项目十二安全策略与数据流量过滤.pptx

项目十二 安全策略与数据流量过滤 ;1.教学目标 □ 掌握网络安全策略布置原则，掌握IP标准及扩展访问控制列表配置技能，能够根据实际需求准确配置IP访问控制列表，具体如下： （1）了解IP标准及扩展访问控制列表的功能及用途 （2）掌握IP标准访问控制列表配置技能 （3）掌握IP扩展访问控制列表配置技能 ;2.工作任务 □ 根据客户工作任务的具体要求，配置IP标准或扩展访问控制列表，实现网络数据流量控制。 ;模块1 IP标准访问控制列表的建立及应用 ;１. 教学目标 □ 了解IP标准访问控制列表的功能及用途 □掌握路由器IP标准访问控制列表配置技能 □掌握交换机IP标准访问控制列表配置技能 ;2. 工作任务 　　 　　你是学校网络管理员，学校的财务处、教师办公室和校办企业财务科分属不同的3个网段，三个部门之间通过路由器进行信息传递，为了安全起见，学校领导要求你对网络的数据流量进行控制，实现校办企业财务科的主机可以访问财务处的主机，但是教师办公室主机不能访问财务处主机。 ;3. 相关实践知识　　 　 □首先对两路由器进行基本配置，实现三个网段可以相互访问；然后对距离控制目的地址较近的路由器RouterB配置IP标准访问控制列表，允许网段（校办企业财务科）主机发出的数据包通过，不允许网段（教师办公室）主机发出的数据包通过，最后将这一策略加到路由器RouterB的Fa 0端口，如图12.1所示。 ;;第1步：基本配置 路由器RouterA： R enable R #configure terminal R(config)#hostname RouterA RouterA (config)# line vty 0 4 RouterA (config-line)#login RouterA (config-line)#password 100 RouterA (config-line)#exit RouterA (config)# enable password 100 RouterA (config)#interface fastethernet 0 RouterA (config-if)#ip address RouterA (config-if)#no shutdown RouterA (config-if)#Exit;RouterA (config)#interface fastethernet 1 RouterA (config-if)#ip address RouterA (config-if)#no shutdown RouterA (config-if)#Exit RouterA (config)#interface fastethernet 2 RouterA (config-if)#ip address RouterA (config-if)#no shutdown RouterA (config-if)#Exit RouterA (config)#ip route 路由器RouterB同理配置 ;第2步：在路由器RouterB上配置IP标准访问控制列表 RouterB (config)#access-list 1 deny 55 RouterB (config)#access-list 1 permit 55 验证测试 RouterB #show access-list 1 第3步：应用在路由器RouterB的Fa 0接口输出方向上 RouterB (config)#interface fastethernet 0 RouterB (config-if)#ip access-group 1 out 验证测试 RouterB #show ip interface fastethernet 0 ;4. 相关理论知识 □ACL概述 　 访问控制列表（ACL）是在交换机或路由器上定义一些规则，对经过网络设备的数据包根据一定规则进行过滤。 □ACL分类 （1）编号访问控制列表：在路由器配置的访问控制列表是由编号来命名的，包括IP标准访问控制列表和IP扩展访问控制列表。 （2）命名访问控制列表：在三层交换机配置的访问控制列表是由字符串名字来命令的，包括IP标准访问控制列表和IP扩展访问控制列表。 ; □编号标准访问控制列表 （1）标准访问控制列表 在路由器上建立的访问控制列表，其编号取值范围为1－99之间整数值，只根据源IP地址过滤流量。 在标准或扩展访问列表的末尾，总有一个隐含的Deny all。这意味着如果数据包源地址与任何允许语句不匹配，则隐含的Deny all将会