访问控制：标准ACL及扩展ACL

实验实验 访问控制 标准访问控制 标准 ACL 及应用及应用 一 一 实验目的实验目的 1 了解标准了解标准 ACL 的概念和原理的概念和原理 2 掌握掌握 ACL 配置方法 配置方法 3 了解了解 ACL 的应用的应用 二 二 原理概述原理概述 在网络管理中 需要允许 禁止访问一些站点 也要控制 某些外部节点的连接 或者要限制特定的网络流量 这些可以 通过设置路由器 防火墙 三层交换机的访问控制列表 ACL 来实现 ACL 用于控制端口上进出的数据包 适用于所有被路由 的协议 ACL 的定义是基于协议的 每种协议需要定义一种 ACL 端口在每收到一个数据包以后 根据端口的 ACL 表逐条 检查 对于允许发送 ACL 如果在表中有一条规则匹配的话就 立即发送 而不用检查其他规则 如果所有的规则都不匹配 则丢弃该数据包 路由器内部产生的数据包不受 ACL 影响 ACL 分两种 标准 ACL 和扩展 ACL 标准 ACL 只检查 数据包的源地址 而扩展的 ACL 更灵活 可以检查数据包的源 目的地址以及协议 端口等 在配置中 标准 ACL 和扩展 ACL 是通过 ACL 编号区分的 1 99 表示标准 ACL 而 100 199 为扩展 ACL 标准 ACL 格式如下 access list access list number permit deny source source mask 扩展 ACL 的完全命令格式如下 access list access list number permit deny protocol protocol number source source wildcard source port destination destination wildcard destination port established ACL 配置分两步 首先在全局模式下利用 access list 命令创建 ACL 然后在接口配置模式下利用 access group 命令应用 ACL 到 接口上 三 三 实验目的实验目的 1 配置标准 ACL 使特定子网中的某一机器才能访问其他网络 2 测试 ACL 规则 3 配置扩展 ACL 拒绝一个子网内所有机器 ping 另一子网内 机器 4 实际应用测试 四 四 实验环境实验环境 cisco 路由器一台 交换机两台 主机四台 控制台线缆及 双绞线若干 网络拓扑结构 R1 fa0 0 192 168 1 1 24 fa0 1 192 168 2 1 24 s1 s2 192 168 1 2 24 192 168 1 3 24 192 168 2 2 24 192 168 2 2 24 五 五 实验步骤实验步骤 1 连接网络 2 主机及路由器地址配置 3 配置标准 ACL 使子网 1 192 168 1 0 中只有主机 H1 才 可以访问子网 2 192 168 2 0 configure terminal access list 1 permit host 192 168 1 2 interface fa0 0 ip access group 1 out 测试 H1pingH3 H4 H2pingH3 H4 查看标准 ACL 的统计信息 show access list 1 取消 no ip access group 1 out 案例应用案例应用 某一个企业有三个部门如图某一个企业有三个部门如图 要求实现经理部可以访问财务要求实现经理部可以访问财务 部部 其他部门不能访问财务部其他部门不能访问财务部 Router EN Router CONF T Enter configuration commands one per line End with CNTL Z Router config host r0 r0 config int fa0 0 r0 config if ip add 192 168 0 1 255 255 255 0 r0 config if no shut r0 config if exit r0 config int fa1 0 r0 config if ip add 192 168 1 1 255 255 255 0 r0 config if no shut r0 config if exit r0 config int s2 0 r0 config if ip add 192 168 2 1 255 255 255 0 r0 config if clock rate 56000 r0 config if no shut r0 config if r0 config if r0 config if exit r0 config ip route 192 168 3 0 255 255 255 0 192 168 2 2 r0 config ip acc r0 config ip access list s 按按 TAB 键键 r0 config ip access list standard xiehe r0 config std nacl permit 192 168 0 0 0 0 0 255 r0 config std nacl exit r0 config int s2 0 r0 config if ip access group xiehe out r0 config if end R1 配置配置 Router Router en Router conf t Router config int s2 0 Router config if ip add 192 168 2 2 255 255 255 0 Router config if no shut Router config if exit Router config Router config Router config int fa0 0 Router config if ip add 192 1