案例十五利用IP标准访问列表进行网络流量控制.docVIP

案例十五 利用IP标准访问列表进行网络流量控制 【背景描述】 你是一个公司的网络管理员，公司的经理部、财务部门和销售部门分属不同的3个网段，三部门之间用路由器进行信息传递，为了安全起见，公司领导要求销售部门不能对财务部门进行访问，但经理部可以对财务部进行访问。 PC1代表经理部的主机，PC2代表销售部门的主机，PC3代表财务部门的主机。 【实现功能】 实现网段间互相访问的安全权限。 【技术原理】 IP ACL（IP访问控制列表或IP访问列表）是实现对流经路由器或交换机的数据包根据一定的规则进行过滤，从而提高网络可管理性和安全性。IP ACL分为两种：标准IP 访问列表和扩展IP访问列表。 标准IP访问列表可以根据数据包的源IP地址定义规则，进行数据包的过滤。扩展IP访问列表可以根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，进行数据包的过滤。 IP ACL基于接口进行规则的应用，分为：入栈应用和出栈应用。入栈应用是指由外部经该接口进行路由器的数据包进行过滤。出栈应用是指路由器从该接口向外转发数据时进行数据包的过滤。 IP ACL的配置有两种方式：按照编号的访问列表，按照命名的访问列表。标准IP访问列表编号范围是1~99、1300~1999，扩展IP访问列表编号范围是100~199、2000~2699。 【使用设备】 设备类型 设备名称 设备数量 交换机 路由器 router 2 三层交换机 双绞线 4 计算机 3 【案例拓扑】 【实现过程】 步骤1 基本配置 router1的配置 Red-Giant#configure terminal Red-Giant(config)#hostname Router1 Router1(config)#interface fastEthernet 0 Router1(config-if)#ip address 172.16.1.1 255.255.255.0 Router1(config-if)#no shutdown Router1(config)#interface fastEthernet 1 Router1(config-if)#ip address 172.16.2.1 255.255.255.0 Router1(config-if)#no shutdown Router1(config)#interface serial 1 Router1(config-if)#ip add Router1(config-if)#ip address 172.16.3.1 255.255.255.0 Router1(config-if)#clock rate 64000 Router1(config-if)#no shutdown Router1(config-if)#end 测试命令 Router1#show ip int brief Interface IP-Address OK? Method Status Protocol FastEthernet0 172.16.1.1 YES manual up up FastEthernet1 172.16.2.1 YES manual up up FastEthernet2 unassigned YES unset administratively down down FastEthernet3 unassigned YES unset administratively down down Serial0 unassigned YES unset administratively down down Serial1 172.16.3.1 YES manual up up router2的配置 Red-Giantenable Red-Giant# Red-Giant#configure terminal Red-Giant(config)#hostname Router2 Router2(config)#in Router2(config)#interface fa Router2(config)#interface fastEthernet 0 Router2(config-if)#ip add 172.16.4