第２７卷第５期 ２００８年１０月 武夷学院学报 ＪＯＵＲＮＡＬ ＯＦ ＷＵＹＩ ＵＮＩＶＥＲＳＩＴＹ Ｖｏ１．２７ Ｎｏ．５ ０ｃｔ．２００８
Ｃｉｓ ｃ ｏ路由器访问控制列表配置
实现第一道网络安全屏障
陈卫荣
（福建宁德师范高等专科学校，福建宁德３５２１００）
摘要：随着Ｉｎｔｅｒｎｅｔ的日益普及，网络安全、通信效率等是亟待解决的问题。路由器是网络通信中的结点，除了路径选择 主要功能外，还有一个重要的功能：防火墙功能。访问控制列表可以使路由器对进出网络的ＩＰ报文进行分类和过滤。通 过对访问控制列表实际应用的详细介绍以及一个用访问控制列表控制服务器访问的应用实例的配置，找到了一个很好 解决网络安全的办法。在没有配置防火墙的网络，通过它，我们可以构建第一道网络安全屏障。 关键词：访问控制列表；网络安全；路由器；ＩＰ报文 ．
中图分类号：ＴＰ３９３．０８文献标识码：Ａ文章编号：１６７４—２１０９（２００８）０５一ＯＯ６０—０５
０ 引言
随着Ｉｎｔｅｒｎｅｔ的普及和Ｉｎｔｅ￣ ｎｅｌ应用的日益发展，
网络安全成为当前的重要课题。我们面临着计算机病
毒、木马、非法访问和破坏等诸多方面的攻击，计算机
网络安全碰到前所未有的挑战。
Ｃｉｓｃｏ路由器除了有协议转换、路由选择、分片和
重组等主要功能外，还有一个重要的防火墙功能。通过
访问控制列表的设置，路由器可允许和拒绝 Ｐ分组通
过，实现了包过滤防火墙功能。由于路由器是Ｉｎｔｅｌ ｎｅｔ
通信的必由之路，当路由器的访问控制列表功能得到
充分利用时，路由器将在网络系统安全体系中构建起
第一道安全屏障，大大地提高网络安全性。
１ 访问控制列表
访问控制列表（Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｌｉｓｔ）是应用到路
由器接口的指令列表，用来控制进出的数据包；它是一
组由允许和拒绝语句组成的有序的集合，根据网络巾
每个数据包所包含的信息和内容，决定是否允许该信
收稿日期：２ＯＯ８一Ｏ５—２ｌ 作者简介：陈卫荣（１９７１一），男，讲师，硕士，主要研究方向
思科CISCO 路由器初始配置向导
一、路由器开机初始序列
当路由器进展初始化时，路由器进展以下操作：
1) 自 ROM 执行上电自检，检测CPU,内存、接口电路的根本操作。
2) 自 ROM 进展引导，将操作系统装下载到主存。
3) 引导操作系统由配置存放器的引导预确定由FLASH 或网络下载，则配置文件的 boot system 命令确定其精准位置。
4) 操作系统下载到低地址内存，下载后由操作系统确定路由器的工作硬件和软件局部并在屏幕上显示其结果。
5) NVRAM 中存储的配置文件装载到主内存并通过执行，配置启动路由进程，供给接口地址、设置介质特性。
假设NVRAM 中设有有效的配置文件，则进入Setup 会话模式。
6) 然后进入系统配置会话，显示配置信息，如每个接口的配置信息。
二、Setup 会话
当 NVRAM 里没有有效的配置文件时，路由器会自动进入 Setup 会话模式。以后也可在命令行敲入Setup 进展配置。 Setup 命令是一个交互方式的命令，每一个提问都有一个缺省配置，假设用缺省配置则敲回车即可。 假设系统已经配置过，则显示目前的配置值。假设是第一次配置，则显示出厂设置。当屏幕显示 ------ More ,键入空格键连续； 假设从Setup 中退出，只要键入Ctrl-C 即可。
1、Setup 主要参数：
配置它的一般参数，包括：
主机名：hostname
特权口令：enable password
虚终端口令：virtual terminal password
SNMP 网管：SNMP Network Management
IP ：IP
IGRP 路由协议：IGRP Routing
RIP 路由协议：RIP Routing
DECnet : DECnet . 等
其中 Console 的 secret、 password 的设置：
enable secret ;
在CISCO路由器上配置NAT功能
随着internet的网络迅速发展，IP地址短缺已成为一个十分突出的问题。为了解决这个问题，出现了多种解决方案。下面几
绍一种在目前网络环境中比较有效的方法即地址转换(NAT)功能。
一、NAT简介 NAT(Network Address Translation)的功能，就是指在一个网络内部，根据需要可以随意自定义的IP地址，而不需要经过申请。
在网络内部，各计算机间通过内部的IP地址进行通讯。而当内部的计算机要与外部internet网络进行通讯时，具有NAT功能的设备（比如：路由器）负责将其内部的IP地址转换为合法的IP地址（即经过申请的IP地址）进行通信。
二、NAT的应用环境
情况1：一个企业不想让外部网络用户知道自己的网络内部结构，可以通过NAT将内部网络与外部Internet隔离开，则外部
用户根本不知道通过NAT设置的内部IP地址。
情况2：一个企业申请的合法Internet IP地址很少，而内部网络用户很多。可以通过NAT功能实现多个用户同时公用一个合法IP与外部Internet 进行通信。
三、设置NAT所需路由器的硬件配置和软件配置：
设置NAT功能的路由器至少要有一个内部端口（Inside），一个外部端口（Outside）。内部端口连接的网络用户使用的是内
部IP地址。一般来说内、外部端口可以为任意指定。
设置NAT功能的路由器的IOS应支持NAT功能(本文示例所用路由器为Ｃisco2811)。 四、关于NAT的几个概念：
内部本地地址（Inside local address）：分配给内部网络中的计算机的内部IP地址。
内部合法地址（Inside global address）：对外进入IP通信时，代表一个或多个内部本地地址的合法IP地址。需要申请才可取
得的IP地址。
五、CISCO路由器NAT的设置方法： CISCO各种型号路由器NAT设置方法及命令基本相同。
Cisco路由器配置命令集
第1章OSI参考模型和路由
1.5.8 IP路由先择配置任务
1,IP地址配置
Router# term ip
Router(config-if)# term ip
2,动态路由选择配置
Router(config)# router
Router(config-router)# network
3,RIP
Router(config)# router rip
第2章 局域网交换
2.5 生成树协议
Router# show spantree
第5章 路由先择协议:IGRP
5.6 了解IGRP的有关*作
5.6.2 创建IGRP路由选择过程
Router(config)# router igrp
Router(config-router)# network
Router(config)# no router igrp
5.6.3 提高IGRP的稳定性
Router(config-router)# timers basic
(例:Router(config-router)# timers basic 15 45 0 60,其默认的设置为Router(config-router)#
timers basic 90 270 0 450)
Router(config-router)# no metric holddown
(注:使用holddown命令,可以使旧的路由被去除后,新增加的路由立即生效)
5.6.6 最大跳数
Router(config-router)# metric maximum-hop
第6章 访问控制列表
6.3 ACL配置任务
Router(config)# access-list {permit | deny}
Router(config-if)# {ip | ipx} access-group
6.3.2 为每一个ACL分配唯一的表号
