2014安全实验访问控制列表.docVIP

访问控制列表(ACL)基本的配置以及详细讲解 2009-09-22 00:02:26 标签：控制列表 配置 职场 休闲 【网络环境】 ? 网络时代的高速发展，对网络的安全性也越来越高。西安凌云高科技有限公司因为网络建设的扩展，因此便引入了访问控制列表(ACL)来进行控制，作为网络管理员我们应该怎么来具体的实施来满足公司的需求呢？ ? 【网络目的】 ? 明白ACL访问控制列表的原理、以及正确的配置； 按照网络拓扑图的要求来正确的连接设备。 创建访问控制列表来满足我们所定义的需求； ? 【网络拓扑】 【实验步骤】 ? 第一步：配置Router1的端口IP地址：（注意：在配置之前我们先要明白ACL访问控制列表的工作原理；ACL访问控制列表的原理是它是以包过滤技术，在路由器上读取OSI7层模型的第三层和第四层包头中的信息，根据自己预先定义好的规则，对包进行过滤，从而来达到访问控制的目的。我们在配置IP地址的时候肯定会不明白为什么所配置的IP地址不在一个网段？但是又怎么样才能让它们互相通信？根据拓扑图：我们所看到的E0/1和E0/2和E0/0它们分别互连着交换机、PC机而我们这样做的原因就是为了ACL访问控制列表对流量的归类，ACL通过在接口路由器上接口出控制数据包是转发还是丢弃，来过滤通信流量。路由器根据ACL访问控制列表中的条件来检测通过路由器的数据包是，从而来决定该数据包是转发还是丢弃！！！） ? ? ? ? 第二步：配置Router2的端口IP地址：（注意：ACL访问控制列表分为最基本的两种，它们是标准访问控制列表和扩展访问控制列表：标准访问控制列表和扩展访问控制列表有什么区别呢?标准的访问控制列表检查被路由器的源地址。结果是基于源网络/子网/主机的IP地址，来决定该数据包是转发还是拒绝该数据包；它所使用1~99之间的数字作为表号。扩展访问控制列表是对数据包的源地址和目的地址均进行检查，它也可以检查特定的协议、端口号以及其他的修改参数。它所使用的是100~199之间的数字作为表号；我们在这里只对标准访问控制列表和扩展访问控制列表进行说明；还有一些例如：基于时间的访问控制列表基于动态访问控制列表等一些新的类型、ACL的定义的是基于协议的。换句话说，如果想控制某种协议的通信数据流，就要对该接口进行单独的ACL） ? ? ? 第三步：配置Router3端口的IP地址：（注意：访问控制列表的作用很强大；访问控制列表为ACL为网络提供了一个强有力的工具，也能够为过滤通信量增加灵活性，通行量你可以理解为那些进出路由器接口的数据包；这样做的原因是有助于限定网络通信量和某些用户以及设备对网络的使用,AC访问控制列表最常见的用途是作为数据包的过滤器。如果没有ACL访问控制列表来作为过滤器，那么所有的数据包都能传输到网络的任意一处，ACL在这里是来过滤掉没有必要的信息的从而来减少通信量;ACL的有点还有就是能增加网络访问的安全性；如果没有经过同意ACL就会拒绝那些未经过同意的某一主机来访问；ACL还可以用于QOS对数据流量进行控制。它具体是怎么来理解呢？例如：ACL可以预先设置好那些是自己感兴趣的、那些是自己不感兴趣的！他可以对自己感兴趣的来设置更高的优先级而对自己不感兴趣的直接设置比较低的优先级，来直接拒绝！这样就达到了对流量的有效限制，以及减少网络的拥塞） ? ? 第四步：配置Router4端口的IP地址（注意：ACL访问控制列表还可以提供对通行量的控制手段；ACL可以通过限定路由器选择更新信息的长度，这种限定往往用来限制通过路由器的莫伊网段的通信流量、通过ACL访问控制列表，可以在路由器接口出决定那种类型的通信流量被转发，那种类型的被拒绝。我们可以允许让Telnet通过而让Ftp的不能通过，后面我们将会讲解具体来怎么配置） ? ? 第五步：在Router1上配置RIP协议，这里我们选用RIPv2来作为具体的配置；（注意：现在是不是有点不明白为什么我们在配置ACL访问控制列表而要讲解RIPv2呢？因为我们先要保证全网的互通！！！在这里我们用RIP可以或者用静态等保证全网的互通我们在这里来选用RIP来做具体的配置；） ? ? 第六步：在Router2上配置RIP协议；（注意：在配置RIP的时候我们所宣告的是它的直连网段；路由器对访问控制列表的处理过程如下：ACL访问控制列表是一组判断语句的集合，它是从入站接口进入路由器的数据包而从出站接口离开路由器的数据包；但是在这里我们还要注意：访问控制列表对路由器本身产生的数据包不起作用；就像我们为自己的电脑设置密码而密码对我们自己没有什么作用而而对其他的人就在一定的程度上起到了作用；就像我们想让那些人用我们的电脑我们就告诉他的密码，不想让那些人用我们的密码我们就不告诉我们