利用IP扩展访问列表实现应用服务的访问限制.pdfVIP

利用 IP 扩展访问列表实现应用服务的访问限制 【实验名称】 命名的扩展 IP 访问列表。 【实验目的】 掌握在交换机上命名的扩展 IP 访问列表规则及配置。 【背景描述】 你是学校的网络管理员， 在 3550-24 交换机上连着学校的提供 WWW和 FTP的服务器， 另外还 连接着学生宿舍楼和教工宿舍楼，学校规定学生只能对服务器进行 FTP 访问，不能进行 WWW 访问，教工则没有此限制。 【技术原理】 IP ACL （IP 访问控制列表或 IP 访问列表）是实现对流经路由器或交换机的数据包根据一定 的规则进行过滤。从而提高网络可管理性和安全性。 IP ACL 分为两种：标准 IP 访问列表和扩展 IP 访问列表。标准 IP 访问列表可以根据数据包 的源 IP 地址定义规则，进行数据包的过滤。扩展 IP 访问列表可以根据数据包的源 IP 、目 的 IP 、源端口、目的端口、协议来定义规则，进行数据包的过滤。 IP ACL 基于接口进行规则的应用，分为入栈应用和出栈应用。入栈应用是指由外部经该接 口进行路由器的数据包进行过滤。 出栈应用是指路由器从该接口向外转发数据时进行数据包 的过滤。 IP ACL 的配置有两种方式：按照编号的访问列表，按照命名的访问列表。标准 IP 访问列表编号范围是 1~99、1300~1999，扩展 IP 访问列表编号范围是 100~199、2000~2699 。 【实现功能】 实现网段间互相访问的安全控制。 【实验设备】 S3550 交换机（ 1 台）、 PC （3 台) 、直连线（ 3 条） 【实验拓扑】 图 29 【实验步骤】 步骤 1. 基本配置。 3550-24(config)#vlan 10 3550-24(config-vlan)#name server 3550-24(config)#vlan 20 3550-24(config-vlan)#name teachers 3550-24(config)#vlan 30 3550-24(config-vlan)#name students 3550-24(config)#interface f0/5 3550-24(config-if)#switchport mode access 3550-24(config-if)#switchport access vlan 10 3550-24(config)#interface f0/10 3550-24(config-if)#switchport mode access 3550-24(config-if)#switchport access vlan 20 3550-24(config)#interface f0/15 3550-24(config-if)#switchport mode access 3550-24(config-if)#switchport access vlan 30 3550-24(config)#int vlan10 3550-24(config-if)#ip add 3550-24(config-if)#no shutdown 3550-24(config-if)#int vlan 20 3550-24(config-if)#ip add 3550-24(config-if)#no shutdown 3550-24(config-if)#int vlan 30 3550-24(config-if)#ip add 3550-24(config-if)#no shutdown 步骤 2. 配置命名扩展 IP 访问控制列表。 3550-24(config)#ip access-list extended denystudentwww ! 定义命名扩展访问列表 3550-24(config-ext-nacl)# deny tcp 55 55 eq www !