网络工程设计与项目实训 06 交换机端口安全与访问控制列表.ppt

【分析】本案例可以通过在路由器R2上部署自反访问控制列表，让路由器R1通往路由器R3的数据包通过，并且让路由器R3对路由器R1的响应包也可以通过，但阻止R3主动发往路由器R1的包。 * 第*页 （1）定义内网访问外网的ACL，对需要进行进行自反映射的语句命名 R2(config)# ip access-list extended AAA R2(config-ext-nacl)# permit ip 55 any reflect BBB //指定对该条语句执行自反，自反列表的名字为BBB * 第*页 （2）定义外网访问内网的ACL，在其中引用内网ACL中的自反语名命名 R2(config)# ip access-list extended CCC R2(config-ext-nacl)# evaluate BBB //计算并生成自反列表（对第一步定义的名字为BBB的条目，进行自反计算并生成相应的条目） R2(config-ext-nacl)#deny ip any any * 第*页 （3）将创建的自反列表应用于相应的接口 R2(config)# int f0/1 //R2对R3的接口 R2(config-if)# ip access-group AAA out //应用R1对R3的ACL R2(config)# int f0/0 //R2对R1的接口 R2(config-if)# ip access-group CCC out //应用R1对R3ACL的自反ACL 注意：自反ACL只能在命名的扩展ACL里定义。 * 第*页 （4）验证。 此时，在R1上ping ，可以发现是通的。 在R3上ping ，发现是不通的。 * 第*页 课程内容 交换机端口安全 ACL配置——标准与扩展ACL ACL高级配置——自反ACL ACL高级配置——基于时间的ACL * 第*页 2）访问控制列表的作用 访问控制列表的主要作用如下： （1）拒绝、允许特定的数据流通过网络设备，如防止攻击、访问控制、节省带宽等； （2）对特定的数据流、报文、路由条目等进行匹配和标识，以用于其它目的路由过滤，如QoS、Route-map等 * 第*页 3）ACL的分类 根据过滤字段（元素）可将访问控制列表分为以下两类： （1）标准访问控制列表：只能根据数据包的源IP地址进行过滤；编号范围：1-99。 （2）扩展访问控制列表：可以根据协议、源/目的IP地址、源/目的端口号进行包过滤。编号范围：100-199。 根据访问控制列表的命名方式可将访问控制列表分为以下两类： （1）编号访问控制列表：编号ACL在所有ACL中分配一个唯一的号码。 （2）名称访问控制列表：名称ACL在所有ACL分配一个唯一的名称。名称ACL有利于让使用者通过ACL的名称了解此ACL的作用。更加有利于使用与维护。 * 第*页 4）ACL的使用 ACL的使用分为二步： （1）创建访问控制列表ACL，根据实际需要设置对应的条件项； （2）将ACL应用到路由器指定接口的指定方向（in/out）上。 * 第*页 在ACL的配置与使用需要注意以下事项： （1）ACL是自顶向下顺序进行处理，一旦匹配成功，就会进行处理，且不再比对以后的语句，所以ACL中语句的顺序很重要。应当将最严格的语句放在最上面，最不严格的语句放在底部。 （2）当所有语句没有匹配成功时，会丢弃分组。这也称为ACL隐性拒绝。 （3）每个接口在每个方向上，只能应用一个ACL。 （4）标准ACL应该部署在距离分组的目的网络近的位置，扩展ACL应该部署在距离分组发送者近的位置。 * 第*页 2.2 标准访问控制列表的配置及案例 1）标准ACL的创建 命令格式： Router(config)# access-list acl编号 { permit | deny } source [source-wildcard ] [log] 说明： ACL编号：标准访问控制列表的表号范围：1--99、1300--1999。 Source：源IP地址或网络号； source-wildcard：与源IP地址或网络号对应的通配掩码； log：将使与该语句匹配的任何信息输出到路由器的控制台端口。默认情况下，这些消息不会显示在连接到路由器的telnet连接，除非执行如下命令： Router# terminal monitor 这些消息也可以转发到系统上场服务器中，这样的设置有助于调试和安全目的。 * 第*页 2）删除配置的ACL 命令格式： Router(config)# no access-list acl编号 说明： 将指定的ACL删除。 * 第*页 3）应用ACL到指定的接口 命令格