10.2利用IP扩展访问列表实现应用服务的访问控制.docVIP

10.2 利用IP扩展访问列表实现应用服务的访问控制 【实验名称】 　　命名的扩展IP访问列表。 【实验目的】 　　掌握在交换机上命名的扩展IP访问列表规则及配置。 【背景描述】 　　你是学校的网络管理员，在3550-24交换机上连着学校的提供WWW和FTP的服务器，另外还连接着学生宿舍楼和教工宿舍楼，学校规定学生只能对服务器进行FTP访问，不能进行WWW访问，教工则没有此限制。 【技术原理】 IP ACL(IP访问控制列表或IP访问列表)是实现对流经路由器或交换机的数据包根据一定的规则进行过滤。从而提高网络可管理性和安全性。 IP ACL分为两种：标准IP访问列表和扩展IP访问列表。标准IP访问列表可以根据数据包的源IP地址定义规则，进行数据包的过滤。扩展IP访问列表可以根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，进行数据包的过滤。 IP ACL基于接口进行规则的应用，分为入栈应用和出栈应用。入栈应用是指由外部经该接口进行路由器的数据包进行过滤。出栈应用是指路由器从该接口向外转发数据时进行数据包的过滤。IP ACL的配置有两种方式：按照编码的访问列表，按照命名的访问列表。标准IP访问列表编号范围是1~99、1300~1999,扩展IP访问列表编号范围是100~199、2000~2699。 【实验功能】 实现网断间互相访问的安全控制。 【实验设备】 S3550交换机(1台)、PC(3台)、直连线(3条) 【实验扩扑】 【实验步骤】 步骤1 基本配置。 3550-24(config)#vlan10 3550-24(config-vlan)#name server 3550-24(config)#vlan 20 3550-24(config-vlan)#name teachers 3550-24(config)#vlan 30 3550-24(config-vlan)#name students 3550-24(config)#interface f0/5 3550-24(config-if)#switchport mode access 3550-24(config-if)#switchport accss vlan 10 3550-24(config)#interface f0/10 3550-24(config-if)#switchport mode access 3550-24(config-if)#switchport accss vlan 20 3550-24(config)#interface f0/15 3550-24(config-if)#switchport mode access 3550-24(config-if)#switchport accss vlan 30 3550-24(config)#int vlan 10 3550-24(config-if)#ip add 3550-24(config-if)#no shutdown 3550-24(config)#int vlan 20 3550-24(config-if)#ip add 3550-24(config-if)#no shutdown 3550-24(config)#int vlan 30 3550-24(config-if)#ip add 3550-24(config-if)#no shutdown 步骤2 配置命名扩展IP访问控制列表 3550-24(config)#ip access-list extends denystudentwww !定义命名扩展访问列表 3550-24(config-ext-nacl)#deny tcp 55 55 eq www !禁止ＷＷＷ服务 3550-24(config-ext-nacl)#permit ip any any　　　!允许其他服务 验证命令： 3550-24#sh ip access-lists denystudentwww Extended IP access list:denystudentwww Deny tcp 55 55 eq www Permit ip any any 步骤3 把访问控制列表在接口下应用 3550-24(config)#int vlan 30 3550-24(config-if)#ip access-group denystudentwww in 步骤4 配置Web服务器(详见选学试验内容) 步骤5 验证测试 分别在学生网段和教师宿舍网段使用1台主机，访问Web服务器。测试发现学生网段不能访问网页，教师