网络系统建设与运维(中级) 6.1.1-使用基本ACL限制公司网络访问v1.3.docxVIP

使用基本ACL限制公司网络访问

1.项目背景

Jan16公司有开发部、市场部和财务部，各有计算机若干台、财务系统服务器1台，使用三层交换机进行局域网组建，并通过路由器连接至外部网络。出于数据安全的考虑，需要在交换机上进行访问控制。项目拓扑如图1所示。具体要求如下：

（1）SW1上为开发部、市场部、财务部及财务系统分别创建了VLAN10、20、30、40；

（2）要求财务系统服务器仅允许财务部进行访问；

（3）财务系统服务器仅在内网使用，不允许访问外部网络；

（4）测试计算机、交换机和路由器的IP和接口信息如拓扑所示。

图1网络拓扑图

2.项目规划设计

三层交换机的访问控制策略主要是通过ACL访问控制列表对不同VLAN的IP地址段进行流量匹配控制。标准ACL可以对IP包进行源地址匹配，即检查通过IP包中的源地址信息，如果源地址与ACL中的规则相匹配，就执行放行或拦截的操作。为了让其它部门无法访问财务系统服务器，可以在三层交换机中配置匹配财务部IP地址段、拒绝其他所有IP的ACL，并在G0/0/2接口的OUT方向上应用；同时在添加拒绝财务部系统服务器IP地址段的ACL，在G0/0/1接口的OUT方向上应用，组织财务部系统服务器访问外部网络。外部网络连接方面，三层交换机配置默认路由指向出口路由器。出口路由器可根据ISP接入方式采用对应的路由协议，这里不作描述。

配置步骤如下：

（1）配置交换机基础环境

（2）配置路由器基础环境

（3）配置基本ACL访问控制

（4）配置各部门计算机的IP地址具体规划如下表：

表1VLAN规划表

VLANID

IP地址段

用途

VLAN10

192.168.10.0/24

开发部

VLAN20

192.168.20.0/24

市场部

VLAN30

192.168.30.0/24

财务部

VLAN40

192.168.40.0/24

财务系统

VLAN50

192.168.1.0/24

连接外部网络

表2IP地址规划表

设备

接口

IP地址

R1

G0/0/0

192.168.1.1/24

R1

G0/0/1

10.10.10.1/24

SW1

VLANIF10

192.168.10.254/24

SW1

VLANIF20

192.168.20.254/24

SW1

VLANIF30

192.168.30.254/24

SW1

VLANIF40

192.168.40.254/24

SW1

VLANIF50

192.168.1.254/24

财务系统服务器

Eth0/0/1

192.168.40.1/24

开发部

Eth0/0/1

192.168.10.1/24

市场部

Eth0/0/1

192.168.20.1/24

财务部

Eth0/0/1

192.168.30.1/24

表3端口规划表

本端设备

本端接口

对端设备

对端接口

SW

E0/0/1-5

开发部PC

Eth0/0/1

SW

E0/0/6-15

市场部PC

Eth0/0/1

SW

E0/0/16-20

财务部PC

Eth0/0/1

SW

G0/0/2

财务系统

Eth0/0/1

SW

G0/0/1

R1

G0/0/0

R1

G0/0/0

SW

G0/0/1

R1

G0/0/1

Internet

Null

财务系统服务器

Eth0/0/1

SW

G0/0/2

开发部

Eth0/0/1

SW

Eth0/0/1-5

市场部

Eth0/0/1

SW

Eth0/0/6-15

财务部

Eth0/0/1

SW

Eth0/0/16-20

3.项目实施

（1）配置交换机基础环境

①为各部门创建相应的VLAN

Huaweisystem-view[Huawei]sysnameSW1

[SW1]vlanbatch1020304050

②将各部门计算机所使用的端口类型转换为ACCESS模式，并设置接口PVID，将端口划分到相应的VLAN

[SW1]port-groupgroup-memberEthernet0/0/1toEthernet0/0/5

[SW1-port-group]portlink-typeaccess[SW1-port-group]portdefaultvlan10[SW1-port-group]quit

[SW1]port-groupgroup-memberEthernet0/0/6toEthernet0/0/15[SW1-port-group]portlink-ty