、访问控制列表.pptVIP

6 访问控制列表 实习目的 掌握标准访问控制列表的配置；了解扩展访问控制列表。 工程背景 某公司有经理部、销售部和财务部，部门之间通过路由器 通信。现要求经理部能访问财务部，而销售部不能访问财 务部，请你实现客户这个需求。 实现功能 实现网段间相互访问的安全控制与规则设定。 什么是访问列表 IP Access-list：IP访问列表或访问控制列表，简称IP ACL ACL就是对经过网络设备的数据包根据一定的规则进行数据包的过滤 访问控制列表的作用 内网布署安全策略，保证内网安全权限的资源访问 内网访问外网时，进行安全的数据过滤 防止常见病毒、木马、攻击对用户的破坏 访问列表的形成 规则的定义 哪些数据允许通过，哪些数据不允许通过 规则的应用 将规则应用在路由器（或交换机）的接口上 访问控制列表规则的分类： 标准访问控制列表 扩展访问控制列表 访问列表规则的应用 路由器应用访问列表对流经接口的数据包进行控制 入栈应用（in） 经某接口进入设备内部的数据包进行安全规则过滤 出栈应用（out） 设备从某接口向外发送数据时进行安全规则过滤 一个接口在一个方向只能应用一组访问控制列表 访问列表的入栈应用 IP ACL的基本准则 一切未被允许的就是禁止的 定义访问控制列表规则时，最终的缺省规则是拒绝所有数据包通过 按规则链来进行匹配 使用源地址、目的地址、源端口、目的端口、协议、时间段进行匹配(扩展访问列表) 规则匹配原则 从头到尾，至顶向下的匹配方式 匹配成功马上停止 立刻使用该规则的“允许/拒绝……” 一个访问列表多条过滤规则 标准访问列表 根据数据包源IP地址进行规则定义 扩展访问列表 根据数据包中源IP、目的IP、源端口、目的端口、协议进行规则定义 反掩码（通配符） IP标准访问列表的配置 1.定义标准ACL 编号的标准访问列表Router(config)#access-list 1-99 {permit|deny} 源地址 [反掩码] 命名的标准访问列表 switch(config)# ip access-list standard name switch(config-std-nacl)#{permit|deny} 源地址 [反掩码] 2.应用ACL到接口 Router(config-if)#ip access-group 1-99 { in | out } Router(config-if)#ip access-group name { in | out } IP扩展访问列表的配置 1.定义扩展的ACL 编号的扩展ACL Router(config)#access-list 100-199 { permit /deny } 协议 源地址 反掩码 [源端口] 目的地址 反掩码 [ 目的端口 ] 命名的扩展ACL ip access-list extended {name} { permit /deny } 协议 源地址 反掩码[源端口] 目的地址 反掩码 [ 目的端口 ] 2.应用ACL到接口 Router(config-if)#ip access-group 100-199 { in | out } Router(config-if)#ip access-group name { in | out } IP扩展访问列表配置实例 该ACL有一条ACE，用于允许指定网络(192.168.x.x)的所有主机以HTTP访问服务器，但拒绝其它所有主机使用网络 Router (config)# access-list 103 permit tcp 55 host eq www Router # show access-lists 103 访问列表的验证 显示全部的访问列表 Router#show access-lists 显示指定的访问列表 Router#show access-lists 1-199 显示接口的访问列表应用 Router#show ip interface 接口名称 接口编号 IP访问列表配置注意事项 一个端口在一个方向上只能应用一组ACL 锐捷全系列交换机可针对物理接口和SVI接口应用ACL 针对物理接口，只能配置入栈应用(In) 针对SVI（虚拟VLAN）接口，可以配置入栈（In）和出栈（Out）应用 访问列表的缺省规则是：拒绝所有 网络拓朴 实习步骤 按网络拓朴要求连接好设备； 配置各路由器端口IP地址、时钟频率并激活； 配置静态路由或启用动态路由协议； 测试1 (PC1、PC2和PC3能相互PING通); 配置访问控制列表； access-list 1 deny 55 access-lis