项目9、利用访问列表进行网络管理

项目九、利用访问列表进行网络管理(一)利用IP标准访问列表进行网络流量的控制【项目名称】编号的标准IP访问列表。【项目教学目的】掌握路由器上编号的标准IP访问列表规则及配置。【项目背景描述】假如你是某公司的网络管理员，公司的经理部、财务部门和销售部门分别属不同的3个网段，三部门之间利用路由器进行信息传递，为了安全起见，公司领导要求销售部门不能对财务部门进行访问，但经理部可以对财务部门进行访问。PC1代表经理部的主机，PC2代表销售部门的主机、PC3代表财务部门的主机。【知识链接】1、IPACL（IP访问控制列表或IP访问列表）是实现对流经路由器或交换机的数据包根据一定的规则进行过滤，从而提高网络可管理性和安全性。2、IPACL分为两种：标准IP访问列表和扩展IP访问列表。标准IP访问列表——根据数据包的源IP地址定义规则，进行数据包的过滤。扩展IP访问列表——根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，从而对数据包进行过滤。3、IPACL基于接口进行规则的应用，分为：入栈应用和出栈应用。入栈应用是指由外部经该接口时路由器进行数据包的过滤。出栈应用是指路由器从该接口向外转发数据时进行数据包的过滤。4、IPACL的配置有两种方式：按照编号的访问列表，按照命名的访问列表。5、标准IP访问列表编号范围是1~99、1300~1999；扩展IP访问列表编号范围是100~199、2000~2699。【项目技能要求】学会实现网段间互相访问的安全控制。【完成项目所需设备】R1762路由器（两台）、V.35线缆（1条）、直连线或交叉线（3条）【项目拓扑】【项目实施步骤】1、基本配置：Ra基本配置Red-Giant>enable14(password:b402)Red-Giant#configureterminalRed-Giant(config)#hostnameRaRa(config)#interfacefastEthernet0/1Ra(config-if)#ipRa(config-if)#noshutdownRa(config-if)#interfaceFastEthernet1/1RaRa(config-if)#noshutdownRa(config-if)#interfaceserial1/2RaRa(config-if)#clockrate64000Ra(config-if)#noshutdownRa(config-if)#end2、测试命令：showipinterfacebrief。Ra#showipintbrief!观察接口状态InterfaceIP-Addressress(Pri)OK?Statusserial1/0noaddressYESDOWNFastEthernet0/1FastEthernet1/1Null0noaddressYESUP3、Rb基本配置Red-Giant>enableRed-Giant#configureterminalRed-Giant(config)#hostnameRbRb(config)#interfacefastEthernet0/1Rb(config-if)#ipaddress172.16.4Rb(config-if)#noshutdownRb(config-if)#exitRb(config-if)#interfaceserial1/2Rb(config-if)#ipaddressRb(config-if)#noshutdownRb(config-if)#end4、测试命令：showipinterfacebrief。Rb#showipintbrief!观察接口状态InterfaceIP-Addressress(Pri)OK?StatusUPserial1/0noaddressYESDOWNFastEthernet0/1UPFastEthernet1/1noaddressYESDOWNNull0noaddressYESUP5、配置静态路由Ra(config)#iprouteserial1/2Rb(config)#iprouteserial1/2Rb(config)#iprouteserial1/26、测试命令：showiproute。Ra#showiproute!查看路由表信息Codes:C-connected,S-static,R-RIPO-OSPF,IA-OSPFinterareaN1-OSPFNSSAexternaltype1,N2-OSPFNSSAexternaltype2E1-OSPFexternaltype1,E2-OSPFexternaltype2*-candidatedefaultGatewayoflastresortisnosetC/24isdirectlyconnected,FastEthernet0/1C/24isdirectlyconnected,FastEthernet1/1C/24isdirectlyconnected,serial1/2S/24isdirectlyconnected,serial1/0Rb#showiprouteCodes:C-connected,S-static,R-RIPO-OSPF,IA-OSPFinterareaN1-OSPFNSSAexternaltype1,N2-OSPFNSSAexternaltype2E1-OSPFexternaltype1,E2-OSPFexternaltype2*-candidatedefaultGatewayoflastresortisnosetS/24isdirectlyconnected,serial1/2S/24isdirectlyconnected,serial1/2C/24isdirectlyconnected,serial1/2C/24isdirectlyconnected,FastEthernet0/17、配置标准IP访问控制列表。Ra(config)#access-list10deny.255!拒绝来自网段的流量通过Ra(config)#access-list10permitany!允许所有网段的流量通过8、验证测试：Ra#showaccess-lists10StandardIPaccesslist1includes2items:deny,wildcardbits.255permit,wildcardbits.255把访问控制列表在接口下应用。Ra(config)#interfacefastEthernet0/1Ra(config-if)#ipaccess-group1in9、验证测试：Ra#showipinterfacefastEthernet0/1FastEthernet0/1IPinterfacestateis:UPIPinterfacetypeis:BROADCASTIPinterfaceMTUis:1500IPaddressis:/24(primary)IPaddressnegotiateis:OFFForwarddirect-boardcastis:ONICMPmaskreplyis:ONSendICMPredirectis:ONSendICMPunreachabledis:ONDHCPrelayis:OFFFastswitchis:ONRoutehorizontal-splitis:ONHelpaddressis:.0ProxyARPis:ONOutgoingaccesslistis10.!查看访问列表在接口上的应用Inboundaccesslistisnotset.10、验证测试：网段内的主机不能ping通网段内的主机；但网段内的主机能ping通网段内的主机。【注意事项】1、注意在访问控制列表的网络掩码是反掩码。2、标准控制列表要应用在尽量靠近目的地址的端口上设置。(二)利用IP扩展访问列表实现服务的访问限制【项目名称】命名的扩展IP访问列表。【项目教学目的】掌握在交换机上命名的扩展IP访问列表规则及配置。【项目背景描述】你是我们学校的网络管理员，在S3550-24交换机上连着学校的WWW和FTP的服务器，另外还连接着学生宿舍楼和教工宿舍楼，学校规定学生只能对服务器进行WWW访问，不能进行FTP访问，则对教工没有此限制。【知识链接】1、IPACL（IP访问控制列表或IP访问列表）是实现对流经路由器或交换机的数据包根据一定的规则进行过滤，从而提高网络可管理性和安全性。2、IPACL分为两种：标准IP访问列表和扩展IP访问列表。标准IP访问列表——根据数据包的源IP地址定义规则，进行数据包的过滤。扩展IP访问列表——根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，从而对数据包进行过滤。3、IPACL基于接口进行规则的应用，分为：入栈应用和出栈应用。入栈应用是指由外部经该接口时路由器进行数据包的过滤。出栈应用是指路由器从该接口向外转发数据时进行数据包的过滤。4、IPACL的配置有两种方式：按照编号的访问列表，按照命名的访问列表。5、标准IP访问列表编号范围是1~99、1300~1999；扩展IP访问列表编号范围是100~199、2000~2699。【项目技能要求】学会实现网段间互相访问的安全控制。【完成项目所需设备】S3550交换机（1台）、PC（3台)、直连线（3条）【项目拓扑】【项目实施步骤】1、基本配置：3550-24(config)#vlan103550-24(config)#vlan203550-24(config)#vlan303550-24(config)#interfacefastethernet0/13550-24(config-if)#switchportmodeaccess3550-24(config-if)#switchportaccessvlan103550-24(config)#interfacefastethernet0/23550-24(config-if)#switchportmodeaccess3550-24(config-if)#switchportaccessvlan203550-24(config)#interfacefastethernet0/33550-24(config-if)#switchportmodeaccess3550-24(config-if)#switchportaccessvlan303550-24(config)#interfacevlan103550-24(config-if)#noshutdown3550-24(config-if)#interfacevlan203550-24(config-if)#noshutdown3550-24(config-if)#interfacevlan303550-24(config-if)#noshutdown2、配置命名扩展IP访问控制列表：3550-24(config)#access-list101denytcp.255hosteqFTP!禁止FTP服务3550-24(config)#access-list101permitipanyany!允许其它服务3、验证命令：3550-24#showaccess-lists101ExtendedIP