《网络设备》课程设计报告访问控制列表在企业中的应用

1、unix程序设计设计课程报告哈尔滨理工大学计算机科学与技术学院网络工程系网络设备课程设计报告题 目： 访问控制列表在企业中的应用 班 级： 学 号： 姓 名： 指导老师： 成 绩： 201 年 0 月 0 日目 录一、 要求分析.12、 概要设计.1三、详细设计.21.实物图转虚拟图.22.创建vlan.43.划分子网.44.通过基本acl实现对任意网段的阻塞.75.通过扩展acl来对任意网段的ping服务进行阻塞 .10四、调试分析.11五、附注. . .121、 需求分析访问控制列表（access control list，acl） 是路由器和交换机接口的指令列表，用来控制端口进出的数据包

2、。acl适用于所有的被路由协议，如ip、ipx、appletalk等。这张表中包含了匹配关系、条件和查询语句，表只是一个框架结构，其目的是为了对某种访问进行控制。acl可以限制网络流量、提高网络性能；acl可以提供对通信流量的控制手段；acl是提供网络安全访问的基本手段；acl可以在路由器端口处决定哪种类型的通信流量被转发或被阻塞。目前有两种主要的acl:标准acl和扩展acl。标准的acl使用 1 99 以及13001999之间的数字作为表号，扩展的acl使用 100 199以及20002699之间的数字作为表号。标准acl可以阻止来自某一网络的所有通信流量，或者允许来自某一特定网络的所有通

3、信流量，或者拒绝某一协议簇（比如ip）的所有通信流量。扩展acl比标准acl提供了更广泛的控制范围。例如，网络管理员如果希望做到“允许外来的web通信流量通过，拒绝外来的ftp和telnet等通信流量”，那么，他可以使用扩展acl来达到目的，标准acl不能控制这么精确。本次实验主要通过理解上述acl的意义及功能，通过自己配置acl来实现对任意网段的数据的阻塞和对任意网段的ping服务进行阻塞，以达到学会acl基本配置，理解acl的功能及实现为目的。2、 概要设计本次实验设计是在cisco packet tracer这款虚拟配置电脑平台的软件上操作的。要求用到3台pc机，一台3560 24ps三

4、层交换机以及3根网线。首先，在3560 24ps上创建3个子网subnet 1：、subnet 2：、 subnet 3：，并确保这三个子网之间可以互通（即可以互相ping通）。其次，通过基本acl功能来实现对任意网段的数据的阻塞。 最后，通过扩展acl来对任意主机的ping服务进行阻塞 。本次实验主要通过理解上述acl的意义及功能，通过自己配置acl来实现对任意网段的数据的阻塞和对任意网段的ping服务进行阻塞，以达到学会acl基本配置，理解acl的功能及实现为目的。3、 详细设计1、将实物拓扑图转换成虚拟图步骤一 在cisco packet

5、 tracer上选择3台pc机、一台3560 24ps三层交换机。将pc0连接到交换机的端口2上，pc1连接到交换机的端口3上，pc2连接到交换机的端口4上。虚拟拓扑图如下：步骤二 将pc0的ip地址设置为，网关地址设置成；将pc1的ip地址设置为，网关地址设置成；将pc2的ip地址设置成，网关地址设置成。子网掩码均为。2、 创建vlan步骤一 在交换机的cli中设置代码，创建vlan2、vlan3、vlan4并命名为a、b、c。代码如下

6、：步骤二 将交换机的接口2划分给vlan2,接口3划分给vlan3，接口4划分给vlan4.。代码如下：3、 划分子网在3560 24ps上创建3个子网subnet 1：、subnet 2：、 subnet 3：，并确保这三个子网之间可以互通。代码如下：创建好后，3台主机能够互相ping通：4、 通过基本acl功能来实现对任意网段的数据的阻塞 通过在交换机上配置基本acl，阻断拓扑图中任何一个网络，即被阻断的网络中的主机不能与其他主机交互。本实验设计以阻断vlan2（子网）为例。代码如下：被阻断的网络中的主

7、机pc0（ip地址为）不能与其他2台主机交互。结果如下：5、 通过扩展acl来对任意主机的ping服务进行阻塞 通过在交换机上配置基本acl，阻断拓扑图中任何一台主机的ping功能。本实验以阻断主机pc1（ip地址为）为例。代码如下：其他2台主机不能ping通被阻断的主机pc1。结果如下（pc2）：4、 调试分析通过计算机网络课程设计实验，我掌握了acl的功能配置以及各方面的应用，在本次实验过程中，我严格按照实验要求，同时努力结合实验思想进行设计，最终顺利完成了实验。首先，在课程设计初级阶段，由于不了解什么是acl，以前课本上也没有学过，所以，要去大

8、量的查阅资料来增进自己对acl的了解程度以便能更好地完成课程设计。通过查阅资料，我了解到了acl是访问控制链表，用来控制端口进出的数据包。acl可以限制网络流量、提高网络性能、可以提供对通信流量的控制手段、是提供网络安全访问的基本手段、也可以在路由器端口处决定哪种类型的通信流量被转发或被阻塞，一句话，acl就是实现控制用户访问电脑的权限，提高安全性的一种工具。了解了acl后，我又查阅了许多acl的基本命令，在此过程之中碰到了许多问题，因为网上的资料大多数都是版本不对又或者有错误的，起初我查到的acl命令都是无效的，这确实令人烦恼。不过，通过我组成员的不断努力，精心总结，我也从老师那里得到了很多

9、帮助。最后，还是成功写出了acl正确的配置命令。如以access-list开头定义acl、基本的acl功能是以199为命名的，拓展的acl以100199为命名、用ip access-group number in/out来实现对acl命令的执行、用no ip access-list standard/extended number来实现对acl命令的删除等等，让我学到了对acl命令的基本了解。然后，就是正式的课程设计了，首先是配置电脑以及交换机，在交换机上建立三个子网并实现电脑互通，这些先前配置因为以前在课程实验课上都做过，所以，通过参考以前实验，我成功实现了对其的成功配置。通过自己的操作，我

10、巩固了先前的实验知识、熟悉了虚拟软件cisco packet tracer的运用、加深了对计算机网路交换机原理的更深印象、使自己的计算机网络操作水平更上一层楼。最后，就是利用acl命令来实现对网段及电脑的阻塞了，这也是课程设计的最终要求。因为先前已经对acl命令有了很多了解，所以我也很快实现了利用acl功能来实现阻塞功能，成功了完成了实验。可是，有很多地方还是不了解，比如acl命令中的in和out功能等，后来通过询问老师，才知道此中原理，in和out是针对于交换机而言的出与入的阻塞。看来，就算是完成了设计，我也有许多知识未曾去深入掌握，而且我了解的acl命令只是全部acl命令的一部分，今后的学

11、习之路还很长！经过这次设计，我除了上述感受外，令我感受颇深的还有很多方面。例如，计算机网络的学习对我们日常生活对网络的认识和理解加深，以前对这个名词的认识似乎仅仅停留在抽象的层面，现在有了很多内涵信息的领会，掌握了其在生活各方面中的应用；另外，对于在本次实验的具体代码输入方面，让我深刻体会到，凡事都要细心，不能马马虎虎，敷衍塞责，同时遇到困难不难逃避闪躲。最后，我要感谢老师、感谢同学在这次实验中对我的细心指导及积极帮助！5、 附注switchenswitch#vlan database% warning: it is recommended to configure vlan from con

12、fig mode, as vlan database mode is being deprecated. please consult user documentation for configuring vtp/vlan in config mode.switch(vlan)#vlan 2 name avlan 2 added: name: aswitch(vlan)#vlan 3 name bvlan 3 added: name: bswitch(vlan)#vlan 4 name cvlan 4 added: name: cswitch(vlan)#exitapply completed

13、.exiting.switch#conf tenter configuration commands, one per line. end with cntl/z.switch(config)#interface f0/2switch(config-if)#swiswitch(config-if)#switchport mode accessswitch(config-if)#switchport access vlan2 % invalid input detected at marker.switch(config-if)#switchport access vlan 2switch(co

14、nfig-if)#interface f0/3switch(config-if)#switchport mode accessswitch(config-if)#switchport access vlan 3switch(config-if)#interface f0/4switch(config-if)#switchport mode accessswitch(config-if)#switchport access vlan 4switch(config-if)#exitswitch(config)#ip routingswitch(config)#interface vlan 2%li

15、nk-5-changed: interface vlan2, changed state to up%lineproto-5-updown: line protocol on interface vlan2, changed state to upswitch(config-if)#ip address switch(config-if)#no shutdownswitch(config-if)#interface vlan 3%link-5-changed: interface vlan3, changed state to up%linep

16、roto-5-updown: line protocol on interface vlan3, changed state to upswitch(config-if)#ip address switch(config-if)#no shutdownswitch(config-if)#interface vlan 4%link-5-changed: interface vlan4, changed state to upswitch(config-if)#ip address switch(config-if)#no shutdownswitch(config-if)#exitswitch(config)#access-list 5 ? deny specify packets to reject permit specify packets to forward remark access list entry commentswitch(config)#access-list 5 deny switch(conf