动态访问控制列表的介绍与配置.doc

Lock-and-key(Dynamic acl)是动态过滤IP协议流量的流量过滤安全特性。它使用IP动态扩展访问列表配置。它可以联合其它标准访问列表和静态扩展访问列表使用。 当配置了lock-and-key，指定用户的一般情况下会被阻塞掉的IP流量会获得一个临时性的权限通过路由器。一旦被触发，lock-and-key重新配置接口已经存在的acl以允许用户到达他们指定的主机。在使用过之后，lock-and-key会将该接口配置为原来的状态。 认证过程： User telnet filter_router Lock-and-key automatically attempts to authenticate the user and reconfigure the acl of the interface User gain a temporary access through the filter_router Now user can reach their destination host. Lock-and-key的优点： 使用挑战机制认证单个用户 在大型网络环境中支持简单的管理 在许多情况下减少路由器对ACL的CPU处理要求 减少被网络上的hackers攻破的机会 什么时候使用动访（lock-and-key） 远程设备访问本地设备 本地设备有限地访问远程设备 动访如何工作： 1.一个用户打开一个telnet会话到配置了动访的边界路由器。该用户是通过虚拟终端连接到该路由器 2.思科IOS接收到telnet数据包，打开一个telnet 会话，要求输入密码实施用户验证进程，用户想要通过该路由器访问另一端的设备必须通过认证。这一步可以通过本地路由器验证，也可以由诸如TACACS+或RADIUS服务器之类的一个中心安全访问中心来实施。 3.用户通过认证，然后登出telnet会话，软件产生在动态访问列表里一个临时性的条目。 4.用户通过防火墙交换数据。 5.当配置的超时计时器到时，软件删除临时访问列表，或者可以由管理员手动删除之。注意：当用户终结会话之后软件不会自动删除临时访问列表，直到计时器超时或管理员手动删除。 动访对路由器性能的影响： 当动访被触发的时候，动访会更新访问列表，这导致SSE交换路径会短暂性地失效。 Dynamic access lists require the idle timeout facility(even if the timeout is left to default) and therefore cannot be SSE switched.These entries must be handled in the protocol fast-switching path. 当远程用户触发了边界路由器上的动访，附加的访问列表会被 加入到边界路由器接口上。该接口上的访问列表会动态地增长或缩减。如果列表很大的话会影响数据包的转发性能。可以查看接口以删除相应的访问列表。 配置lock-and-key的步骤： 1.router(config)#access-list access-list-number [dynamic dynamic-name [timeout minutes]] {deny|permit} telnet source source-wildcard destination destination-wildcard [precedence precedence] [tos tos] [established] [log] 配置一个动态访问列表以临时性地使用。 2.Router(config)#access-list dynamic-extend 该命令可以在动访快要到时的时候重新进行telnet重认证以延长另外6分钟时间。（在原有的基础上每次递增6分钟） 3.Router(config)#interface type number 4.Router(config-if)#ip access-group access-list-number 5.Router(config-if)#exit 6.Router(config)#line vty line-number [ending-line-number] 7.Router(config-line)#login tacacs 或 Router(config-line)#password password 或 Router(config-line)#login local 或 Router(config-line)#exit 然后 Router(config)#username name password secret