6.1.1-使用基本ACL限制公司网络访问v1.3.pdfVIP

使用基本ACL 限制公司网络访问 1.项目背景 Jan16 公司有开发部、市场部和财务部，各有计算机若干台、财务系统服务器1 台，使 用三层交换机进行局域网组建，并通过路由器连接至外部网络。出于数据安全的考虑，需要 在交换机上进行访问控制。项目拓扑如图1 所示。具体要求如下： （1） SW1 上为开发部、市场部、财务部及财务系统分别创建了VLAN10、20、30、40； （2） 要求财务系统服务器仅允许财务部进行访问； （3） 财务系统服务器仅在内网使用，不允许访问外部网络； （4） 测试计算机、交换机和路由器的IP 和接口信息如拓扑所示。 图1 网络拓扑图 2.项目规划设计 三层交换机的访问控制策略主要是通过ACL 访问控制列表对不同VLAN 的IP 地址段进 行流量匹配控制。标准ACL 可以对 IP 包进行源地址匹配，即检查通过 IP 包中的源地址信 息，如果源地址与ACL 中的规则相匹配，就执行放行或拦截的操作。为了让其它部门无法访 问财务系统服务器，可以在三层交换机中配置匹配财务部 IP 地址段、拒绝其他所有 IP 的 ACL，并在G0/0/2 接口的OUT 方向上应用；同时在添加拒绝财务部系统服务器IP 地址段的 ACL，在G0/0/1 接口的OUT 方向上应用，组织财务部系统服务器访问外部网络。外部网络连 接方面，三层交换机配置默认路由指向出口路由器。出口路由器可根据ISP 接入方式采用对 应的路由协议，这里不作描述。 配置步骤如下： （1） 配置交换机基础环境 （2） 配置路由器基础环境 （3） 配置基本ACL 访问控制 （4） 配置各部门计算机的IP 地址 具体规划如下表： 表1 VLAN 规划表 VLAN ID IP 地址段 用途 VLAN10 192.168.10.0/24 开发部 VLAN20 192.168.20.0/24 市场部 VLAN30 192.168.30.0/24 财务部 VLAN40 192.168.40.0/24 财务系统 VLAN50 192.168.1.0/24 连接外部网络 表2 IP 地址规划表 设备 接口 IP 地址 R1 G0/0/0 192.168.1.1/24 R1 G0/0/1 10.10.10.1/24 SW1 VLANIF10 192.168.10.254/24 SW1 VLANIF20 192.168.20.254/24 SW1 VLANIF30 192.168.30.254/24 SW1 VLANIF40 192.168.40.254/24 SW1 VLANIF50 192.168.1.254/24 财务系统服务器 Eth0/0/1 192.168.40.1/24 开发部