网络设备安装与调试（神码版）（第2版）教案 第13周 项目5 访问控制列表的配置

理论课教案（首页）NO13课程网络设备安装与调试课题项目5网络安全技术配置访问控制列表的配置使用教材网络设备安装与调试（神码版）（第2版）任课教师班级所属专业云计算技术应用上课地点上课时间第13周周四第1-6节总课时120周课时6教材处理本课程使用的教材为《网络设备安装与调试（神码版）（第2版）》，教学内容和顺序与教材基本一致，本项目重点学习交换机端口安全功能的配置、IP访问控制列表的配置，以及网络地址转换的配置。教学目标（包含知识与技能、过程与方法、情感态度与价值观等三个目标）知识与技能：1．理解访问控制列表的工作原理和分类。2．能实现标准IP访问控制列表的配置。3．能实现扩展IP访问控制列表的配置过程与方法：通过教师演示、任务驱动、提问方式等方式，对知识点的提取、分析、解决任务问题。情感态度与价值观：培养实际操作能力、积极思考问题能力，提高学生学习兴趣，增强学生主动思考、发现并解决问题的能力。教学重点教学难点重点及突出策略：重点：配置访问控制列表突出策略：通过教师演示加强学习和上机操作进行巩固。难点及解决方法：难点：区分标准与扩展访问列表的配置突出策略：通过教师演示加强学习和上机操作进行巩固。学情分析学习本专业课的学生是22级的学生，在此门专业课之前已学习计算机网络基础，已有一定的基础和知识积累，需要在每个项目前讲解好原理，更多的让他们进行项目实践。教学方法任务驱动、教师演示教具准备Ensp模拟器软件、任务书、网络拓扑图、案例教学反思学生们对于本次课程的基础知识点较容易掌握教学实施（次页）教学环节教学内容学生活动教师活动用时备注一、基本知识点和主要任务目标发布任务及任务实施任务验收和小结讲解本项目涉及的知识点和主要任务目标随着网络技术的发展和应用范围的不断扩大，网络已经成为人们日常生活中必不可少的一部分。园区网作为给终端用户提供网络接入和基础服务的应用环境，其存在的网络安全隐患不断显现出来，如非人为的或由自然力造成的故障、事故；人为的、由于操作人员的失误造成的数据丢失或损坏；园区网外部或内部人员的恶意攻击和破坏。网络安全状况直接影响着人们的学习、工作和生活，网络安全问题已经成为信息社会关注的焦点，因此要实施网络安全防范。保护园区网络安全的措施包括在终端主机上安装防病毒软件，保护终端设备安全；利用交换机的端口安全功能，防止局域网内部的MAC地址攻击、ARP攻击、IP/MAC地址欺骗等；利用IP访问控制列表，对网络流量进行过滤和管理，保护子网之间的通信安全及敏感设备，防范非授权的访问；利用NAT技术在一定程度上为内网主机提供“隐私”保护；在网络出口部署防火墙，防范外网的未授权的访问和非法攻击；建立保护内部网络安全的规章制度，保护内网设备的安全。本项目重点学习交换机端口安全功能的配置、IP访问控制列表的配置，以及网络地址转换的配置。二、发布任务，分任务进行情境描述及任务实施项目5网络安全技术配置任务5.3访问控制列表的配置活动1标准IP访问控制列表的配置任务情境：某公司包括经理部、财务部和销售部，这3个部门分别属于3个不同的网段，3个部门之间用路由器进行信息传递。为安全起见，公司领导要求网络管理员对网络的数据流量进行控制，使销售部不能对财务部进行访问，但经理部可以对财务部进行访问。情境分析：财务部涉及公司许多重要的财务信息和数据，因此，保障公司经理部对其的安全访问，减少普通部门对其的访问是很有必要的，这样可以尽可能地消除网络安全隐患。在路由器上应用标准IP访问控制列表，对访问财务部的数据流量进行限制，禁止销售部访问财务部的数据流量通过，但对经理部的数据流量不做限制，从而达到保护财务部主机安全的目的。下面以两台型号为DCR-2655的路由器来模拟网络，学习和掌握标准IP访问控制列表的配置，其拓扑结构如图5.3.1所示。任务实施：具体要求如下。根据图5.3.1所示的拓扑结构，使用直通线连接好所有的计算机。设置每台计算机的IP地址、子网掩码和网关，如表5.3.1所示。路由器的接口、IP地址和子网掩码如表5.3.2所示。（3）配置静态路由实现全网互通。（4）配置标准IP访问控制列表，设置销售部所在的PC2不能访问财务部所在的PC3，但允许经理部所在的PC1访问财务部所在的PC3。教师演示活动2扩展IP访问控制列表的配置任务情境：由于网络规模的扩大，某公司架设了FTP服务器和Web服务器，FTP服务器只供技术部访问使用，Web服务器供市场部和技术部使用。市场部拒绝Web服务器之外的访问。公司局域网通过路由器进行信息传递，通过配置实现网络数据流量的控制。情境分析：从公司的需求来看，标准IP访问控制列表是无法实现所需功能的，因此只能使用扩展IP访问控制列表。在路由器上应用扩展IP访问控制列表，控制访问服务器的数据流量。禁止市场部访问FTP服务器的数据流通过；Web服务器向市场部和技术部提供Web服务，但市场部和服务部拒绝服务器的其他访问，从而达到保护服务器和数据的目的。下面通过两台型号为DCR-2655的路由器来模拟网络，介绍扩展IP访问控制列表的配置，其拓扑结构如图5.3.4所示。任务实施：具体要求如下。（1）根据图5.3.4所示的拓扑结构，连接好所有的网络设备，包括计算机和Server1服务器。设置两台计算机及一台Server1服务器的IP地址、子网掩码和网关，如表5.3.3所示。路由器的接口、IP地址和子网掩码如表5.3.4所示。（3）配置静态路由实现全网互通。（4）配置扩展IP访问控制列表，限制市场部所在的PC1访问服务器上的FTP服务，但不限制技术部所在的PC2。教师演示任务验收（每个小任务结束后都要单独进行验收）和小结项目5任务5.3活动1：步骤1：在PC1上测试PC3，结果是互通的，说明经理部可以访问财务部，如图5.3.2所示。步骤2：在PC2上测试PC3，结果是不互通的，说明销售部不可以访问财务部，如图5.3.3所示。步骤3：查看标准IP访问控制列表的应用状态。项目5任务5.3活动2：步骤1：在PC2上访问Web服务器是可以正常进行的。步骤2：在PC2上访问FTP服务器是无法正常进行的。步骤3：在PC1上访问FTP和Web服务器都是可以正常进行的。步骤4：查看扩展IP访问控制列表的应用状态。观看PPT结合教材听老师讲解观看教师的演示操作，然后根据任务要求，进行自主上机练习结合ppt和教