《网络设备互联 》 课件 项目6-10 访问控制列表-中小型企业网络设计案例

项目六

访问控制列表基本访问控制列表任务101了解基本访问控制列表的概念、特点和工作原理。02掌握配置基本访问控制列表的方法和命令。03实现基本访问控制列表的配置。学习目标访问控制列表的概念

访问控制列表（AccessControlList，ACL）是一种基于包过滤的访问控制技术，可以根据预先设定的规则过滤端口上的数据包，允许或拒绝其通过。ACL在路由器和三层交换机中应用非常广泛，借助ACL，可以有效地控制用户在网络中的访问行为，最大限度地保护网络安全。访问控制列表的功能

ACL的功能包括限制网络中的流量以提高网络性能，对通信流量提供控制手段，对网络访问提供安全手段，以及决定路由器或交换机的端口允许或拒绝某种类型的流量通过。相关知识

基本访问控制列表的特点

1.基于源地址过滤。2.配置相对简单。3.应用位置固定。4.配置较为方便。5.存在限制性。6.性能影响较小。7.隐式拒绝。相关知识

访问控制列表的工作原理

1.数据包检测。2.规则匹配。3.决策处理。基本访问控制列表的配置命令

基本ACL的相关配置必须在系统视图下完成，具体如下。1.执行基本ACL进程并进入ACL视图

具体命令如下。acl{acl编号}

例如，当ACL编号为2000时，命令为：acl2000。2.指定ACL中的策略

具体命令如下。rule{允许或拒绝}source{网络地址}{反掩码}

例如，当拒绝源地址为/24的数据包通过时，命令为：ruledenysource55。3.设置端口应用方向和调用ACL

具体命令如下。traffic-filter{端口应用方向（in或out）}acl{acl编号}

例如，当应用在端口输入方向时，命令为：traffic-filterinboundacl2000。相关知识

相关知识

任务实施

任务描述本任务要求实现PC1与PC2、PC3之间通过2台路由器进行连接，所有路由器的端口上均配置了对应IP地址。使用基本ACL，使PC1作为总管设备，可以访问其余所有设备，PC3允许PC1访问，但禁止PC2访问。实验设备：AR2220路由器2台，带有网卡的PC3台，直连网线4条，以及电源线若干。任务实施

操作步骤1.配置IP地址2.进入AR1、AR2系统视图修改名称3.在AR1、AR2中配置对应IP地址和默认路由4.在AR2中配置基本ACL5.检查配置结果6.通信测试扩展访问控制列表任务201了解扩展访问控制列表的概念、特点和工作原理。02掌握配置扩展访问控制列表的方法和命令。03实现扩展访问控制列表的配置。学习目标

扩展访问控制列表的概念扩展访问控制列表（ExtendedAccessControlList，简称扩展ACL）与基本ACL一样，也是在网络安全技术中用于过滤网络流量的重要工具。扩展访问控制列表的特点1.精细流量控制。2.安全性高。3.策略统一。4.网络性能优化。5.编号范围连续。6.应用位置固定。7.存在优先级。相关知识

扩展访问控制列表的配置命令1.执行扩展ACL进程并进入ACL视图。2.指定ACL中的策略。3.设置端口应用方向和调用ACL。

相关知识

扩展访问控制列表的配置命令

扩展ACL的相关配置必须在系统视图下完成。1.执行扩展ACL进程并进入ACL视图具体命令如下。acl{acl编号}

例如，当ACL编号为3000时，命令为：acl3000。2.指定ACL中的策略

具体命令如下。rule{允许或拒绝}{协议}{源地址}{反掩码}{目标地址}{反掩码}{端口号}

例如，当拒绝地址以TCP协议和80端口访问地址时，命令为：ruledenytcpsource55destination55destination_x0002_porteq80。3.设置端口应用方向和调用ACL

具体命令如下。traffic-filter{端口应用方向（in或out）}acl{acl编号}

例如，当应用在端口入方向时，命令为：traffic-filterinboundacl3000。相关知识

任务实施

任务描述本任务要求实现客户端Client1、Client2和服务器Server1之间通过2台路由器进行连接，所有路由器的端口上均配置对应IP地址。Server1是服务器，开启HTTP和FTP功能。使用扩展ACL，使Client1可通过HTTP访问Server1，但不可通过FTP访问，Client2则可同时通过HTTP和FTP访问Server1。实验设备：AR2220路由器2台，带有网卡的Client2台，带有网卡的Server1台，直连网线4条，以及电源线若干。任务实施

操作步骤1.配置IP地址2.在Server1中启动HTTP和FTP服务3.进入AR1、AR2系统视图修改名称4.在AR1、AR2中配置对应IP地址和默认路由5.在AR2中配置扩展ACL6.检查配置结果7.通信测试基于时间的访问控制列表任务301了解基于时间的访问控制列表的概念、特点和时间段。02掌握配置基于时间的访问控制列表的方法和命令。03实现基于时间的访问控制列表的配置。学习目标基于时间的访问控制列表

基于时间的访问控制列表（Time-BasedAccessControlList，简称TBACL）是一种特殊的ACL，属于高级网络访问控制技术。基于时间的访问控制列表的特点

1.时间段精确。2.安全性高。3.网络资源利用率高。4.配置灵活。5.兼容性高。相关知识

相关知识

基于时间的访问控制列表的时间段

在不同的环境中，根据不同的需求应配置不同的时间段，时间段的表述方式见表6-3。相关知识

基于时间的访问控制列表的配置命令

TBACL的相关配置必须在系统视图下完成，具体如下。1.配置时间段参数

具体命令如下。time-range{时间段名称}{具体时间1}to{具体时间2}{生效时间段}

例如，当时间段名称为work，具体时间为9：00至12：00，生效时间段为工作日时，命令为：time-rangework9：00to12：00working-day。2.执行TBACL进程并进入ACL视图具体命令如下。acl（acl编号）

例如，当ACL编号为3000时，命令为：acl3000。相关知识

基于时间的访问控制列表的配置命令

3.指定ACL中的策略具体命令如下。rule{允许或拒绝}{协议}{源地址}{反掩码}{目标地址}{反掩码}time_x0002_range{时间段名称}

例如，当拒绝源地址为、子网掩码为，目标地址为、子网掩码为，时间段名称为work的数据包通过时，命令为：ruledenysource55destinationtime-rangework。4.设置端口应用方向和调用ACL具体命令如下。traffic-filter{端口应用方向（in或out）}acl{acl编号}

例如，当应用在端口出方向时，命令为：traffic-filteroutboundacl3000。相关知识

任务实施

任务描述本任务要求实现属于内部网络的PC1和PC2在任何时间内都可以相互访问，通过使用TBACL，网络服务器Server1在工作日（周一至周五）的工作时间段（9：00至12：00及14：30至17：30）禁止PC1和PC2访问。配置各端口对应IP地址，以及静态或默认路由。实验设备：AR2220路由器2台，带有网卡的PC2台，服务器1台，直连网线4条，以及电源线若干。任务实施

操作步骤1.配置IP地址2.进入AR1、AR2系统视图修改名称3.在AR1、AR2中配置对应IP地址5.在AR1中配置时间段参数6.在AR1中配置TBACL7.检查配置结果4.在AR1、AR2中配置默认路由8.通信测试谢谢观看项目七

网络地址转换网络设备互联（华为）技工院校计算机类专业教材EasyIP网络地址转换任务101了解网络地址转换的概念。02了解EasyIP网络地址转换的概念。03实现EasyIP网络地址转换的配置。学习目标网络地址转换

网络地址转换（NetworkAddressTranslation，NAT）又称网络掩蔽或IP掩蔽（IPMasquerading），是一种在IP数据包通过网关设备（常为路由器）时重写源IP地址或目的IP地址的技术（又被形象地称为“换马甲技术”）。端口多路复用

端口多路复用（PortAddressTranslation，PAT）是NAT中的一种，它通过转换向外发送的数据包的源地址和源端口（TCP端口），使内部网络主机可使用合法的公网IP地址访问外部网络。EasyIP网络地址转换

EasyIP是PAT的一种，但在这种方式中并不需要准备好转换用的外部网络地址池，所有的内部网络主机都通过NAT设备连接外部网络端口的IP地址，和不同端口进行外部网络访问。相关知识

EasyIP网络地址转换的相关命令

1.建立使用NAT的ACL。2.在端口上配置EasyIP方式的NAT。相关知识

任务实施

任务描述本任务要求实现使用EasyIP方式的NAT，使内部网络主机可访问外部网络。实验设备：路由器2台，交换机1台，带有网卡的PC2台，直连网线4条，以及电源线若干。任务实施

操作步骤1.配置IP地址和PC网关2.进入R1、R2系统视图修改名称并配置各端口IP地址3.在R1中设置默认路由以实现全网互通4.在R1中配置ACL5.在R1出口配置EasyIP方式的NAT6.通信测试7.数据分析静态与服务器网络地址转换任务201了解静态网络地址转换的概念。02掌握配置静态网络地址转换的命令。03掌握配置服务器网络地址转换的命令。学习目标

静态网络地址转换的概念静态NAT是指将内部网络的私有IP地址转换为公有IP地址，这两个IP地址之间存在一对一的对应关系，并且是一成不变的。静态网络地址转换的相关命令1.建立静态NAT的对应关系。2.在端口上配置静态NAT。相关知识

服务器网络地址转换的概念服务器NAT与静态NAT原理相似，其不同之处在于服务器NAT在建立内部网络和外部网络IP地址的一一对应关系时增加了端口选项，可为内部地址的某端口与外部地址的某端口建立一一对应关系，这种NAT也被称为端口映射。

服务器网络地址转换的相关命令1.在端口上建立服务器NAT的对应关系。2.在端口上配置静态NAT。相关知识

任务实施

一、静态NAT实验任务描述本任务要求实现使用静态NAT保证局域网服务器能被外部网络访问。实验设备：服务器1台，路由器2台，交换机1台，直连网线3条，以及电源线若干。二、服务器NAT实验任务描述本任务要求实现使用服务器NAT保证局域网服务器能被外部网络访问。实验设备：服务器1台，路由器1台，交换机1台，客户机1台，直连网线3条，以及电源线若干。任务实施

一、静态NAT实验操作步骤1.配置IP地址和PC网关2.进入R1、R2系统视图修改名称并配置各端口IP地址3.在R1中设置默认路由以实现全网互通4.在R1中建立静态NAT的对应关系5.在R1出口配置静态NAT6.通信测试7.数据分析任务实施

二、服务器NAT实验操作步骤1.配置IP地址和PC网关2.在R1的GigabitEthernet0/0/1端口上设置端口映射3.在服务器中配置HTTP服务4.通信测试动态网络地址转换任务301了解动态网络地址转换的概念。02掌握配置动态网络地址转换的命令。03掌握查看动态网络地址转换的命令。学习目标动态网络地址转换的概念

静态NAT的地址映射是严格的一对一形式，这就导致在内部网络主机长时间离线或不发送数据时，与之对应的公有地址也处于使用状态。动态网络地址转换的方式

1.No-PAT方式。2.网络地址和端口翻译（NetworkAddressandPortTranslation，NAPT）方式。相关知识

动态网络地址转换的相关命令

1.创建地址池。2.配置地址转换ACL。3.在端口上配置带地址池的NAT。相关知识

任务实施

任务描述本任务要求实现公司内部网络计算机分别使用No-PAT和NAPT方式的动态NAT访问外部网络。实验设备：路由器2台（R1、R2），交换机1台，带有网卡的PC2台（PC1、PC2），直连网线4条，以及电源线若干。任务实施

操作步骤1.配置IP地址、PC网关、路由器名称和各端口IP地址2.创建NAT地址池3.创建使用动态NAT的ACL6.数据分析7.使用NAPT的方式进行动态NAT8.再次通信测试4.在R1的GigabitEthernet0/0/1端口上设置动态NAT9.再次数据分析5.通信测试谢谢观看项目八

常用网络服务与应用网络设备互联（华为）技工院校计算机类专业教材动态主机配置协议配置任务101了解动态主机配置协议的概念和地址池。02掌握配置动态主机配置协议的方法和命令。03实现动态主机配置协议的配置。学习目标动态主机配置协议

动态主机配置协议（DHCP）是局域网的网络协议，通过用户数据协议（UserDatagramProtocol，UDP）工作。动态主机配置协议地址池

1.接口地址池。2.全局地址池。动态主机配置协议建立租约的过程

DHCP采用客户端/服务器（Client/Server，C/S）架构的通信模式，其中，服务器负责存储和分配IP地址信息，客户端则请求和获取服务器上的IP地址信息。相关知识

动态主机配置协议续约的过程

客户端向服务器申请IP地址后，会生成三个定时器，分别用于控制租期更新、租期重新绑定，以及租期失效。动态主机配置协议的地址分配机制

1.自动分配方式（AutomaticAllocation）。2.动态分配方式（DynamicAllocation）。3.手工分配方式（ManualAllocation）。相关知识

动态主机配置协议的配置命令

1.开启DHCP功能。2.创建DHCP地址池。3.配置地址池的IP地址范围。4.配置网关地址。5.配置DNS服务器。6.配置租约时间。7.在端口调用DHCP。相关知识

任务实施

任务描述本

任

务

要

求

实

现AR1为DHCP服

务

器，PC1、PC2为DHCP客

户

端，

在AR1中配置名称为pool1的地址池，分配地址为

网段，网关地址为54，DNS为

，租约为10天。PC1、PC2必须自动获取

网段地址和

的DNS。此任务只需配置AR1，LSW1只作为PC1、PC2的接入设备，不进行任何配置。实验设备：AR2220路由器1台，S3700交换机1台，带有网卡的PC2台，直连网线3条，以及电源线若干。任务实施

操作步骤1.配置IP地址2.进入AR1系统视图修改名称3.在AR1的GigabitEthernet0/0/1端口配置网关地址4.在AR1中配置DHCP服务器并设置参数5.检查配置结果6.IP地址信息获取测试远程上机协议配置任务201了解远程上机协议的概念和特点。02掌握远程上机协议的工作过程和配置命令。03实现远程上机协议的配置。学习目标

远程上机协议的概念和特点1.纯文本传输。2.远程管理。3.默认端口号。远程上机协议的工作过程1.建立连接。2.输入密码。3.认证并返回结果。4.撤销连接。相关知识

远程上机协议的应用场景和配置目的1.TelnetProtocol的应用场景（1）大型网络项目（2）远程管理设备2.TelnetProtocol的配置目的（1）远程访问设备（2）配置设备参数（3）监控设备状态远程上机协议的认证方式1.AAA认证。2.Password认证。远程上机协议的配置命令1.配置用户接口和虚拟终端连接（VTY）。2.配置认证模式。3.配置密码和加密模式。4.配置远程等级。相关知识

相关知识

任务实施

任务描述本任务要求实现在路由器AR1和AR2连接的端口上均配置IP地址，AR1需要以Password认证方式配置TelnetProtocol功能，密码为admin，并配置密文模式，远程等级为15级，AR2则作为客户端使用TelnetProtocol远程登录AR1。实验设备：AR2220路由器2台，直连网线1条，以及电源线若干。任务实施

操作步骤1.配置IP地址2.进入AR1、AR2系统视图修改名称3.在AR1、AR2中配置各端口IP地址4.在AR1中配置TelnetProtocol远程登录5.检查配置结果6.远程登录测试交换机端口安全机制任务301了解交换机端口安全机制的概念和作用。02掌握配置交换机端口安全机制的方法和命令。03实现交换机端口安全机制的配置。学习目标交换机端口安全机制的概念

交换机端口安全机制是基于MAC（物理地址）的一种安全机制，它通过检测数据帧的源MAC来控制非授权设备的网络访问。交换机端口安全机制的作用

1.防止设备非法接入。2.限制接入设备的数量及对违规情况的记录和处理。3.阻止ARP攻击。4.优化网络管理。相关知识

交换机端口安全机制的模式

1.静态模式。2.动态模式。3.最大模式。安全MAC

1.安全动态MAC。2.安全静态MAC。3.StickyMAC。端口安全违规的处理方式

1.限制通信（Restrict）。2.通信保护（Protect）。3.关闭端口（Shutdown）。相关知识

交换机端口安全机制的配置命令

1.配置端口安全功能。2.配置端口最大MAC数量。3.开启sticky。4.手动绑定MAC。5.配置端口安全违规的处理方式。相关知识

任务实施

任务描述本任务要求实现在交换机LSW1中连接两台同属VLAN1的PC1和PC2，由于这两台PC的工作接触涉密信息，且PC1和PC2需要相互通信，为了保证其安全性，需要在LSW1连接PC的端口上进行端口安全配置，使GigabitEthernet0/0/1和GigabitEthernet0/0/2端口只允许MAC为5489-980E-5681的PC1和MAC为5489-985F-25DB的PC2使用，一旦出现非法连接，立即关闭端口。若名为PC3的非法设备尝试以PC2的IP地址和端口接入网络，端口安全机制将阻断其连接端口。实验设备：：S5700三层交换机1台，带有网卡的PC3台，直连网线3条，以及电源线若干。任务实施

操作步骤1.配置IP地址2.进入LSW1系统视图修改名称3.在LSW1中分别配置GigabitEthernet0/0/1和GigabitEthernet0/0/2端口安全机制4.检查配置结果5.通信测试谢谢观看项目九

广域网技术网络设备互联（华为）技工院校计算机类专业教材点到点协议封装与密码认证协议认证任务101了解广域网的相关知识。02了解点到点协议的概念。03能实现华为设备点到点协议封装和密码认证协议认证。学习目标广域网相关知识

1.局域网通常指传输距离小于10km、数据传输速率（带宽）较高的计算机网络。2.广域网是指在比单个城市区域大的地理范围内提供通信服务的计算机网络。3.广域网传输协议4.广域网的主要设备由于广域网的庞大和网络复杂性，在广域网上要尽量避免各种广播，所以广域网上的主要设备只有路由器。广域网的接入方式

1.数字用户线接入。2.数字数据网接入。3.电话调制解调器远程接入和公用电话交换网接入。点到点协议

点到点协议（PPP）是指主要通过拨号或数字专线的方式在两个网络节点之间建立连接和发送数据的传输协议。PPP协议是广域网上应用最广泛的协议之一，它的特点是简单，具备错误检测、用户认证、IP地址分配等能力。相关知识

串行接口（SerialPort）

PPP协议主要在串行接口（简称串口）和串行链路上进行数据传输，所以本任务均在路由器安装串口扩展卡后，连接串口线进行实验。密码认证协议认证

PAP协议是二次握手协议，通过用户名和密码完成身份认证。被认证方将自己的用户名和密码以明文的方式发送到认证方请求认证，认证方根据本方数据库（或Radius服务器）核对用户名和密码的合法性。相关知识

点到点协议封装的相关命令

1.在端口视图上封装PPP协议。2.认证方PAP设置。3.被认证方PAP设置。相关知识

任务实施

任务描述本任务要求实现路由器1（R1）和路由器2（R2）分别连接各自的局域网（此处用PC1和PC2代表），模拟在广域网上进行PPP连接。其中，R1模拟内部网络路由器，R2模拟运营商路由器，LoopBack0回送端口模拟外部网络地址。实验设备：AR2220路由器2台，带有网卡的PC2台，直连网线3条，以及电源线若干。任务实施

操作步骤1.搭建实验拓扑2.配置IP地址和PC网关3.进入R1、R2系统视图修改名称并配置对应IP地址4.在R1、R2中设置默认路由任务实施

操作步骤5.在R2中配置认证数据库6.在R2串口封装PPP协议、启用PAP认证并设置为认证方7.在R1串口封装PPP协议并设置为被认证方8.数据分析挑战握手身份认证协议认证与双向认证任务201了解挑战握手身份认证协议认证和密码认证协议认证的区别。02掌握配置挑战握手身份认证协议认证的相关命令。03能实现华为设备双向认证。学习目标

挑战握手身份认证协议认证挑战握手身份认证协议（CHAP）是在PPP链路上进行身份认证的三次报文交换协议。相比于PAP认证，CHAP认证可以有效地防止密码被窃听或篡改，是一种更加安全的认证方式。挑战握手身份认证协议认证的工作原理1.认证请求。2.认证响应。3.认证结果。4.持续认证。相关知识

挑战握手身份认证协议的双向认证双向认证是指参与数据传输的双方互为认证方和被认证方，只有双向认证通过才能顺利进行数据的发送和接收，这大大提高了传输的安全性。

挑战握手身份认证协议的相关命令1.认证方CHAP设置。2.被认证方CHAP设置。相关知识

任务实施

任务描述本任务要求使用与项目九任务1完全相同的网络拓扑，实现同样的目的，只是在本任务中会使用CHAP认证及其双向认证的方式进行认证连接，以提高PPP连接的安全性。任务实施

操作步骤1.CHAP单向认证（1）配置IP地址和PC网关（2）在R1、R2上设置默认路由以实现全网互通（3）在R2中配置认证数据库（4）在R2串口封装PPP协议、启用CHAP认证并设置为认证方（5）在R1串口封装PPP协议并设置为被认证方，建立用于PAP认证的用户abc及密码123（6）在R1和R2的Serial3/0/0串口分别输入displayinterfaceSerial3/0/0命令来查看串口连接情况任务实施

操作步骤2.CHAP双向认证R2作为认证方，已通过CHAP认证的方式认证R1接入的合法性。双向认证就是R1也作为认证方认证R2接入的合法性。以太网上的点到点协议连接任务301了解以太网上的点到点协议的概念。02了解以太网上的点到点协议中的虚拟接口模板和虚拟拨号接口。03掌握配置以太网上的点到点协议的方法。学习目标以太网上的点到点协议

以

太

网

上

的

点

到

点

协

议（PPPoE）

是

将

点

到

点

协

议（PPP）

封

装

在

以

太

网（Ethernet）框架中的一种网络隧道协议。虚拟接口模板

虚拟接口模板（Virtual-Template，VT）是指PPPoE服务端连接虚拟PPP隧道链路的虚拟接口。为了让以太网链路可以承载PPP数据帧，必须为其配置虚拟接口模板。相关知识

虚拟拨号接口

虚拟拨号接口是指拨号控制中心（DialControlCenter，DCC）中的拨号接口。在PPPoE协议中，客户端使用拨号的方式与服务端建立连接，服务端的虚拟接口是虚拟接口模板（VT），客户端的虚拟接口是虚拟拨号接口，这两个接口相连接的虚拟链路就是PPP隧道链路。以太网上的点到点协议的相关命令

1.PPPoE服务端创建地址池。2.PPPoE服务端创建VT。3.指定为PPPoE分配地址的地址池。4.PPPoE服务端绑定以太网接口和VT接口。5.PPPoE客户端创建虚拟拨号接口。6.为PPPoE客户端虚拟拨号接口指定IP地址。7.指定PPPoE客户端虚拟拨号接口发起拨号时使用的用户名。

相关知识

8.为PPPoE客户端虚拟拨号接口绑定一个bundle。9.PPPoE客户端虚拟拨号接口绑定接口组。10.PPPoE客户端虚拟拨号接口绑定以太网接口。11.设置PPPoE客户端虚拟拨号接口的拨号规则。12.编写拨号规则。13.查看PPPoE客户端的会话状态和配置信息。14.查看PPPoE服务端的会话状态和配置信息。相关知识

任务实施

任务描述本任务要求实现模拟客户端计算机1使用PPPoE拨号上网。使用CHAP认证方式，设置用户名为abc，密码为abc@isp。本任务使用dialer拨号接口和虚拟接口模板（VT）接口进行连接，所以路由器1、2之间使用以太网接口连接即可。dialer拨号接口的IP地址为从服务端VT接口自动获取。任务实施

操作步骤1.配置IP地址和PC网关（暂不配置两个虚拟接口的参数）2.进入R1、R2系统视图修改名称并配置对应IP地址3.在服务端R2中建立IP地址池isp4.在服务端R2中创建VT接口并配置相关参数5.在服务端R2中配置PPPoE用户数据库6.在服务端R2中绑定物理接口和VT接口以实现PPPoE