网络故障诊断与排除项目12课件

1、访问控制列表在网络中的应用任务12.1了解网络中访问控制列表的配置环境任务12.2通过测试发现故障任务12.3了解访问控制列表的相关知识任务10.4访问控制列表的故障排除目录 CONTENTS PAGE 项目十二、访问控制列表在网络中的应用12.1 了解网络中访问控制列表的配置环境 李工所在公司由于工作需要需要在现有网络上增加访问控制列表，要求在实现子公司A可以和公司总部电脑通信，但不能访问总部网页服务器，子公司B只可以访问总部网页服务器，主要任务如下：查看现有网络配置配置，落实已有的IP地址信息；对总部路由器进行配置，通过ACL访问控制实现既定要求；进行配置结果测试Chp1 了解网络中访问控

2、制列表的配置环境12.2 通过测试发现故障 李工所在公司网络拓扑如图12-1所示：Chp2 通过测试发现故障 网络拓扑中包括3个路由器，分别为R1、R2、R3，3个交换机，分别为S1、S2、S3，以及在交换机上互连的服务器和终端设备等。对现有网络拓扑上的终端进行测试，发现如表12-1所示错误。项目十二、访问控制列表在网络中的应用表12-1 主机互通测试表 完成如表12-1的6项测试，共4项测试失败，因测试失败可确定本次操作没有成功完成项目目标。是什么原因造成故障现象呢？是规划设计的问题，是操作的问题，还是acl概念没有理解清楚的问题？据此，我们要深入的进行故障分析来确定问题所在。路由器R1路由

3、器r2路由器R3测试方法预期测试结果实际测试结果是否发生故障网页服务器pc2web失败失败否网页服务器pc2ping成功失败是网页服务器pc3ping失败成功是网页服务器pc3web成功成功否pc1pc2ping成功失败是pc1pc3ping失败成功是项目十二、访问控制列表在网络中的应用Chp2 通过测试发现故障Chp3 访问控制列表技术详解12.3 访问控制列表技术详解 访问控制列表（access list，ACL）是应用在路由器接口的指令列表，这些指令列表用来告诉路由器哪些数据包可以接收、哪些数据包需要拒绝。 12.3.1 什么是访问控制列表12.3.2 访问控制列表的分类 1.标准IP访

4、问控制列表 一个标准IP访问控制列表匹配IP包中的源地址或源地址中的一部分，可对匹配的包采取拒绝或允许两个操作。编号范围是从1到99的访问控制列表是标准IP访问控制列表。 下面举例来说明： 配置任务：禁止3这个计算机对/24网段的访问，而/24中的其他计算机可以正常访问。项目十二、访问控制列表在网络中的应用路由器配置命令如下： access-list 1 deny host 3 设置ACL，禁止3的数据包通过access-list 1 permit any 设置ACL，容许其他地址的计算机进行通讯int e 1 进入E1端口ip access-group 1 in 将ACL1宣告，同理可以进入

5、E0端口后使用ip access-group 1 out来完成宣告。 配置完毕后除了3其他IP地址都可以通过路由器正常通讯，传输数据包。总结：标准ACL占用路由器资源很少，是一种最基本最简单的访问控制列表格式。应用比较广泛，经常在要求控制级别较低的情况下使用。如果要更加复杂的控制数据包的传输就需要使用扩展访问控制列表了，他可以满足我们到端口级的要求。项目十二、访问控制列表在网络中的应用Chp3 访问控制列表技术详解2.扩展IP访问控制列表 扩展IP访问控制列表比标准IP访问控制列表具有更多的匹配项，包括协议类型、源地址、目的地址、源端口、目的端口、建立连接的和IP优先级等。编号范围是从100到

6、199的访问控制列表是扩展IP访问控制列表。扩展访问控制列表是一种高级的ACL，配置命令的具体格式如下：access-list ACL号 permit|deny 协议 定义过滤源主机范围 定义过滤源端口 定义过滤目的主机访问 定义过滤目的端口 例如：access-list 101 deny tcp any host eq www这句命令是将所有主机访问这个地址网页服务(WWW)TCP连接的数据包丢弃。 小提示：同样在扩展访问控制列表中也可以定义过滤某个网段，当然和标准访问控制列表一样需要我们使用反向掩码定义IP地址后的子网掩码。项目十二、访问控制列表在网络中的应用Chp3 访问控制列表技术详解

7、 扩展ACL有一个最大的好处就是可以保护服务器，例如很多服务器为了更好的提供服务都是暴露在公网上的，这时为了保证服务正常提供所有端口都对外界开放，很容易招来黑客和病毒的攻击，通过扩展ACL可以将除了服务端口以外的其他端口都封锁掉，降低了被攻击的机率。如本例就是仅仅将80端口对外界开放。总结：扩展ACL功能很强大，他可以控制源IP，目的IP，源端口，目的端口等，能实现相当精细的控制，扩展ACL不仅读取IP包头的源地址/目的地址，还要读取第四层包头中的源端口和目的端口的IP。不过他存在一个缺点，那就是在没有硬件ACL加速的情况下，扩展ACL会消耗大量的路由器CPU资源。所以当使用中低档路由器时应尽

8、量减少扩展ACL的条目数，将其简化为标准ACL或将多条扩展ACL合一是最有效的方法。基于名称的访问控制列表不管是标准访问控制列表还是扩展访问控制列表都有一个弊端，那就是当设置好ACL的规则后发现其中的某条有问题，希望进行修改或删除的话只能将全部ACL信息都删除。也就是说修改一条或删除一条都会影响到整个ACL列表。这一个缺点影响了我们的工作，为我们带来了繁重的负担。不过我们可以用基于名称的访问控制列表来解决这个问题。项目十二、访问控制列表在网络中的应用Chp3 访问控制列表技术详解 3.基于名称的访问控制列表的格式：ip access-list standard|extended ACL名称例如

9、：ip access-list standard softer就建立了一个名为softer的标准访问控制列表。基于名称的访问控制列表的使用方法：当我们建立了一个基于名称的访问列表后就可以进入到这个ACL中进行配置了。例如我们添加三条ACL规则 如果我们发现第二条命令应该是而不是，如果使用不是基于名称的访问控制列表的话，使用no permit 后整个ACL信息都会被删除掉。正是因为使用了基于名称的访问控制列表，我们使用no permit 后第一条和第三条指令依然存在。总结：如果设置ACL的规则比较多的话，应该使用基于名称的访问控制列表进行管理，这样可以减轻很多后期维护的工作，方便我们随时进行调整

10、ACL规则。permit permit permit 项目十二、访问控制列表在网络中的应用Chp3 访问控制列表技术详解Chp4 访问控制列表的故障排除12.4 访问控制列表的故障排除 依据理论化的故障排除思路，结合acl的技术原理和实际操作步骤，本次故障排除分解为以下几个子任务： 查看现有配置，并按照要求罗列表格。 根据相关知识点确认故障点所在 修改错误配置，并保存配置。 在新配置环境下进行测试 整理新的配置文档项目十二、访问控制列表在网络中的应用子任务1 查看现有网络设备配置1、任务目标查看所有路由器配置，确定已有的IP规划信息；查看边界路由器R2的配置，确定现有配置信息；2、任务所需设备

11、笔记本一台，并装有超级终端软件或TELNET软件，并确定访问所需的用户名和口令；配置线缆；记录所用的笔和纸；3、实施步骤使用超级终端软件连接3台路由器，使用show run命令确定路由器R1、R2、R3的接口配置。项目十二、访问控制列表在网络中的应用Chp4 访问控制列表的故障排除R1项目十二、访问控制列表在网络中的应用Chp4 访问控制列表的故障排除R2项目十二、访问控制列表在网络中的应用Chp4 访问控制列表的故障排除R3项目十二、访问控制列表在网络中的应用Chp4 访问控制列表的故障排除表12-2 各设备的IP地址及相关信息设备名称设备接口ip地址子网掩码网关R1F0/0se2/052R

12、2se2/052se3/052F0/0R3F0/0se3/052网页服务器PC1PC2PC3项目十二、访问控制列表在网络中的应用Chp4 访问控制列表的故障排除子任务2 确认工作点所在 本项目用模拟环境来实现，故可以排除物理问题及设备问题。这里根据访问控制列表的常见故障点来排查网络配置是否合理。首先了解一下访问控制列表的常见故障点。acl配置概念模糊两可，忽略了ACL 的最后一条语句都是隐式拒绝语句，通常默认表示deny ip any any。没有正确的在相应的接口上引用acl。没有充分发觉任务目标，选择配置设备出错 下面根据上述访问控制列表常见故障点逐步确认故障所在。 1.首先查看公司总部路

13、由器R1的新增acl配置如下：access-list 100 permit ip 55 host access-list 100 deny ip 55 host access-list 100 permit ip any any通过配置发现公司A所在网段即 容许访问 公司B所在网段即不容许访问，末尾语句添加了Access-list 100 Permit ip any any 项目十二、访问控制列表在网络中的应用Chp4 访问控制列表的故障排除2.查看acl是否应用在了接口上，通过查看总部路由器R1已有的配置命令发现acl 100已经应用在了接口，由于是从外部公司访问内部公司，由此可以确定对于总

14、部路由器来说，serial2/0是进口 应该在进口上引入acl 100,具体配置信息如下。interface FastEthernet0/0 ip address ip access-group 100 out duplex auto speed autointerface Serial2/0 ip address 52 ip access-group 100 in clock rate 640003.基于以上俩点都没出现问题，我们来仔细斟酌一下acl命令语句，access-list 100 permit ip 55 host access-list 100 deny ip 55 host a

15、ccess-list 100 permit ip any any项目十二、访问控制列表在网络中的应用Chp4 访问控制列表的故障排除 通过配置发现公司A所在网段即 不容许访问 公司B所在网段即容许访问，该语句拒绝了公司A网段即网段访问主机的所有端口，导致公司A即不能访问web服务器也不可以ping通pc1，同时公司B即可以ping通pc1，也可以访问web服务网页，这与既定的要求是不符合的, 通过了解网络情况建议需要在路由器R2和路由器R3上分别做路由策略。重新做访问控制列表子任务3 修改配置删除路由器R1上的原有acl配置，即删除acl 100R1(config)#no access-lis

16、t 100 删除在出接口上的应用R1(config)#int f0/0R1(config-if)#no ip access-group 100 outR1(config-if)#exit项目十二、访问控制列表在网络中的应用Chp4 访问控制列表的故障排除 在路由器R2上做如下配置：创建acl 102 ，拒绝网段上ip访问上的网页服务器,容许其他的数据流量通过access-list 102 deny tcp 55 host eq wwwaccess-list 102 permit ip any any应用到入接口上interface FastEthernet0/0ip access-group

17、102 in在路由器R3上作如下配置 创建acl 103 （注意隐式语句deny ip any any）access-list 103 permit tcp 55 host eq www在入接口上应用：interface FastEthernet0/0ip access-group 103 in项目十二、访问控制列表在网络中的应用Chp4 访问控制列表的故障排除子任务4 在新配置环境下进行测试完成配置后，重新对终端的互连进行测试，测试项和测试结果如表12-3。表12-3 主机互连测试表路由器R1路由器r2路由器R3测试方法预期测试结果实际测试结果是否发生故障网页服务器pc2web失败失败否网页服务器pc2ping成功成功否网页服务器pc3ping失败失败否网页服务器pc3web成功成功否pc1pc2ping成功成功否pc1pc3ping失败失败否 完成如表12-3的6项测试，共有6项测试成功，由此确