网络设备安装和 与调试-任务5 访问控制列表.pptVIP

任务5 访问控制列表 任务描述 某技工学校通过对校园网整体信息化建设进行改造，将各校区的网络之间互联互通，满足了各校区师生对校园网络信息的需求，实现了对校园网络资源的共享，但是为了保证校园网的整体安全，保障校园网为访问的师生提供有效的服务，例如：包括禁止学生宿舍网访问教师办公网，允许学生访问FTP服务，教师办公网不能访问财务服务器等，因此要实施访问控制列表（ACL），以维修校园网的安全。小东是学校网络中心的网络管理员，应怎样配置来实现这一目标？ 本任务的目标是通过配置访问控制列表（ACL），掌握访问控制列表的应用，以及安全控制与规则设定，以保障校园网的安全。 【预备知识】 1．访问控制列表ACL ACL (Access Control Lists)是交换机的一种数据包过滤机制，通过允许或拒绝特定的数据包进出网络对网络的访问进行控制，从而保证网络的有效和安全运作。 用户可以制定一组规则（rule），每条规则描述了对匹配一定信息的数据包所采取的动作：允许通过（permit）或拒绝通过（deny）。用户可以把这些规则应用到交换机端口的入口或出口方向，这样特定端口上特定方向的数据流就会依照指定的ACL规则进出交换机。规则包含的信息可以包括源MAC、目的MAC、源IP、目的IP、IP协议号、TCP端口等组合。 2．访问控制列表的分类 根据不同的标准，访问控制列表可以分为如下几类。 ① 根据过滤信息：ip access-list（三层以上信息），mac access-list（二层信息），mac-ip access-list（二层以上信息）。 ② 根据配置的复杂程度：标准（standard）和扩展（extended），扩展方式可以指定更加细致的过滤信息。 2．访问控制列表的分类 标准ACL：标准ACL只能过滤IP数据包头中的源IP地址，如图3-12所示。 扩展ACL：扩展ACL允许用户根据如下内容过滤数据包：源和目的地址、协议、源和目的端口，以及在特定报文字段中允许进行特殊比较的各种选项，如图3-13所示。 ③ 根据命名方式：数字（numbered）和命名（named）。 图3-12 标准ACL 图3-13 扩展ACL 3．访问控制列表的作用 ① 方式安全控制：允许一些符合匹配规则的数据包通过，同时拒绝另一些不符合匹配规则的数据包通过。 ② 流量过滤：防止一些不必要的数据包通过路由器，从而提高网络带宽的利用率。 ③ 数据流量标识：当存在2条或2条以上的网络链路时，访问控制列表与路由策略等来实现分工，从而让不同的数据包选择不同的链路。 6．ACL配置命令 ACL命令包括条件和操作2个组件，条件是用于匹配数据包内容的，当条件匹配时，会采取一个操作，允许或拒绝。 6．ACL配置命令 （1）通过编号方式创建标准ACL 表3-7所示为通过编号方式创建标准ACL。 表3-7 命令格式 解释 配置模式 access-list listnumber { permit | deny } address [ wildcard–mask ] 创建编号标准ACL，其中： listnumber为访问列表序号，IP标准 访问列表的序号是1～99； permit为允许满足条件的数据包通过； deny为禁止满足条件的数据包通过； address为要被过滤数据包的源IP地址； wildcard–mask为通配屏蔽码，1表 示不检查位，0表示必须匹配位。 注意：用no access-list listnumber命 令删除指定的访问控制列表 全局配 置模式 6．ACL配置命令 命令格式 解释 配置模式 ip access-group listnumber {in|out} 应用编号标准ACL，其中： listnumber为IP访问列表的编号（1～99）； in为对进入该端口的报文进行过滤； out为对从该端口输出的报文进行过滤。 注意：用no ip access-group listnumber命令取消访问控制列表与端口的关联 接口配置模式 show access-lists listnumber 查看访问控制列表，其中： listnumber为IP访问列表的编号（1～99） 特权配置模式 6．ACL配置命令 （2）通过命名方式创建标准ACL 表3-8所示为通过命令方式创建标准ACL。 表3-8 通过命名方式创建标准ACL 命令格式 解释 配置模式 ip access-list standard name 创建命名标准ACL，其中： name为用数字或名字来定义一条IP ACL名字。 注意：用no ip access-list standard name命令删除该访问控制列表 全局配置模式 [