实验十五命名的扩展IP访问控制列表概要

1、实验十五命名的扩展IP访问控制列表实验名称：命名的扩展 IP访问控制列表。实验目的：掌握交换机上命名的扩展IP访问控制列表规则及配置。背景描述：你是学校的网络管理员，在S3550-24交换机上连着的学校的提供WWW 和FTP的服务器，学校规定学生只能对服务器进行FTP访问，不能进行 WWW访问，教工则每此限制。技术原理：IP访问控制列表是实现对流经路由器或交换机的数据包根据一定的规则进行过滤，从而提高网络可管理性和安全性。IP访问控制列表分为两种：标准IP访问控制列表和扩展IP访问控制列表。标准IP访问控制列表可以根据数据包的源IP地址定义规则，进行数据包过滤。扩展IP访问控制列表可以根据数据

2、包的源IP、目的IP、源端口、目的端口、协议来定义规则，进行数据包过滤。IP访问控制列表基于接口进行规则的应用，分为：入栈应用和出栈应用。入栈应用是指外部经该接口进入路由器的数据包进行过滤。出栈应用是指路由器从该接口向外转发数据时进行数据包过滤。IP访问控制列表的配置有两种方式：按照编号的访问控制列表，按照命名的访 问控制列表。实现功能：实现网段间互相访问的安全控制。实验设备：S3550-24（ 1台）；PC机（3台）；直连线（3根）实验拓扑：vlan 20实验步骤: 步骤 1：基本配置。S3760_01#conf tS3760_01(config)#vlan 10S3760_01(confi

3、g-vlan)#name server S3760_01(config-vlan)#vlan 20S3760_01(config-vlan)#name teachers S3760_01(config-vlan)#vlan 30S3760_01(config-vlan)#name studentsS3760_01(config-vlan)#exitS3760_01(config)#interface fastEthernet 0/10 S3760_01(config-if)#switchport access vlan 10 S3760_01(config-if)#exitS3760_01(c

4、onfig)#interface f0/12S3760_01(config-if)#switchport access vlan 20 S3760_01(config-if)#exitS3760_01(config)#interface f0/13S3760_01(config-if)#switchport access vlan 30 S3760_01(config-if)#exitS3760_01(config)#interface vlan 10S3760_01(config-if)#ip add S3760_01(config-if

5、)#exitS3760_01(config)#interface vlan 20S3760_01(config-if)#ip add S3760_01(config-if)#exitS3760_01(config)#interface vlan 30S3760_01(config-if)#ip add S3760_01(config-if)#exitS3760_01(config)#步骤 2：配置扩展 IP 访问控制列表。S3760_01(config)#ip access-list e

6、xtended deny_stusent_www S3760_01(config-ext-nacl)#deny tcp 55 S3760_01(config-ext-nacl)#$0 55 55 eq www 2007-12-03 16:08:33 5-CONFIG:Configured from outband S3760_01(config-ext-nacl)#permit ip any any2007-12-03 16:08:54 5-CONFIG:Configured

7、 from outband S3760_01(config-ext-nacl)#endS3760_01#sh ip access-listsExtended IP access list: deny_stusent_wwwdeny tcp 55 55 eq www permit ip any anyS3760_01#步骤 3：把访问控制列表在接口下应用。S3760_01(config)#interface vlan 302S3760_01(config-if)#ip access-groupdeny_stusent

8、_www inS3760_01(config-if)#步骤 4：验证、测试配置。 学生不能访问 WWW ，教师可以访问 WWW 。 参考配置：S3760_01#show running-configSystem software version : RGNOS V4.12 Build Dec 8 2006 ReleaseBuilding configuration.Current configuration : 1078 bytes!version 1.0!hostname S3760_01vlan 1!vlan 10name server!vlan 20name teachers!vlan

9、30name students!vlan 50!ip access-list extended deny_stusent_wwwdeny tcp 55 55 eq www permit ip any any!enable secret level 14 5 %2,1u_;C34-8U0<D4'.tj9=GQ+/7R:>H enable secret level 15 5 ,9wxY*T7Z8ptZV/89rS(W&:prX)sv' !interface FastEthernet

10、0/10switchport access vlan 10!interface FastEthernet 0/11switchport access vlan 10 interface FastEthernet 0/12switchport access vlan 20 interface FastEthernet 0/13switchport access vlan 30!interface Vlan 10ip address !interface Vlan 20ip address !interface Vlan 30ip address ip access-group deny_stusent_www in!interfa