置 .................................................................................................................... 一、RIP协议............................................................................................................................. 三、OSPF协议.......................................................................................................................... 四、重新分配路由 .................................................................................................................... 五、IPX协议设置..................................................................................................................... 第四章?：服务质量及访问控制 ...................................................................................................... 一、协议优先级设置 ................................................................................................................ 二、队列定制 ............................................................................................................................ 三、访问控制 ............................................................................................................................ 第五章：虚拟局域网（VLAN）路由 ............................................................................................. 一、虚拟局域网(VLAN) .......................................................................................................... 二、交换机间链路（ISL）协议 .............................................................................................. 三、虚拟局域网（VLAN）路由实例 ..................................................................................... 第六章：知识参考 ............................................................................................................................ 一、路由器初始化 .................................................................................................................... 二、IP分配 ...............................................................................................................................
Cisco 路由ACL（访问控制列表）的配置 标准ACL Router(config)#access-list 1-99 permit/deny 192.168.1.1（源IP） 0.0.0.255（反码） Router(config)#interface f0/0 Router(config-if)#ip access-group 1-99 out/in 扩展ACL Router(config)#access-list 100-199 permit/deny tcp （协议类型） 192.168.1.1（源IP） 0. 标准ACL Router(config)#access-list 1-99 permit/deny 192.168.1.1（源IP） 0.0.0.255（反码） Router(config)#interface f0/0 Router(config-if)#ip access-group 1-99 out/in 扩展ACL Router(config)#access-list 100-199 permit/deny tcp（协议类型） 192.168.1.1（源IP） 0.0.0.255（源IP反码） 172.16.0.1（目标IP） 0.0.255.255（目标IP反码） eq ftp/23 端口号 Router(config)#interface f0/0 Router(config-if)#ip access-group 100-199 out/in 基于时间的ACL 设定路由器的时间: #clock set {hh:mm:ss} {data} {month} {year} Router(config)#time-range wangxin （定义时间名称） 以下有两种： 1.absouluter Router(config-time-range)#absouluter指定绝对时间范围 start hh:mm end hh:mm Day（日） MONTH(月份） YEAR（年份）end hh:mm end hh:mm Day（日） MONTH(月份） YEAR（年份） 如果省略start及其后面的时间，则表示与之相联系的permit或deny语句立即生效，并一直作用到end处的时间为止。如果省略end及其后面的时间，则表示与之相联系的permit或deny语句在start处表示的时间开始生效，并且一直进行下去。2.periodic Router(config-time-range)#periodic friday（星期） hh:mm（开始时间） to friday hh:mm（结束时间） Router(config)#access-list 100-199 access-list 100-199 permit/deny tcp（协议类型） 192.168.1.1（源IP） 0.0.0.255（源IP反码） 172.16.0.1（目标IP） 0.0.255.255（目标IP反码） eq ftp/23 端口号 time-range wangxin Router(config)#interface f0/0 Router(config-if)#ip access-group 100-199 out/in Cisco路由器配置ACL详解之扩展访问控制列表 扩展访问控制列表： 上面我们提到的标准访问控制列表是基于IP地址进行过滤的，是最简单的ACL。那么如果我们希望将过滤细到端口怎么办呢？或者希望对数据包的目的地址进行过滤。这时候就需要使用扩展访问控制列表了。使用扩展IP访问列表可以有效的容许用户访问物理LAN而并不容许他使用某个特定服务（例如WWW，FTP等）。扩展访问控制列表使用的ACL号为100到199。 扩展访问控制列表的格式： 扩展访问控制列表是一种高级的ACL，配置命令的具体格式如下： access-list ACL号[permit|deny] [协议] [定义过滤源主机范围] [定义过滤源端口] [定义过滤目的主机访问] [定义过滤目的端口]例如：access-list 101 deny tcp any host 192.168.1.1 eq www这句命令是将所有主机访问192.168.1.1这个地址网页服务（WW W）TCP连接的数据包丢弃。 小提示：同样在扩展访问控制列表中也可以定义过滤某个网段，当然和标准访问控制列表一样需要我们使用反向掩码定义IP地址后的子网掩码。 网络环境介绍： 我们采用如图所示的网络结构。路由器连接了二个网段，分别为172.16.4.0/24,172.16.3.0/24。在172.16.4.0/24网段中有一台服务器提供WWW服务，IP地址为172.16.4.13。 配置任务：禁止172.16.3.0的计算机访问172.16.4.0的计算机，包括那台服务器，不过惟独可以访问172.16.4.13上的WWW服务，而其他服务不能访问。