---- 基于报文过滤的访问控制列表是用控制表中的规则同报文中的诸项进行匹配，决定具有哪些IP地址的计算机及哪些服务请求可以进入，不匹配的将被屏蔽在网络之外。以如下网络结构为例说明。
---- 如让176.68.16.9的计算机进入Intranet，只让188.68.0.0/16 网上的计算机访问文件传输服务器ftp和web服务器3w，可在串口s0上做如下访问控制列表。
Access－list 101 permit 176.68.16.9 0.0.0.0
Access－list 101 permit tcp 188.68.0.0 0.0.
255.255 192.68.1.1 0.0.0.0 eq 21
Access－list 101 permit tcp 188.68.0.0 0.0.
255.255 192.68.1.1 0.0.0.0 eq 20
Access－list 101 permit tcp 188.68.0.0 0.0.
255.255 192.68.1.2 0.0.0.0 eq 80
!
interface serial 0
ip access－group 101 in
!
----上101访问控制列表中的第2、3条目是控制对ftps服务器的访问，文件传输服务占用的端口号为20和21，其中20端口用来传送数据，21端口传送FTP命令。第4条目用来控制对3w的访问，http服务占用的端口号为80，它们都是基于TCP协议的高层服务，除它们之外基于TCP协议服务还有telnet和snmp等，它们占用的端口号分别为23和25，如法炮制可以加入对远程登录和网络管理的访问控制。
二、保护Intranet内部的IP地址
----如上所述，数据包中包含有源、目IP地址，一旦内部 Intranet的IP地址被截获，那么内部网络资源就被暴露，并可对其进行攻击，如发大量不被接受的数据包耗尽路由器资源而迫使线路终止等，因此有必要将内部Intranet网络的IP 地址隐藏和防止IP地址的盗用，可以采用如下两种方法实现。
----1.利用路由器的网络地址转换（NAT）实现内部地址的隐藏
----网络地址转换可以动态改变通过路由器的IP报文的源IP 地址和（或）目IP地址，使离开和（或）进入地址与原来不同。该功能可以隐藏内部网络的IP地址，并要求路由器执行NAT，仍以上述网络结构加以说明。
----若想使离开路由器s0的内部地址都转换到有效的IP地址 200.78.16.1～200.78.16.254，可进行如下设置。
Ip nat pool outtran 200.78.16.1 200.78.16.254
netmask 255.255.255.0
Ip nat inside source list 1 pool outtran
!
interface serial 0
ip address 192.68.1.254 255.255.255.0
ip nat inside
!
----2.利用ARP防止盗用内部IP地址
---- 通过ARP可以固定地将IP地址绑定在某一MAC地址之上，MAC地址是机器的物理地址，
该地址是网卡出厂时写上的48位唯一的序列码，可以唯一标识网上物理设备。
如果只让ftp_server和www_server访问网段2，又要防止
ftp_server和www_server的IP地址被冒名，可以进行如下设置。
Arp 192.68.1.1 0671.0232.0001 arpa
Arp 192.68.1.1 0671.0232.0002 arpa
!
access－list 99 permit 192.68.1.1
access－list 99 permit 192.68.1.1
deny any
!
interface Ethernet 0
ip address 76.68.16.254 255.255.255.0
ip access－group 99 in
!
----如上介绍的两种用路由器保护内部网络的方法引用的是 Cisco路由器的IOS命令，
不同路由设备的命令略有不同，可参照进行设置。
网友评论：（只显示最新10条。评论内容只代表网友观点，与本站立场无关！）