安全技巧:用CAR控制思科路由器非法通信

日期: 2008-06-18 作者:freedom 来源:TechTarget中国

约定访问速率(Committed access rate (CAR))或称“速率限制”是一种管理非法网络通信的方法,它能够确保不会影响重要的网络通信。


例如,如果某人正在从一个Web站点下载大量的Web数据通信,他或她就会阻止必需的通信进入,从而潜在地使生产服务器不能通过网络得以访问。下面让我们讨论一下如何使用CAR来防止这种事情的发生。


你只能将CAR用于IP通信,CAR对非IP通信并不能起作用。要使用CAR,你必须在路由器上启用CEF。


从本质上讲,CAR控制着某种类型通信的带宽,而一个访问控制列表(ACL)定义了它所控制的通信。一旦你创建了ACL,根据你运用CAR的接口,你就可以设置CAR在进入或转出的方向上对通信带宽速率强制实施。


CAR作为一个基本的QoS功能是非常有用的。例如,让我们假定你通过一个128Kb的WAN连接在一个远程位置拥有一个实际的应用程序。这个应用程序一直工作良好,直到有一天,一位新的雇员弄了一台电脑,使用了浏览器和互联网访问,事情发生了改变。


在使用时,由于通过128Kb的网络连接下载Web页面和文档,这个员工的浏览器降低了整个远程网络的速度。那么你如何防止Web浏览占据WAN连接从而降低应用服务器的速度呢?


在一台思科路由器上有许多QoS功能,也有许多第三方的应用程序和设备可以帮助解决这个问题。不过,对这个问题的最简单方案却不需要花费什么。使用思科的IOS和CAR只需要两分钟就可以搞定。


使用CAR需要两个简单的步骤:


1、创建一个ACL来定义你想实施速率限制的通信。


2、参考与通信源最近接口上的ACL,并参考适当的方向和恰当的带宽数量,使用rate-limit命令。


回到我们例子中,我们假定你在总部位置通过WAN连接可以提供这台PC的互联网访问。即使浏览Web是一个必需的企业功能,它也会消极地影响远程网络上实际应用的性能。


让我们看看你如何控制这种Web通信。首先,在总部的路由器上定义你想限制速率的通信。下面是一个例子:


安全技巧:用CAR控制思科路由器非法通信


在这个例子中,远程PC的IP地址为10.200.200.200。因此,源服务器可以是在80号端口上提供Web服务的任何一台Web服务器。


下一步在此接口上使用rate-limit命令。下面给出一个例子:


安全技巧:用CAR控制思科路由器非法通信


根据ACL 12O, 此命令就将速率限制运用到了接口上。我们将其用于向外发送数据的方向,因为我们将其运用到了总部的路由器上(而不是远程路由器)。那是因为我们想阻止非法的Web通信通过WAN到达远程站点。


5000、10000、20000代表着这种通信的正常位速率,通信的一般速率大小和最大速率。 为了让路由器传输之,这种通信必须遵循这些数字。如果通信超过了这些带宽设置,路由器会将其丢弃。


在总部路由器的Serial0/0接口(也就是连接远位置的接口)上配置这些设置可以将非正常的Web通信限制为仅消耗128kb速率网络连接的50kb以下。


虽然你可将CAR用于许多情况中,不过需要记住CAR只能限制你用ACL告诉它可以限制的东西。此外,你的带宽设置可以限制在ACL中所涉及到的所有通信。

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

电子邮件地址不会被公开。 必填项已用*标注

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

作者

freedom
freedom

相关推荐