组网中ACL讲解 很详细.ppt

上次回顾：广域网接口配置 配置PPP协议 PPP协议的验证方式 需求 需求1 作为公司网络管理员，当公司领导提出下列要求时你该怎么办？ 为了提高工作效率，不允许员工上班时间进行QQ聊天、MSN聊天等，但需要保证正常的访问Internet，以便查找资料了解客户及市场信息等。 公司有一台服务器对外提供有关本公司的信息服务，允许公网用户访问，但为了内部网络的安全，不允许公网用户访问除信息服务器之外的任何内网节点。 需求2 访问控制列表(ACL) ACL概述 基本ACL配置 扩展ACL配置 Host any Host = any= 55 R1(config)# access-list 1 deny R1config)# access-list 1 permit 55 与 R1(config)# access-list 1 deny host R1(config)# access-list 1 permit any 相同 标准访问控制列表配置实例 实验 编号的标准IP访问列表。 【实验目的】掌握路由器上编号的标准IP访问列表规则及配置。【背景描述】你是一个公司的网络管理员，公司的经理部、财务部门和销售部门分属不同的3个网段，三部门之间用路由器进行信息传递，为了安全起见，公司领导要求销售部门不能对财务部门进行访问，但经理部可以对财务部门进行访问。PC1代表经理部的主机，PC2代表销售部门的主机、PC3代表财务部门的主机。 【技术原理】IP ACL（IP访问控制列表或IP访问列表）是实现对流经路由器或交换机的数据包根据一定的规则进行过滤，从而提高网络可管理性和安全性。标准IP访问列表可以根据数据包的源IP地址定义规则，进行数据包的过滤。 IP ACL基于接口进行规则的应用，分为：入栈应用和出栈应用。入栈应用是指由外部经该接口进行路由器的数据包进行过滤。出栈应用是指路由器从该接口向外转发数据时进行数据包的过滤。IP ACL的配置有两种方式：按照编号的访问列表，按照命名的访问列表。标准IP访问列表编号范围是1~99、1300~1999，扩展IP访问列表编号范围是100~199、2000~2699。 【实现功能】实现网段间互相访问的安全控制。【实验设备】RSR10路由器（两台）、V.35线缆（1条）、交叉线（3条） 【实验拓扑】 【实验步骤】 步骤1： Router1、 Router2 基本配置 IP地址等 步骤2： 路由表 步骤3： 访问控制列表 访问控制列表应用在接口 步骤4： 测试 配置静态路由Router1(config)#ip route serial 1/2Router2(config)#ip route serial 1/2Router2(config)#ip route serial 1/2测试命令：show ip route。 步骤2? ? ? ? 配置标准IP访问控制列表。  Router2(config)#access-list 1 permit 55? ?! 允许来自网段的流量通过Router2(config)#access-list 1 deny 55? ?! 拒绝来自网段的流量通过验证测试：Router2#show access-list 1Standard IP access list 1 includes 2 items:? ? deny? ?, wildcard bits 55? ? permit , wildcard bits 55 步骤3? ? ? ? 把访问控制列表在接口下应用。Router2(config)# interface fastEthernet 1/0Router2(config-if)#ip access-group 1 out? ?! 在接口下访问控制列表出栈流量调用 验证测试： Router2#show ip interface fastEthernet 1/0 步骤4.? ? ? ? 验证测试。ping（网段的主机不能ping通网段的主机；网段的主机能ping通网段的主机）。 【注意事项】 1、注意在访问控制列表的网络掩码是反掩码。 2、标准控制列表要应用在尽量靠近目的地址的接口。 【参考配置】 Router1#show running-config? ?? ?? ? !查看路由器1的全部配置 扩展ACL的编号为100 – 199，扩展ACL增强了标准ACL的功能 增强ACL可以基于下列参数进行网络传输的过滤 目的地址 IP协议 可以使用协议的名字来设定检测的网络协议或路由协议，例如：ICMP、TCP和UDP等等 TCP/IP协议族中的上层协议 可以