动态访问控制列表的介绍与配置.docxVIP

Lock-and-key(Dynamicacl)是动态过滤IP协议流量的流量过滤安全特性。它使用IP动态扩展访问列表配置。它可以联合其它标准访问列表和静态扩展访问列表使用。

当配置了lock-and-key，指定用户的一般情况下会被阻塞掉的IP流量会获得一个临时性的权限通过路由器。一旦被触发，lock-and-key重新配置接口已经存在的acl以允许用户到达他们指定的主机。在使用过之后，lock-and-key会将该接口配置为原来的状态。

认证过程：

Usertelnetfilter_router

Lock-and-keyautomaticallyattemptstoauthenticatetheuserandreconfiguretheacloftheinterface

Usergainatemporaryaccessthroughthefilter_routerNowusercanreachtheirdestinationhost.

Lock-and-key的优点：

使用挑战机制认证单个用户

在大型网络环境中支持简单的管理

在许多情况下减少路由器对ACL的CPU处理要求减少被网络上的hackers攻破的机会

什么时候使用动访（lock-and-key）远程设备访问本地设备

本地设备有限地访问远程设备动访如何工作：

一个用户打开一个telnet会话到配置了动访的边界路由器。该用户是通过虚拟终端连接到该路由器

思科IOS接收到telnet数据包，打开一个telnet会话，要求输入密码实施用户验证进程，用户想要通过该路由器访问另一端的设备必须通过认证。这一步可以通过本地路由器验证，也可以由诸如TACACS+或RADIUS服务器之类的一个中心安全访问中心来实施。

用户通过认证，然后登出telnet会话，软件产生在动态访问列表里一个临时性的条目。

用户通过防火墙交换数据。

当配置的超时计时器到时，软件删除临时访问列表，或者可以由管理员手动删除之。注意：当用户终结会话之后软件不会自动删除临时访问列表，直到计时器超时或管理员手动删除。动访对路由器性能的影响：

当动访被触发的时候，动访会更新访问列表，这导致SSE交换路径会短暂性地失效。Dynamicaccesslistsrequiretheidletimeoutfacility(evenifthetimeoutislefttodefault)andthereforecannotbeSSEswitched.Theseentriesmustbehandledintheprotocolfast-switchingpath.

当远程用户触发了边界路由器上的动访，附加的访问列表会被加入到边界路由器接口上。该接口上的访问列表会动态地增长或缩减。如果列表很大的话会影响数据包的转发性能。可以查看接口以删除相应的访问列表。

配置lock-and-key的步骤：

router(config)#access-list access-list-number [dynamic dynamic-name [timeout minutes]]

{deny|permit} telnet source source-wildcard destination destination-wildcard [precedenceprecedence][tostos][established][log]

配置一个动态访问列表以临时性地使用。

Router(config)#access-listdynamic-extend

该命令可以在动访快要到时的时候重新进行telnet重认证以延长另外6分钟时间。（在原有的基础上每次递增6分钟）

Router(config)#interfacetypenumber4.Router(config-if)#ipaccess-groupaccess-list-number5.Router(config-if)#exit

6.Router(config)#linevtyline-number[ending-line-number]7.Router(config-line)#logintacacs

或

Router(config-line)#passwordpassword

或

Router(config-line)#loginlocal

或

Router(config-line)#exit

然后

Router(config)#usernamenamepass