交换机路由器配置管理第二十二章访问控制列表课件

1、24 七月 2022网络设备配置与管理1第22章 访问控制列表 主讲：张平安教授24 七月 2022网络设备配置与管理2学习目标知识目标掌握路由器的标准访问控制列表的基本原理掌握路由器的扩展访问控制列表的基本原理技能目标熟练掌握标准访问控制列表的配置方法与技巧熟练掌握扩展访问控制列表的配置方法与技巧素养目标培养初步的网络访问权限的设计能力培养自觉的信息安全意识 每课一屏了解网络安全形势24 七月 2022网络设备配置与管理3路由器安全功能24 七月 2022网络设备配置与管理4路由器主要功能是发现达到目标网络的路径又是硬件防火墙配置访问列表实现包过滤网络地址转换访问列表24 七月 2022网络

2、设备配置与管理5路由器配置访问列表可以控制网络流量，按规则过滤数据报文，提高网络的安全性。 访问控制列表分类24 七月 2022网络设备配置与管理6包过滤规则称为访问列表。对于IP，IPX或Apple Talk网络，其过滤规则有差异，IP网络的称为IP访问列表(Access List)标准IP访问列表 该种包过滤规则只对数据包中的源地址进行检查扩展IP访问列表 该种包过滤规则对数据包中的源地址、目的地址、协议(如TCP，UDP，ICMP，Telnet，FTP等)或者端口号进行检查认识协议与端口号24 七月 2022网络设备配置与管理7牢记ACL编号规则24 七月 2022网络设备配置与管理8如

3、何判断符合匹配规则24 七月 2022网络设备配置与管理9标准和扩展的IP ACL都允许用户指定一个特定的IP地址或者一个IP地址范围。如果数据包的地址属于所配置的地址范围之内，那么数据包就符合匹配规则ACL的通配符掩码定义了数据包地址中的哪部分需要匹配ACL中已列出的地址，以及哪些部分不需要匹配。特殊匹配地址24 七月 2022网络设备配置与管理10访问列表表项匹配规则用同一标识号码定义一系列access-list语句从最先定义的条件开始依次检查，如数据包满足某个语句的条件，则执行该语句所定义的“允许”或者“拒绝”动作，并且列表中的后续语句就不再处理。如果数据包不满足规则中的所有条件，Cis

4、co路由器默认禁止该数据包通过，即丢掉该数据包。路由器在访问列表最后默认一条禁止所有数据包通过的语句。语句之间的排列顺序很重要，因为第一次匹配后，剩下的语句就不再处理。24 七月 2022网络设备配置与管理11思科两个重要的ACL设计建议如何排列ACL陈述的顺序将比较精确的陈述放在前面比较概括的陈述放在后面在网络中的什么位置放置ACL有关对于标准ACL，Cisco建议将ACL尽可能的靠近目的主机对于扩展ACL，应尽可能地靠近源主机24 七月 2022网络设备配置与管理12常用命令24 七月 2022网络设备配置与管理13关于入站与出站24 七月 2022网络设备配置与管理14入站表示流量从外源

5、进入接口。对于入站ACL，在IOS将分组转发到其他接口之前，ISO将分组和接口的ACL进行比较。出站表示在流量出接口之前。对于出站ACL，在接口上接收分组，然后将分组转发到出站接口，此时，IOS才将分组和ACL进行比较。24 七月 2022网络设备配置与管理15标准访问控制列表学习情景24 七月 2022网络设备配置与管理16扩展访问控制列表 学习情境24 七月 2022网络设备配置与管理17任务与设计详见标准访问控制列表网络系统参数设计扩展访问控制列表网络系统参数设计访问控制列表配置步骤确定访问控制列表号设计访问控制列表规则全局模式下配置访问控制列表接口模式下绑定访问控制列表24 七月 2022网络设备配置与管理1824 七月 2022网络设备配置与管理19访问控制列表任务实施相关准备工作 配置交换机VLAN 配置路由器的IP 配置路由器的路由 配置ACL 验证拓展学习访问控制列表除了上述介绍的标准ACL和扩展ACL外，思科路由器产品还提供了命名ACL和基于时间的ACL，动态ACL和自反ACL。24 七月 2022网络设备配置与管理2024 七月 20