RCNA09--IP 网络流量管理 网络工程师培训PPT.ppt

议题 课程的目的 访问列表工作原理 配置 IP标准访问列表 配置 IP扩展访问列表 通过ACL防止冲击波病毒 课程回顾 访问列表工作原理 配置IP标准访问列表 配置IP扩展访问列表 QA * * * RCNA理论－ IP 网络流量管理 ISP IP Access-list：访问列表或访问控制列表，简称IP ACL 当网络访问流量较大时,需要对网络流量进行管理 为什么要使用访问列表 公网 互联网用户 对外信息 服务器 员工上网 拒绝 信息 服务器 不能在上班时间进行QQ,MSN等聊天． 为什么要使用访问列表 访问权限控制 可以是路由器或三层交换机或防火墙 为什么要使用访问列表 网络安全性 路由器应用访问列表对流经它的数据包进行限制1.入栈应用2.出栈应用 E0 S0 是否允许? 源地址目的地址 协议 访问列表的应用 以ICMP信息通知源发送方 N Y 选择出口S0 路由表中是否存在记录? N Y 查看访问列表的陈述 是否允许? Y 是否应用访问列表? N S0 S0 访问列表的出栈应用 Y 拒绝 Y 是否匹配测试条件1 ? 允许 N 拒绝 允许 是否匹配测试条件2 ? 拒绝 是否匹配最后一个测试条件? Y Y N Y Y 允许 被系统隐含拒绝 N 一个访问列表多个测试条件 IP ACL的基本准则 一切未被允许的就是禁止的。 路由器或三层交换机缺省允许所有的信息流通过; 而防火墙缺省封锁所有的信息流，然后对希望提供的服务逐项开放。 按规则链来进行匹配 使用源地址、目的地址、源端口、目的端口、协议、时间段进行匹配 从头到尾，至顶向下的匹配方式 匹配成功马上停止 立刻使用该规则的“允许、拒绝……” 源地址 TCP/UDP 数据 IP eg.HDLC 1-99 号列表 IP标准访问列表 目的地址 源地址 协议 端口号 100-199号列表 TCP/UDP 数据 IP eg.HDLC IP扩展访问列表 0表示检查相应的地址比特 1表示不检查相应的地址比特 0 0 1 1 1 1 1 1 128 64 32 16 8 4 2 1 0 0 0 0 0 0 0 0 0 0 0 0 1 1 1 1 1 1 1 1 1 1 0 0 1 1 1 1 1 1 1 1 反掩码 1.定义标准ACLRouter(config)#access-list 1-99 {permit|deny} 源地址 [反掩码] 2.应用ACL到接口Router(config-if)#ip access-group 1-99 { in | out } IP标准访问列表的配置 access-list 1 permit 172.16.0.0 0.0.255.255 (access-list 1 deny 0.0.0.0 255.255.255.255) interface ethernet 0 ip access-group 1 out interface ethernet 1 ip access-group 1 out 172.16.3.0 172.16.4.0 E0 S0 E1 172.17.0.0 IP标准访问列表配置实例 2.应用ACL到接口Router(config-if)#ip access-group 100-199 { in | out } 1.定义扩展的ACLRouter(config)#access-list 100-199 { permit /deny } 协议 源地址 反掩码 [源端口] 目的地址 反掩码 [ 目的端口 ] IP扩展访问列表的配置 access-list 101 deny tcp 172.16.4.0 0.0.0.255 172.16.3.0 0.0.0.255 eq 21 access-list 101 deny tcp 172.16.4.0 0.0.0.255 172.16.3.0 0.0.0.255 eq 20 access-list 101 permit ip any any (access-list 101 deny ip 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255