项目9利用访问列表进行网络管理.docx
项目九、利用访问列表进行网络管理(一) 利用IP标准访问列表进行网络流量的控制【项目名称】编号的标准IP访问列表。【项目教学目的】掌握路由器上编号的标准IP访问列表规则及配置。【项目背景描述】假如你是某公司的网络管理员，公司的经理部、财务部门和销售部门分别属不同的3个网段，三部门之间利用路由器进行信息传递，为了安全起见，公司领导要求销售部门不能对财务部门进行访问，但经理部可以对财务部门进行访问。PC1代表经理部的主机，PC2代表销售部门的主机、PC3代表财务部门的主机。【知识链接】1、IP ACL（IP访问控制列表或IP访问列表）是实现对流经路由器或交换机的数据包根据一定的规则进行过滤，从而提高网络可管理性和安全性。2、IP ACL分为两种：标准IP访问列表和扩展IP访问列表。标准IP访问列表根据数据包的源IP地址定义规则，进行数据包的过滤。扩展IP访问列表根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，从而对数据包进行过滤。3、IP ACL基于接口进行规则的应用，分为：入栈应用和出栈应用。入栈应用是指由外部经该接口时路由器进行数据包的过滤。出栈应用是指路由器从该接口向外转发数据时进行数据包的过滤。4、IP ACL的配置有两种方式：按照编号的访问列表，按照命名的访问列表。5、标准IP访问列表编号范围是199、13001999；扩展IP访问列表编号范围是100199、20002699。【项目技能要求】学会实现网段间互相访问的安全控制。【完成项目所需设备】R1762路由器（两台）、V.35线缆（1条）、直连线或交叉线（3条）【项目拓扑】【项目实施步骤】1、基本配置：Ra基本配置Red-Giant>enable 14(password:b402)Red -Giant#configure terminalRed-Giant(config)#hostname RaRa(config)# interface fastEthernet 0/1Ra(config-if)#ip address 172.16.1.1 255.255.255.0Ra(config-if)#no shutdownRa(config-if)# interface FastEthernet 1/1Ra(config-if)#ipaddress 172.16.2.1 255.255.255.0Ra(config-if)#no shutdownRa(config-if)#interface serial 1/2 Ra(config-if)#ipaddress 172.16.3.1 255.255.255.0Ra(config-if)#clock rate 64000Ra(config-if)#no shutdownRa(config-if)#end2、测试命令：show ip interface brief。Ra#show ip int brief !观察接口状态Interface IP-Addressress(Pri) OK? Statusserial 1/2 172.16.3.1/24 YES UPserial 1/0 noaddress YES DOWNFastEthernet 0/1 172.16.1.1/24 YES UPFastEthernet 1/1 172.16.2.1/24 YES UPNull 0 noaddress YES UP3、Rb基本配置Red-Giant>enableRed-Giant#configure terminalRed-Giant(config)#hostname RbRb(config)# interface fastEthernet 0/1Rb(config-if)#ipaddress 172.16.4.1 255.255.255.0Rb(config-if)#no shutdownRb(config-if)#exitRb(config-if)#interface serial 1/2 Rb(config-if)#ipaddress 172.16.3.2 255.255.255.0Rb(config-if)#no shutdownRb(config-if)#end4、测试命令：show ip interface brief。Rb#show ip int brief !观察接口状态Interface IP-Addressress(Pri) OK? Statusserial 1/2 172.16.3.2/24 YES UPserial 1/0 noaddress YES DOWNFastEthernet 0/1 172.16.4.1/24 YES UPFastEthernet 1/1 noaddress YES DOWNNull 0 noaddress YES UP5、配置静态路由Ra(config)#ip route 172.16.4.0 255.255.255.0 serial 1/2 Rb(config)#ip route 172.16.1.0 255.255.255.0 serial 1/2 Rb(config)#ip route 172.16.2.0 255.255.255.0 serial 1/2 6、测试命令：show ip route。Ra#show ip route !查看路由表信息Codes: C - connected, S - static, R - RIP O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 * - candidate defaultGateway of last resort is no setC 172.16.1.0/24 is directly connected, FastEthernet 0/1C 172.16.1.1/32 is local host.C 172.16.2.0/24 is directly connected, FastEthernet 1/1C 172.16.2.1/32 is local host.C 172.16.3.0/24 is directly connected, serial 1/2 C 172.16.3.1/32 is local host.S 172.16.4.0/24 is directly connected, serial 1/0Rb#show ip routeCodes: C - connected, S - static, R - RIP O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 * - candidate defaultGateway of last resort is no setS 172.16.1.0/24 is directly connected, serial 1/2 S 172.16.2.0/24 is directly connected, serial 1/2 C 172.16.3.0/24 is directly connected, serial 1/2 C 172.16.3.2/32 is local host.C 172.16.4.0/24 is directly connected, FastEthernet 0/1C 172.16.4.1/32 is local host.7、配置标准IP访问控制列表。Ra(config)#access-list 10 deny 172.16.1.0 0.0.0.255 ! 拒绝来自172.16.2.0网段的流量通过Ra(config)#access-list 10 permit any ! 允许所有网段的流量通过8、验证测试：Ra#show access-lists 10Standard IP access list 1 includes 2 items: deny 172.16.2.0, wildcard bits 0.0.0.255 permit 172.16.1.0, wildcard bits 0.0.0.255把访问控制列表在接口下应用。Ra(config)# interface fastEthernet 0/1Ra(config-if)#ip access-group 1 in ! 在接口下访问控制列表出栈流量调用9、验证测试：Ra#show ip interface fastEthernet 0/1FastEthernet 0/1IP interface state is: UPIP interface type is: BROADCASTIP interface MTU is: 1500IPaddress is:172.16.4.1/24 (primary)IPaddress negotiate is: OFFForward direct-boardcast is: ONICMP mask reply is: ONSend ICMP redirect is: ONSend ICMP unreachabled is: ONDHCP relay is: OFFFast switch is: ON Route horizontal-split is: ONHelpaddress is: 0.0.0.0Proxy ARP is: ONOutgoing access list is 10. !查看访问列表在接口上的应用Inbound access list is not set.10、验证测试：172.16.2.0网段内的主机不能ping通172.16.4.0网段内的主机；但172.16.1.0网段内的主机能ping通172.16.4.0网段内的主机。【注意事项】1、注意在访问控制列表的网络掩码是反掩码。2、标准控制列表要应用在尽量靠近目的地址的端口上设置。 (二) 利用IP扩展访问列表实现服务的访问限制【项目名称】命名的扩展IP访问列表。【项目教学目的】掌握在交换机上命名的扩展IP访问列表规则及配置。【项目背景描述】你是我们学校的网络管理员，在S3550-24交换机上连着学校的WWW和FTP的服务器，另外还连接着学生宿舍楼和教工宿舍楼，学校规定学生只能对服务器进行WWW访问，不能进行FTP访问，则对教工没有此限制。【知识链接】1、IP ACL（IP访问控制列表或IP访问列表）是实现对流经路由器或交换机的数据包根据一定的规则进行过滤，从而提高网络可管理性和安全性。2、IP ACL分为两种：标准IP访问列表和扩展IP访问列表。标准IP访问列表根据数据包的源IP地址定义规则，进行数据包的过滤。扩展IP访问列表根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，从而对数据包进行过滤。3、IP ACL基于接口进行规则的应用，分为：入栈应用和出栈应用。入栈应用是指由外部经该接口时路由器进行数据包的过滤。出栈应用是指路由器从该接口向外转发数据时进行数据包的过滤。4、IP ACL的配置有两种方式：按照编号的访问列表，按照命名的访问列表。5、 标准IP访问列表编号范围是199、13001999；扩展IP访问列表编号范围是100199、20002699。【项目技能要求】学会实现网段间互相访问的安全控制。【完成项目所需设备】S3550交换机（1台）、PC（3台)、直连线（3条）【项目拓扑】【项目实施步骤】1、基本配置：3550-24(config)#vlan 103550-24(config)#vlan 203550-24(config)#vlan 303550-24(config)#interface fastethernet 0/13550-24(config-if)#switchport mode access3550-24(config-if)#switchport access vlan 103550-24(config)#interface fastethernet 0/23550-24(config-if)#switchport mode access3550-24(config-if)#switchport access vlan 203550-24(config)#interface fastethernet 0/33550-24(config-if)#switchport mode access3550-24(config-if)#switchport access vlan 303550-24(config)#interface vlan103550-24(config-if)#ip address 172.16.1.1 255.255.255.03550-24(config-if)#no shutdown3550-24(config-if)#interface vlan 203550-24(config-if)#ip address 172.16.2.1 255.255.255.03550-24(config-if)#no shutdown3550-24(config-if)#interface vlan 303550-24(config-if)#ip address 172.16.3.1 255.255.255.03550-24(config-if)#no shutdown2、配置命名扩展IP访问控制列表：3550-24(config)#access-list 101 deny tcp 172.16.3.0 0.0.0.255 host 172.16.1.2 eq FTP ! 禁止FTP服务3550-24(config)# access-list 101 permit ip any any !允许其它服务3、验证命令：3550-24#show access-lists 101 Extended IP access list: 101 deny tcp 172.16.3.0 0.0.0.255 host 172.16.1.2 eq ftp permit ip any any4、把访问控制列表在靠近目的地址的端口上应用：3550-24(config)#interface vlan 303550-24(config-if)#ip access-group 101 out5、验证测试：分别在学生网段和教师宿舍网段内使用1台主机，访问FTP服务器。测试发现学生网段内不能访问网页，教学宿舍网段内可以访问网页。【注意事项】1、访问控制列表要在接口下应用；2、要注意deny某个网段后要peimit其他网段。
