计算机信息安全(1).docxVIP

··又工业

题目：计算机信息安全

专业：计算机科学与技术 班级：063 学号：060501310 姓名：林茜（xi） 指导老师：张红武

2010年1月11日

二、使用MACACL进行访问控制

【实验名称】

使用MACACL进行访问控制

【实验目的】

使用基于MAC的ACL实现高级的访问控制

【背景描述】

某公司的一个简单的局域网中，通过使用一台交换机提供主机及服务器的接入，并且所有主机和服务器均属于同一个VLAN（VLAN2）中。网络中有三台主机和一台财务服务器（AccountingServer）。现在需要实现访问控制，只允许财务部主机（）访问财务服务器。

【需求分析】

基于MAC的ACL可以根据配置的规则对网络中的数据进行过滤。

【实验拓扑】

【实验设备】

交换机1台

PC机4台

【实验原理】

基于MAC的ACL可以对数据包的源MAC地址、目的MAC地址和以太网类型进行检查，可以说基于MAC的ACL是二层的ACL，而标准IPACL和扩展IPACL是三层和四层的ACL。由于标准IPACL和扩展IPACL是对数据包的IP地址信息进行检查，并且IP地址是逻辑地址，用户可以对其进行修改，所以很容易逃避ACL的检查。但基于MAC的ACL是对数据包的物理地址（MAC）进行检查，所有用户很难通过修改MAC地址逃避ACL的过滤。

当应用了MACACL的接口接收或发送报文时，将根据接口配置的ACL规则对数据进

行检查，并采取相应的措施，允许通过或拒绝通过，从而达到访问控制的目的，提高网络安全性。

【实验步骤】

第一步：交换机基本配置

Switch#configureterminalSwitch(config)#vlan2

Switch(config-vlan)#exit

Switch(config)#interfacerangefastEthernet0/1-3Switch(config-if-range)#switchportaccessvlan2Switch(config-if-range)#exit

Switch(config)#interfacefastEthernet0/12Switch(config-if)#switchportaccessvlan2Switch(config-if)#exit

第二步：配置MACACL

由于本例中使用的交换机不支持出方向（out）的MACACL，因此需要将MACACL配置在接入主机的端口的入方向（in）。由于只允许财务部主机访问财务服务器，所以需要在接入其他主机的接口的入方向禁止其访问财务服务器。

Switch(config)#macaccess-listextendeddenytoaccsrvSwitch(config-mac-nacl)#denyanyhost000d.000d.000d

!拒绝到达财务服务器的所有流量

Switch(config-mac-nacl)#permitanyany!允许其他所有流量

Switch(config-mac-nacl)#exit

第三步：应用ACL

将MACACL应用到F0/2接口和F0/3接口的入方向，以限制非财务部主机访问财务服务器。

Switch(config)#interfacefastEthernet0/2

Switch(config-if)#macaccess-groupdenytoaccsrvinSwitch(config-if)#exit

Switch(config)#interfacefastEthernet0/3

Switch(config-if)#macaccess-groupdenytoaccsrvinSwitch(config-if)#end

第四步：验证测试

在财务部主机上ping财务服务器，可以ping通，但是在其他两台非财务部主机上ping财务服务器，无法ping通，说明其他两台主机到达财务服务器的流量被MACACL拒绝。

【实验总结】

通过实验学会使