项目十二安全策略与数据流量过滤

1、项目十二安全策略与数据流量过滤1.教学目标 掌握网络平安策略布置原那么，掌握IP标准及扩展访问控制列表配置技能，能够根据实际需求准确配置IP访问控制列表，具体如下：1了解IP标准及扩展访问控制列表的功能及用途 2掌握IP标准访问控制列表配置技能3掌握IP扩展访问控制列表配置技能2.工作任务 根据客户工作任务的具体要求，配置IP标准或扩展访问控制列表，实现网络数据流量控制。 模块模块1 1 IPIP标准访问控制列表的建立及应用标准访问控制列表的建立及应用 . 教学目标 了解IP标准访问控制列表的功能及用途 掌握路由器IP标准访问控制列表配置技能 掌握交换机IP标准访问控制列表配置技能 2. 工作

2、任务 你是学校网络管理员，学校的财务处、教师办公室和校办企业财务科分属不同的3个网段，三个部门之间通过路由器进行信息传递，为了平安起见，学校领导要求你对网络的数据流量进行控制，实现校办企业财务科的主机可以访问财务处的主机，但是教师办公室主机不能访问财务处主机。 3. 相关实践知识 首先对两路由器进行根本配置，实现三个网段可以相互访问；然后对距离控制目的地址较近的路由器RouterB配置IP标准访问控制列表，允许网段校办企业财务科主机发出的数据包通过，不允许网段教师办公室主机发出的数据包通过，最后将这一策略加到路由器RouterB的Fa 0端口，如图1

3、2.1所示。图12.1路由器IP标准访问控制列表第1步：根本配置路由器RouterA：R enableR #configure terminalR(config)#hostname RouterARouterA (config)# line vty 0 4 RouterA (config-line)#loginRouterA (config-line)#password 100RouterA (config-line)#exitRouterA (config)# enable password 100RouterA (config)#interface fastethernet 0Router

4、A (config-if)#no shutdownRouterA (config-if)#ExitRouterA (config)#interface fastethernet 1RouterA (config-if)#no shutdownRouterA (config-if)#ExitRouterA (config)#interface fastethernet 2RouterA (config-if)#no shutdownRouterA (config-if)#Exit路由器RouterB同理配置第2步：在路由器RouterB上配置IP标准访问控制列表验证测试RouterB #show

5、 access-list 1第3步：应用在路由器RouterB的Fa 0接口输出方向上RouterB (config)#interface fastethernet 0RouterB (config-if)#ip access-group 1 out验证测试RouterB #show ip interface fastethernet 04. 相关理论知识 ACL概述 访问控制列表ACL是在交换机或路由器上定义一些规那么，对经过网络设备的数据包根据一定规那么进行过滤。 ACL分类1编号访问控制列表：在路由器配置的访问控制列表是由编号来命名的，包括IP标准访问控制列表和IP扩展访问控制列表。2命

6、名访问控制列表：在三层交换机配置的访问控制列表是由字符串名字来命令的，包括IP标准访问控制列表和IP扩展访问控制列表。 编号标准访问控制列表 1标准访问控制列表 在路由器上建立的访问控制列表，其编号取值范围为199之间整数值，只根据源IP地址过滤流量。 在标准或扩展访问列表的末尾，总有一个隐含的Deny all。这意味着如果数据包源地址与任何允许语句不匹配，那么隐含的Deny all将会禁止该数据包通过。 2定义访问控制列表 R (config)#access-list access-list number permit/deny source source mask 其中： access-l

7、ist number ：访问列表序号,范围是1-99； Permit/deny：允许/禁止满足条件的数据包通过； Source ：过滤数据包的源IP地址； Source mask： 通配屏蔽码，1：不检查位，0：必须匹配位。 【例12.3】定义访问控制列表1拒绝特定主机的流量，但允许其它的所有主机。R(config)#access-list 1 permit any3应用访问控制列表 访问控制列表需要应用到路由器的一个接口上，应用到一个接口上可选择入栈IN或出栈OUT二个方向。【例12.5】将访问控制列表1应用到路由器的接口fastethernet 0的入栈方向上。R#

8、configure terminalR(config)# interface fastethernet 0R(config-if)#ip access-group 1 inR(config-if)#end 命名标准访问控制列表命名标准访问控制列表 在三层交换机上配置命名标准访问控制列表，也是采用定义ACL、在接口上应用ACL、查看ACL等步骤进行。第1步：进入Access-list配置模式，用名字来定义一条标准访问控制列表。Switch(config)#ip access-list standard name Switch(config-std-nacl)#第2步：定义访问控制列表条件Swit

9、ch(config-std-nacl)#deny source source-wildcard|host source |any或permitsource source-wildcard|host source|any。Switch(config-std-nacl)#exitSwitch(config)# 其中：permit允许通过；deny禁止通过；Source 是要被过滤数据包的源IP地址；source-wildcard 是通配屏蔽码，指出该域中哪些位进行匹配，1表示允许这些位不同，0表示这些位必须匹配；Host source代表一台源主机，其source-wildcard为

10、；any代表任意主机，即source为，source-wildcard为55。第3步：应用访问控制列表Switch(config)#interface vlan n其中：n是指Vlan n，以实现进入SVI模式Switch(config-if)#ip access-group namein|out其中：name为访问控制列表名称，in或out为控制接口流量方向。Switch(config-if)#【例12.7】在交换机上配置访问控制列表，实现只禁止网段上主机发出的数据，而允许其它任意主机。Switch#configure termi

11、nalSwitch(config)#Switch(config)#ip access-list standard deny_2.0Switch(config-std-nacl)#permit any Switch(config-std-nacl)#exitSwitch(config)#interface vlan 2Switch(config-if)#ip access-group deny_2.0 inSwitch(config-if)#endSwitch#show access-lists模块模块2 IP扩展访问控制列表的建立及应用扩展访问控制列表的建立及应用 . 教学目标 了解IP扩展访

12、问控制列表功能及用途 掌握路由器IP扩展访问控制列表配置技能 掌握交换机IP扩展访问控制列表配置技能 2. 工作任务 你是学校网络管理员，学校的网管中心分别架设FTP、Web效劳器，其中FTP效劳器供教师专用，学生不可使用；Web效劳器教师和学生都可访问。FTP及Web效劳器、教师办公室和学生宿舍分属不同的3个网段，三个网段之间通过路由器进行信息传递，要求你对路由器进行适当设置实现网络的数据流量控制。3. 相关实践知识 首先对两路由器进行根本配置，实现三个网段相互访问；然后对离控制源地址较近的路由器RouterA配置IP扩展访问控制列表，不允许网段学生宿舍主机发出的去19

13、网段的FTP数据包通过，允许网段主机发出的其它效劳数据包通过，最后将这一策略加到路由器RouterA的Fa 0端口 ，如图12.4所示 。图12.4路由器IP扩展访问控制列表第1步：根本配置路由器RouterA：RenableR#configure terminalR(config)#hostname RouterARouterA (config)# line vty 0 4 RouterA (config-line)#loginRouterA (config-line)#password 100RouterA (config-line)#exitRou

14、terA (config)# enable password 100RouterA (config)#interface fastethernet 0RouterA (config-if)#no shutdownRouterA (config-if)#ExitRouterA (config)#interface fastethernet 1RouterA (config-if)#no shutdownRouterA (config-if)#ExitRouterA (config)#interface fastethernet 2RouterA (config-if)#no shutdownRo

15、uterA (config-if)#Exit路由器RouterB同理配置第2步：在路由器RouterA上配置IP扩展访问控制列表拒绝来自 网段去网段的FTP流量通过RouterA (config)#access-list 101 deny TCP 55 55 eq FTP允许其它效劳的流量通过RouterA (config)#access-list 101 permit IP any any 验证测试RouterA #show access-list 101第3步：把访问控制

16、列表应用在路由器RouterA的Fa 0接口输入方向上。RouterA(config)#interface fastethernet 0RouterA (config-if)#ip access-group 101 in4. 相关理论知识 编号扩展访问控制列表 扩展编号访问控制列表同标准编号访问控制列表一样也是在路由器上创立的，其编号范围为100到199之间。扩展IP访问控制列表可以基于数据包源IP地址、目的IP地址、协议及端口号等信息来过滤流量。 配置编号扩展访问控制列表 R(config)#access-list listnumber permit | deny protocol sour

17、ce source-wildcard-mask destination destination-wildcard-mask operator operand 命名扩展访问控制列表第1步：用名字来定义一个命名扩展访问控制表，并进入扩展访问控制列表配置模式Switch(config)#ip access-listextended namewitch(config-ext-nacl)#第2步：定义访问控制列表条件Switch(config-ext-nacl)#deny|permit protocol source source-wildcard|host source |anyoperator po

18、rtdestination destination-wildcard|host destination|anyoperator port。Switch(config-ext-nacl)#exitSwitch(config)# 其中：Deny：禁止通过；Permit：允许通过；Protocol：协议类型。TCP：tcp；UDP：udp；IP：ip；Source：源IP地址；source-wildcard：源IP地址通配符；Host source：源主机，其source-wildcard为；host destination：目标主机，其destination-wildcard为0.0

19、.0.0；Any：任意主机，即source或destination为，source-wildcard或destination-wildcard为55；Operator：操作符，只能为eq。Port：TCP或UDP的端口号，范围为0-65535。模块模块3 3 基于时间的访问列表建立与应用基于时间的访问列表建立与应用 . 教学目标 了解基于时间访问控制列表的功能及用途 掌握路由器根本时间访问控制列表配置技能 2. 工作任务 你是某公司的网管，为了保证公司上班时间的工作效率，公司要求上班时间只可以访问公司的内部网站。下班后员工可以随意放松，访问网络不受限制。

20、3. 相关实践知识 在路由器上进行根本配置，然后设置基于时间的访问控制列表，把这个访问控制列表应用于路由器的Fa 0接口 ，如图12.5所示。 图12.5基于时间的访问控制列表第1步：根本配置路由器RouterA：R enableR#configure terminalR(config)#hostname RouterARouterA (config)# line vty 0 4 RouterA (config-line)#loginRouterA (config-line)#password 100RouterA (config-line)#exitRouterA (config)# ena

21、ble password 100RouterA (config)#interface fastethernet 0RouterA (config-if)#no shutdownRouterA (config-if)#ExitRouterA (config)#interface fastethernet 1RouterA (config-if)#no shutdownRouterA (config-if)#Exit第2步：配置路由器的时钟RouterA#show clockClock:1987-1-16 5:19:9重新设置路由器当前时钟和实际时钟同步RouterA(config)#clock

22、set 16:03:40 27 april 2006-4-27RouterA#show clockClock:2006-4-27 16:04-9第3步：定义时间段RouterA(config)#time-range freetime定义绝对时间段RouterA(config-time-range)#absolute start 8:00 1 jan 2006 end 18:00 30 dec 2021定义周期性时间段RouterA(config-time-range)#periodic daily 0:00 to 9:00RouterA(config-time-range)#periodic daily 17:00 to 23:59RouterA#show time-rangeTime-range entry:freetime(inactive)Absolute start 8:00 01 january 2006 end 18:00 30 december 2021Periodic daily 0:00 to 9:00Periodic daily 17:00 to 23:59第4步：定义访问控制列表允许在规定时间段内访问任何网络RouterA (config)#a