CISCO交换机的ACL配置练习.docVIP

CISCO交换机的ACL配置练习在通常的网络管理中，我们都希望允许一些连接的访问，而禁止另一些连接的访问，但许多安全工具缺乏网络管理所需的基本通信流量过滤的灵活性和特定的控制手段。三层交换机功能强大，有多种管理网络的手段，它有内置的ACL(访问控制列表)，因此我们可利用ACL(访问控制列表)控制Internet的通信流量。以下是我们利用联想的三层交换机3508GF来实现ACL功能的过程。 利用标准ACL控制网络访问 当我们要想阻止来自某一网络的所有通信流量，或者允许来自某一特定网络的所有通信流量，或者想要拒绝某一协议簇的所有通信流量时，可以使用标准访问控制列表来实现这一目标。标准访问控制列表检查数据包的源地址，从而允许或拒绝基于网络、子网或主机IP地址的所有通信流量通过交换机的出口。标准ACL的配置语句为：Switch#access-list access-list-number（1~99) {permit|deny}{anyA|source[source-wildcard-mask]}{any|destination[destination-mask]}例1：允许网络上的主机进行访问：Switch#access-list 1 permit 55例2：禁止网络上的主机访问：Switch#access-list 2 deny 55例3：允许所有IP的访问：Switch#access-list 1 permit 55例4：禁止3主机的通信：Switch#access-list 3 deny 3 上面的55和55等为32位的反掩码，0表示“检查相应的位”，1表示“不检查相应的位”。如表示这个网段，使用通配符掩码应为55。 利用扩展ACL控制网络访问 扩展访问控制列表既检查数据包的源地址，也检查数据包的目的地址，还检查数据包的特定协议类型、端口号等。扩展访问控制列表更具有灵活性和可扩充性，即可以对同一地址允许使用某些协议通信流量通过，而拒绝使用其它协议的流量通过，可灵活多变的设计ACL的测试条件。扩展ACL的完全命令格式如下：Switch#access-list access-list-number(100~199) {permit|deny} protocol{any|source[source-mask]}{any|destination[destination-mask]}[port-number]例1：拒绝交换机所连的子网 ping通另一子网：Switch#access-list 100 deny icmp 55 55例2：阻止子网 访问Internet（www服务）而允许其它子网访问：Switch#access-list 101 deny tcp 55 any www或写为：Switch#access-list 101 deny tcp 55 any 80例3：允许从通过交换机发送E-mail，而拒绝所有其它来源的通信：Switch#access-list 101 permit tcp 55 any smtp 基于端口和VLAN的ACL访问控制 标准访问控制列表和扩展访问控制列表的访问控制规则都是基于交换机的，如果仅对交换机的某一端口进行控制，则可把这个端口加入到上述规则中。配置语句为：Switch# acess-list port port-idgroupid例:对交换机的端口4，拒绝来自网段上的信息，配置如下：Switch# acess-list 1 deny 55Switch# acess-list port 4 1 // 把端口4 加入到规则1中。基于VLAN的访问控制列表是基于VLAN设置简单的访问规则，也设置流量控制，来允许（permit)或拒绝(deny)交换机转发一个VLAN的数据包。配置语句：Switch#acess-list vlan vlan-id [deny|permit]例：拒绝转发vlan2中的数据：Switch# access-list vlan2 deny 另外，我们也可通过显示命令来检查已建立的访问控制列表,即Switch# show access-list 例：Switch# show access-list //显示ACL列表；ACL Status：Enable // ACL状态 允许；Standard IP access list: //IP 访问列表；GroupId 1 deny srcIp any Active //禁止 的网络访问；GroupId 2 permit any any Active //允许其它网