三层交换机访问控制列表ACL的配置.ppt

1、a,1,三层交换机 访问列表ACL的配置,a,2,ACL 是交换机实现的一种数据包过滤机制，通过允许或拒绝特定的数据包进出网络，可以对网络访问进行控制，有效保证网络的安全运行。 ACL 是一个有序的语句集，每一条语句对应一条特定的规则(rule)。每条rule包括了过滤信息及匹配此rule时应采取的动作。Rule包含的信息可以包括源MAC、目的MAC、源IP、目的IP、IP协议号、tcp端口等条件的有效组合。 根据不同的标准，ACL可以有如下分类： 根据过滤信息：ip access-list （三层以上信息），mac access-list （二层信息），mac-ip access-list

2、（二层以上信息）。 根据配置的复杂程度：标准(standard)和扩展(extended)，扩展方式可以指定更加细致过滤信息。 根据命名方式：数字(numbered)和命名(named),a,3,IP ACL （1）配置数字标准IP 访问列表 （2）配置数字扩展IP 访问列表 （3）配置命名标准IP 访问列表 （4） 配置命名扩展IP 访问列表 MAC ACL （1）配置数字标准MAC 访问列表 （2）配置数字扩展MAC 访问列表 （3）配置命名扩展MAC 访问列表 MAC-IP （1）配置数字扩展MAC-IP 访问列表 （2）配置命名扩展MAC-IP 访问列表,a,4,IP 访问列表类型 命

3、名标准IP 访问列表 命名扩展IP 访问列表 数字标准IP 访问列表 数字扩展IP 访问列表 基于时间的访问列表,a,5,配置命名标准IP访问列表的步骤,创建一个命名标准IP 访问列表 指定多条permit 或deny 规则 开启交换机的包过滤功能，并设置其默认动作 将访问列表应用到指定端口,a,6,创建一个命名标准IP 访问列表,命令： ip access-list standard 说明： name为访问列表的名字，字符串长度为116个字符，第一个字符不能为数字。,举例：创建一个名为test的标准IP访问列表,ip access-list standard test,a,7,指定多条per

4、mit 或deny 规则,命令： deny | permit | any-source | host-source 说明： sIpAddr为源IP地址，sMask为源IP的反掩码。,举例：允许源地址为/24的数据包通过，拒绝源地址为的数据包通过。,Permit 55 Deny host-source ,a,8,开启交换机的包过滤功能,相关命令： Firewall enable 作用：开启交换机的包过滤功能（即防火墙功能） Firewall disable 作用：关闭交换机的包过滤功能

5、,说明 在允许和禁止防火墙时，都可以设置访问规则。但只有在防火墙起作用时才可以将规则应用至特定端口的特定方向上； 使防火墙不起作用后将删除端口上绑定的所有ACL。,a,9,设置包过滤的默认动作,相关命令： Firewall default permit 作用：设置其默认动作为允许 Firewall default deny 作用：设置其默认动作为拒绝 说明 此命令只影响端口入口方向的IP 包，其余情况下数据包均可通过交换机。,a,10,将访问列表应用到指定端口,命令： Interface Ip access-group in|out 作用：在端口的某个方向上应用一条access-list 说明

6、 一个端口可以绑定一条入口规则和一条出口规则； ACL 绑定到出口时只能包含deny 规则； 如果是堆叠交换机，则只能在入口绑定ACL，不能在出口绑定ACL。,a,11,总结： 对ACL 中的表项的检查是自上而下的，只要匹配一条表项，对此ACL 的检查就马上结束。 端口特定方向上没有绑定ACL 或没有任何ACL 表项匹配时，才会使用默认规则。 每个端口入口和出口可以各绑定一条IP ACL 。 当一条ACL 被绑定到端口出口方向时，只能包含deny 表项。 可以配置ACL 拒绝某些ICMP 报文通过以防止“冲击波”等病毒攻击。 对于堆叠交换机，则只能在入口绑定ACL，不能在出口绑定ACL。,a,

7、12,标准访问列表应用举例,要求：PC1()不能访问服务器server1()和server2()， PC2()可以访问。 PC1接在端口1上， PC2接在端口2上；server1接在端口23上， server2接在端口24上。,a,13,switch#conf Switch(config)# ip access-list standard pc1toserver1 # deny host-source #exit #int e0/0/23 #ip access-group

8、pc1toserver1 out Switch(config)# ip access-list standard pc1toserver2 # deny host-source #exit #int e0/0/24 #ip access-group pc1toserver2 out,a,14,配置命名扩展IP访问列表的步骤,创建一个命名扩展IP 访问列表 指定多条permit 或deny 规则 开启交换机的包过滤功能，并设置其默认动作 将访问列表应用到指定端口,a,15,创建一个命名扩展IP 访问列表,命令： ip access-list extended 说明： n

9、ame为访问列表的名字，字符串长度为116个字符，第一个字符不能为数字。,举例：创建一个名为test的扩展IP访问列表,ip access-list extended test,a,16,指定多条permit 或deny 规则,命令（过滤ICMP数据包） ： deny | permit icmp | any-source | host-source | any-destination | host-destination precedence tos time range ,说明 ，icmp 的类型，0255； ，icmp 的协议编号，0255； ，IP 优先级，07； ，tos 值，0-15

10、 time-range-name ，时间范围名称。,a,17,指定多条permit 或deny 规则,命令（过滤IGMP数据包） ： deny | permit igmp | any-source | host-source | any-destination | host-destination precedence tos time-range ,说明 ，igmp 的类型，0-255,a,18,指定多条permit 或deny 规则,命令（过滤TCP数据包） ： deny | permit tcp | any-source | host-source sPort | any-destina

11、tion |host-destination dPort ack+fin+psh+rst+urg+syn precedence tos time -range ,说明 ，源端口号，0-65535； ，目的端口号，0-65535。,a,19,指定多条permit 或deny 规则,命令（过滤UDP数据包） ： deny | permit udp | any-source | host-source sPort | any-destination |host-destination dPort precedence tos time -range ,a,20,指定多条permit 或deny 规则

12、,命令（过滤IP等数据包） ： deny | permit eigrp | gre | igrp | ipinip | ip | | any-source | host-source | any-destination | host-destination precedence tos time range ,a,21,举例：创建名为udpFlow的扩展访问列表。拒绝igmp 报文通过，允许目的地址为 、目的端口为32 的udp 包通过。 #ip access-list extended udpFlow #deny igmp any-source any-destinat

13、ion #permit udp any-source host-destination dPort 32,a,22,命名扩展IP访问列表应用举例,要求： 允许PC1访问server的Telnet服务，但不能ping通它； 拒绝PC2访问server的Telnet服务，但能ping通它。,a,23,在5526交换机上进行配置 Ip access-list extended pc1toserver Permit tcp 55 host-destination 54 dport 23 Deny icmp hos

14、t-source host-destination 54 Ip access-list extended pc2toserver deny icmp host-source host-destination 54 Permit tcp host-source host-destination 54 Firewall enable Firewall default permit Interface e0/0/1 Ip access-group

15、 pc1toserver in Interface e0/0/2 Ip access-group pc2toserver in,a,24,配置数字标准IP访问列表的步骤,创建一个数字标准IP 访问列表，并指定permit 或deny 规则 开启交换机的包过滤功能，并设置其默认动作 将访问列表应用到指定端口,a,25,创建一个数字标准IP 访问列表,命令： access-list deny | permit | any-source | host-source 说明： num为访问列表的数字编号，取值199。 sIpAddr为源IP地址，sMask为源IP的反掩码。 如果已有此访问列表，则增加一

16、条规则。,举例：创建一个编号为1的标准IP访问列表，允许网段的数据通过。,access-list 1 permit 55,a,26,数字标准访问列表应用举例,要求：PC1()不能访问服务器server1()和server2()， PC2()可以访问。 PC1接在端口1上， PC2接在端口2上；server1接在端口23上， server2接在端口24上。,a,27,switch#conf Switch(config)# access-lis

17、t 1 deny host-source #exit #int e0/0/23 #ip access-group 1 out Switch(config)#access-list 2 deny host-source #exit #int e0/0/24 #ip access-group 2 out,a,28,配置数字扩展IP访问列表的步骤,创建一个数字扩展IP 访问列表，并指定permit 或deny 规则 开启交换机的包过滤功能，并设置其默认动作 将访问列表应用到指定端口,a,29,创建一个数字标准IP 访问列表,命令： access-l

18、ist deny | permit 说明： num为访问列表的数字编号，取值100199。 sIpAddr为源IP地址，sMask为源IP的反掩码。 如果已有此访问列表，则增加一条规则。,举例：创建一个编号为101的扩展IP访问列表，允许网段的主机访问ftp服务器。,access-list 101 permit tcp 55 host-destination dport 21,a,30,数字扩展IP访问列表应用举例,要求： 允许PC1访问server的Telnet服务，但不能ping通它； 拒

19、绝PC2访问server的Telnet服务，但能ping通它。,a,31,在5526交换机上进行配置 access-list 101 permit tcp 55 host-destination 54 dport 23 access-list 101 deny icmp host-source host-destination 54 access-list 102 deny icmp host-source host-destination 192.

20、168.10.254 access-list 102 permit tcp host-source host-destination 54 Firewall enable Firewall default permit Interface e0/0/1 Ip access-group 101 in Interface e0/0/2 Ip access-group 102 in,a,32,基于时间的访问控制列表,概述 可以根据一天中的不同时间，或者根据一个星期中的不同日期，或者二者相结合，来控制对网络数据包的转发。 实现基于时间的访问列表的操作

21、步骤 定义一个时间范围 在访问列表中引用时间范围,a,33,基于时间的访问控制列表的配置,第一步：时间范围命名 time-range 第二步：定义具体的时间范围 定义绝对时间范围 absolute Absolute-periodic 定义周期、重复使用的时间范围 periodic 第三步 在访问列表中引用时间范围,a,34,说明 absolute-periodic Monday|Tuesday|Wednesday |Thursday|Friday| Saturday|Sunday to Monday.|Tuesday.|Wednesday.| Thursday.| Friday.|Saturd

22、ay.|Sunday. Periodic Monday+Tuesday+Wednesday+Thursday+Friday +Saturday +Sunday| daily| weekdays | weekend to absolute Monday|Tuesday|Wednesday |Thursday|Friday| Saturday|Sunday to Monday.|Tuesday.| Wednesday.| Thursday.| Friday.|Saturday.|Sunday. 或absolute start end ,a,35,说明 periodic命令中参数,确保交换机时钟设置

23、准确,开始时间必须小于结束时间,a,36,举例： 使Tuesday的9:15:30到Saturday 的12:30:00 时间段内配置生效 Switch(Config)#time-range dc_timer Switch(Config-Time-Range)#absolute-periodic Tuesday 9:15:30 to Saturday. 12:30:00 使Monday、Wednesday、Friday 和Sunday 四天内的14:30:00 到16:45:00 时间段配置生效 Switch (Config-Time-Range) #periodic Monday Wedne

24、sday Friday Sunday 14:30:00 to 16:45:00,a,37,基于时间访问列表应用举例,要求： 限制网段的主机只能在2007年6月1日至2008年12月31日内的星期六的早上7:00到星期日的下午5:00进行WWW访问。,a,38,Route-config#time-range allow-www Route-config-time-range#absolute start 7:00:00 2007.6.1 end 17:00:00 2008 .12.31 Route-config-time-range#periodic weekend 7:0

25、0:00 to 17:00:00 Route-config#ip access-list extended timeacl Route-config-ext-nacl#permit tcp 55 any-destination dport 80 time-range allow-www Route-config#firewall enable Route-config#firewall default permit Route-config# int E0/0/1 Route-config-f0/1#ip access-group timeacl in,a

26、,39,第五次实验 ACL配置（一）,实验目的 理解ACL的作用 掌握交换机的命名标准ACL和命名扩展ACL的配置方法 掌握交换机的数字标准ACL和数字扩展ACL的配置方法 实验内容 见交换机实验中的实验三十一、三十二。,a,40,实验三十一标准ACL配置,PC1和PC2通过交换机A连到Server（假设为telnet服务器）。 要求： 不配置ACL时，PC1和PC2都可访问server； 配置ACL后，PC1和PC2都不能访问server。只有更改了IP地址后才可访问；,a,41,Ip access-list standard test Deny 1

27、55 Deny 2 为什么会有下列结果？,a,42,实验三十二扩展ACL配置,PC1和PC2通过交换机A连到Server（假设为telnet服务器）。 要求： 不配置ACL时，PC1和PC2都可访问server； 配置ACL后，PC2不能访问server。只有更改了IP地址后才可访问；,a,43,Ip access-list extended test Deny tcp host-source 2 host-destination dport 23 为什么会有下列结果？,a,44,第六次实验ACL配置（二）,

28、实验目的 进一步熟悉和掌握交换机的ACL配置。 实验内容 见交换实验指导实验三十三、三十四,a,45,实验三十三单向访问控制的实现,PC1和PC2通过交换机A相连。 要求： 不配置ACL时，PC1和PC2可以互访； 配置ACL后， PC1可以访问PC2，但PC2不能访问PC1 （如ping）。,a,46,Ip access-list extended test Deny icmp host-source 2 host-destination 1 8 Int e0/0/1 Ip access-group test in,a,47,实验三十四配置

29、访问列表过滤病毒,目的 了解病毒的工作原理，掌握常见病毒的特征； 掌握过滤病毒的方法 要求 通过配置，使交换机能隔离病毒。,a,48,病毒运行时会不停地利用IP扫描技术寻找网络上系统的漏洞进行攻击，一旦攻击成功，病毒体将会被传送到对方计算机中进行感染，使系统操作异常、文件丢失或被破坏、不停重启、甚至导致系统崩溃等。 病毒常会利用135、139、 69 、4444、445等端口。,a,49,第一步：创建acl ip access-list extended antivirus 第二步：制定过滤规则 /禁ping deny icmp any-source any-destination /用于控制

30、Blaster蠕虫的传播 deny udp any-source any-destination d-port 69 deny tcp any-source any-destination d-port 4444 /用于控制冲击波病毒的扫描和攻击 deny tcp any-source any-destination d-port 135 deny udp any-source any-destination d-port 135 deny udp any-source any-destination d-port 137 deny udp any-source any-destination

31、 d-port eq 138 deny tcp any-source any-destination d-port 139 deny udp any-source any-destination d-port 139,a,50,deny tcp any-source any-destination d-port 445 deny udp any-source any-destination d-port 445 deny udp any-source any-destination d-port 593 deny tcp any-source any-destination d-port 59

32、3 deny tcp any-source any-destination d-port 5554 deny tcp any-source any-destination d-port 9995 deny tcp any-source any-destination d-port 9996 启用防火墙功能，并配置默认规则 Firewall enable Firewall default permit 将ACL应用于端口 Ip access-group antivirus in,a,51,MAC 访问列表类型 数字标准MAC 访问列表 数字扩展MAC 访问列表 命名扩展MAC 访问列表,a,52

33、,配置数字标准MAC访问列表的步骤,创建数字标准MAC 访问列表 开启交换机的包过滤功能，并设置其默认动作 将访问列表应用到指定端口,a,53,创建数字标准MAC 访问列表,命令： access-list deny|permit any-source-mac | host-source-mac | 功能：定义一条标准数字MAC ACL 规则 参数： 访问表号，取值700 到799 ； ， 源MAC 地址； 源MAC 地址的掩码（反掩码） 说明：当用户第一次指定特定时，创建此编号的ACL，之后在此ACL 中添加表项。,举例：允许源MAC 地址为00-00-XX-XX-00-01 的数据包通过，拒

34、绝源地址为00-00-00-XX-00-ab 的数据包通过。 Switch(Config)# access-list 700 permit 00-00-00-00-00-01 00-00-FF-FF-00-01 Switch(Config)# access-list 700 deny 00-00-00-00-00-ab 00-00-00-FF-00-ab,a,54,配置数字扩展MAC访问列表的步骤,创建数字扩展MAC 访问列表 开启交换机的包过滤功能，并设置其默认动作 将访问列表应用到指定端口,a,55,创建数字扩展MAC 访问列表,命令： access-list deny|permit an

35、y-source -mac | host-source-mac | any-destination-mac| host-destination-mac | untagged-eth2|tagged-eth2| untagged-802.3 |tagged-802.3 参数： 访问表号，取值11001199； untagged-eth2 未标记的ethernet II 包格式；tagged-eth2 标记的ethernet II 包格式；untagged-802.3 未标记的ethernet 802.3 包格式；tagged-802.3 标记的ethernet 802.3 包格式； Offset

36、(x) 从包头开始起的偏移量，范围为（12-79）；Length(x) 长度为1-4 ；Value(x) 16 进制数表示，取值范围：当Length(x) =1 为0-ff , 当Length(x) =2为0-ffff , 当Length(x) =3 为0-ffffff , 当Length(x) =4 为0-ffffffff ； 对于Offset(x)，对不同的数据帧类型，它的取值范围不同：对untagged-eth2 类型帧： ，对untagged-802.3 类型帧： ，对tagged-eth2 类型帧： ，对tagged-802.3 类型帧：,a,56,举例：允许任意源MAC 地址任意目

37、的MAC 地址的tagged-eth2，且其第15 16 个字节分别为0 x08 ，0 x0 的包通过 Switch(Config)#access-list 1100 permit any-source-mac any-destination-mac tagged-eth2 14 2 0800,a,57,配置命名扩展MAC访问列表的步骤,创建一个命名扩展MAC 访问列表 指定多条permit 或deny 规则 开启交换机的包过滤功能，并设置其默认动作 将访问列表应用到指定端口,a,58,创建一个命名扩展IP 访问列表,命令： Mac-access-list extended 说明： name为

38、访问列表的名字，字符串长度为116个字符，第一个字符不能为数字。,举例：创建一个名为test的扩展mac访问列表,Mac-access-list extended test,a,59,指定多条permit 或deny 规则,命令： deny|permit any-source -mac|host-source-mac | any-destination-mac|host-destination-mac | untagged-eth2 ethertype protocol-mask deny|permit any-source -mac|host-source-mac | any-destina

39、tion-mac|host-destination-mac | tagged-eth2 cos vlanId ,a,60,指定多条permit 或deny 规则,命令： deny|permit any-source -mac|host-source-mac | any-destination-mac|host-destination-mac | untagged-802.3 deny|permit any-source -mac|host-source-mac | any-destination-mac|host-destination-mac | tagged-802.3 cos vlanI

40、d ,a,61,指定多条permit 或deny 规则,命令： deny|permit any-source -mac|host-source-mac | any-destination-mac|host-destination-mac | cos vlanId ethertype ,a,62,说明 ： cos-val: cos 值，0-7；cos-bitmask : cos 掩码， 0-7 反掩码且掩码比特连续； vid-value: vlan 号，1-4094；vid-bitmask:vlan 掩码， 0-4095 ，反掩码且掩码比特连续； protocol : 特定的以太网协议号，153

41、665535；protocol-bitmask: 协议掩码，065535， 反掩码且掩码比特连续 注意：掩码比特连续是指，掩码有效位必须从左第一位开始连续有效，不允许中间插入无效位，例如：一个字节的反掩码形式为：00001111b ；正掩码形式为：1110000；不允许00010011。,a,63,例1管理员不希望交换机10号端口的网段中00-12-11-23-xx-xx的802.3数据报文的发出。,配置如下： switch(Config)#access-list 1110 deny 00-12-11-23-11-24 00-00-00-00-ff-ff any-destination-mac

42、 tagged-802.3 switch(Config)#access-list 1110 deny 00-12-11-23-11-24 00-00-00-00-ff-ff any-destination-mac untagged-802.3 switch(Config)#firewall enable switch(Config)#firewall default permit switch(Config)#interface ethernet 0/0/10 switch(Config-Ethernet0/0/10)#mac access-group 1110 in,a,64,MAC-IP

43、访问列表类型 数字扩展MAC-IP 访问列表 命名扩展MAC-IP 访问列表,a,65,配置数字扩展MAC-IP访问列表的步骤,创建数字扩展MAC-IP 访问列表 开启交换机的包过滤功能，并设置其默认动作 将访问列表应用到指定端口,a,66,创建数字扩展MAC-IP 访问列表,命令： access-list deny|permit any-source -mac| host-source-mac | any-destination-mac|host-destination-mac | icmp |any-source |host-source |any-destination| host-de

44、stination precedence tos time -range access-list deny|permit any-source -mac| host-source-mac | any-destination-mac|host-destination-mac | igmp |any-source|host-source |any-destination| host-destination precedence tos time -range ,a,67,access-list deny|permit any-source -mac|host-source-mac | any-de

45、stination-mac| host-destination-mac | tcp |any-source| host-source s-port |any-destination|host-destination d-port ack+fin+psh+rst+urg+syn precedence tos time -range access-list deny|permitany-source -mac| host-source-mac |any-destination-mac| host-destination-mac| udp |any-source| host-source s-por

46、t |any-destination| host-destination d-port precedence tos time-range ,a,68,access-list deny|permit any-source -mac| host-source-mac | any-destination-mac|host-destination-mac | eigrp|gre|igrp|ip|ipinip|ospf| |any-source|host-source |any-destination| host-destination precedence tostime -range,a,69,参

47、数： access-list-number 访问表号，取值31003199 ； protocol 名字或IP 协议的号。它可以是关键字 eigrp, gre, icmp, igmp, igrp, ip, ipinip, ospf, tcp, or udp, 也可以是表示IP 协议号的0 到255 的一个整数。为了匹配任何Internet 协议（包括ICMP，TCP 和UDP）使用关键字ip。,a,70,例：允许源MAC 为00-12-34-45-XX-XX，任意目的MAC 地址，源IP 地址为： ，55 ， 任意目的IP 地址，且源端口是100，目的端口

48、是40000 的TCP 报文通过。,Switch(Config)# access-list 3199 permit 00-12-34-45-67-00 00-00-00-00-FF-FF any-destination-mac tcp 55 s-port 100 any-destination d-port 40000,a,71,举例：拒绝任意源MAC 地址及目的MAC 地址，任意源IP 地址及目的IP 地址，且源端口是100，目的端口是40000 的UDP 报文通过。 Switch(Config)# access-list 3100 deny any

49、-source-mac any-destination-mac udp any-source s-port 100 any-destination d-port 40000,a,72,例2.交换机10号端口连接的网段MAC地址是00-11-11-11-xx-xx 并且IP地址是4/24的网段，管理员不希望使用FTP，也不允许外网PING 此网段的任何一台主机。,配置如下： switch(Config)#access-list 3110 deny 00-11-11-11-00-00 00-00-00-00-ff-ff any-destination-mac tcp 192.

50、168.6.14 55 any-destination d-port 21 switch(Config)#access-list 3120 deny any-source-mac 00-11-11-11-00-00 00-00-00-00-ff-ff icmp any-source 4 55 switch(Config)#firewall enable switch(Config)#firewall default permit switch(Config)#interface ethernet 0/0/10 switch(Config-Eth

51、ernet0/0/10)#mac-ip access-group 3110 in switch(Config-Ethernet0/0/10)#mac-ip access-group 3120 out,a,73,配置命名扩展MAC-IP访问列表的步骤,创建一个命名扩展MAC-IP 访问列表 指定多条permit 或deny 规则 开启交换机的包过滤功能，并设置其默认动作 将访问列表应用到指定端口,a,74,创建一个命名扩展IP 访问列表,命令： Mac-ip-access-list extended 说明： name为访问列表的名字，字符串长度为116个字符，第一个字符不能为数字。,a,75,第

52、七次实验 ACL配置（三）,实验目的 理解交换机的MAC ACL和MAC-IP ACL的作用 掌握交换机的MAC ACL和MAC-IP ACL的配置方法 实验内容 在一台DCS5526交换机上面划分了三个VLAN： Eth0/0/1VLAN10（接Internet） Eth0/0/2VLAN20（www Server） Eth0/0/3DCS3926，3926上的端口全部划入VLAN30 现在要在非工作时间，VLAN30中的PC不能接入Internet，请给出其ACL配置。,a,76,步骤 建立时间范围 建立ACL 启用防火墙功能 应用于接口,a,77,第八次实验 ACL配置（四）,实验目的

53、掌握交换机上ACL的配置 网络拓扑图如下,a,78,实验内容 公司企业网通过Switch实现各部门之间的互连。管理部门由E0/0/4端口接入，技术支援部门由E0/0/3端口接入，研发部门由E0/0/1端口接入。工资查询服务器子网地址，MAC为00e0-fc01-0303，技术支援部门IP为/24，研发部门主机MAC为00e0-fc01-0101。 组网需求： 1要求正确配置ACL，限制研发部门在上班时间8:00至18:00访问工资查询服务器。 2通过基本访问控制列表，实现在每天8:0018:00时间段内对源IP为主机发出报文的过滤。 3通过

54、二层访问控制列表，实现在每天8:0018:00时间段内对源MAC为00e0-fc01-0101目的MAC为00e0-fc01-0303报文的过滤。,a,79,ACL配置技术,某电子商务公司为适应市场的发展组建了一个企业网，其网络拓扑结构如下图所示。 该网络逻辑结构上分成核心层和接入层，核心层使用了一台三层交换机。网管员按照各部门的职能将公司内部网络分成了8个VLAN，分别是公司网络设备及网管机VLAN1（/24）、内网服务器VLAN2（/24）、非军事区DMZ VLAN3（/24）、财务部VLAN4（/24）、市场部VLAN5（1

55、/24）、研发部VLAN6（/24）、接待室VLAN（/24）。每个网段的缺省网关地址由从高位向下分配，其他节点地址均从低位向上分配；例如，接待室VLAN中每一台客户机的网关地址为54，客户机1的IP地址为，客户机2的IP地址为。,a,80,a,81,【问题1】（2分） 通常路由器都支持两种类型的访问控制列表：基本访问控制列表和扩展访问控制列表。请用120字以内的文字说明这两种访问列表之间的区别。 【问题2】（2分） 该商务公司有多台游戏服务器用于提供各种在线游戏，保护这些服务器内部数据的安全性是公司网管员第一工作要责。该公司还有一台专门为用户提供在线购买游戏币服务的Web服务器（以下简称为游戏币Web服务器），用户可使用游戏币购买各种游戏装备。从访问控制列表技术角度考虑，应将这些游戏服务器和游戏币Web服务器部署在网络拓扑的哪些位置?,a,82,【问题3】（2分） 访问控制表是实现安全管理的重要手段。如果在三层交换机的1接口上进行如下ACL配置，那么这些配置语句将完成哪些安全任务？ access-list 11 permit host-source 10.1