实验十五 命名的扩展IP访问控制列表

1、实验十五 命名的扩展IP访问控制列表实验名称：命名的扩展IP访问控制列表。实验目的：掌握交换机上命名的扩展IP访问控制列表规则及配置。背景描述：你是学校的网络管理员，在S3550-24交换机上连着的学校的提供WWW和FTP 的服务器，学校规定学生只能对服务器进行FTP 访问，不能进行WWW 访问，教工则每此限制。技术原理： IP访问控制列表是实现对流经路由器或交换机的数据包根据一定的规则进行过滤，从而提高网络可管理性和安全性。 IP访问控制列表分为两种：标准IP访问控制列表和扩展IP访问控制列表。 标准IP访问控制列表可以根据数据包的源IP地址定义规则，进行数据包过滤。 扩展IP访问控制列表可

2、以根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，进行数据包过滤。 IP访问控制列表基于接口进行规则的应用，分为：入栈应用和出栈应用。 入栈应用是指外部经该接口进入路由器的数据包进行过滤。 出栈应用是指路由器从该接口向外转发数据时进行数据包过滤。 IP访问控制列表的配置有两种方式：按照编号的访问控制列表，按照命名的访问控制列表。实现功能：实现网段间互相访问的安全控制。实验设备： S3550-24（1台）；PC机（3台）；直连线（3根）实验拓扑： 实验步骤：步骤1：基本配置。S3760_01#conf tS3760_01(config)#vlan 10S3760_01(confi

3、g-vlan)#name serverS3760_01(config-vlan)#vlan 20S3760_01(config-vlan)#name teachersS3760_01(config-vlan)#vlan 30S3760_01(config-vlan)#name studentsS3760_01(config-vlan)#exitS3760_01(config)#interface fastEthernet 0/10S3760_01(config-if)#switchport access vlan 10S3760_01(config-if)#exitS3760_01(confi

4、g)#interface f0/12S3760_01(config-if)#switchport access vlan 20S3760_01(config-if)#exitS3760_01(config)#interface f0/13S3760_01(config-if)#switchport access vlan 30S3760_01(config-if)#exitS3760_01(config)#interface vlan 10S3760_01(config-if)#ip add S3760_01(config-if)#exitS

5、3760_01(config)#interface vlan 20S3760_01(config-if)#ip add S3760_01(config-if)#exitS3760_01(config)#interface vlan 30S3760_01(config-if)#ip add S3760_01(config-if)#exitS3760_01(config)#步骤2：配置扩展IP访问控制列表。S3760_01(config)#ip access-list extended deny

6、_stusent_wwwS3760_01(config-ext-nacl)#deny tcp 55 S3760_01(config-ext-nacl)#$0 55 55 eq www2007-12-03 16:08:33 5-CONFIG:Configured from outbandS3760_01(config-ext-nacl)#permit ip any any2007-12-03 16:08:54 5-CONFIG:Configured from outbandS37

7、60_01(config-ext-nacl)#endS3760_01#sh ip access-listsExtended IP access list: deny_stusent_www deny tcp 55 55 eq www permit ip any anyS3760_01#步骤3：把访问控制列表在接口下应用。S3760_01(config)#interface vlan 302S3760_01(config-if)#ip access-group deny_stusent_www inS3760_01(

8、config-if)#步骤4：验证、测试配置。学生不能访问WWW，教师可以访问WWW。参考配置：S3760_01#show running-configSystem software version : RGNOS V4.12 Build Dec 8 2006 ReleaseBuilding configuration.Current configuration : 1078 bytes!version 1.0!hostname S3760_01vlan 1!vlan 10 name server!vlan 20 name teachers!vlan 30 name students!vlan

9、 50!ip access-list extended deny_stusent_www deny tcp 55 55 eq www permit ip any any!enable secret level 14 5 %2,1u_;C34-8U0<D4'.tj9=GQ+/7R:>Henable secret level 15 5 ,9wxY*T7Z8ptZV/89rS(W&:prX)sv'!interface FastEthernet 0/10 switchport acces

10、s vlan 10!interface FastEthernet 0/11 switchport access vlan 10!interface FastEthernet 0/12 switchport access vlan 20!interface FastEthernet 0/13 switchport access vlan 30!interface Vlan 10 ip address !interface Vlan 20 ip address !interface Vlan 30 ip address ip access-group deny_stusent_www in!interface