《计算机网络与通信》课件-项目10 路由器高级配置

学习目标知识目标：访问控制列表知识技能目标：能够用ACL配置简单防火墙素质目标：工程素质项目考核题有网络如下图：要求在router0上配置acl，使得这个子网不能访问上的web服务器（但是能够访问上的其他服务器，例如ftp、dns，能够ping通上的所有电脑），能够访问，能够访问上的所有服务。要求能够在PT上验证：pc0和pc1上面的浏览器不能打开server0上的网页，但是能够打开server2上的网页，ping通server2。能够在server1上做dns服务器，使pc1能够用名称地址打开server2上的网页。能够连接到上的ftp服务器，能够ping通。（或者在server0上做dns，建立一条记录指向，在pc1上修改dns地址为，在pc1上用名称地址可以打开server1上的网页。）10.1配置访问控制列表1.ACL概念IP的访问控制列表的功能：在数据包通过路由器时对它们进行过滤，确定哪些可以通过路由器。典型应用：丢弃被认为是私人用途的视频和音频数据。允许财务等敏感部门的员工与财务服务器通信，拒绝其他主机和财务服务器通信。拒绝某些类型的垃圾邮件拒绝某些网段的ip（例如休息室）入方向ACL示例要提高客户机对服务器访问的安全性，举一个普通ACL逻辑示例：如果数据包源地址为且是从FA0/0进入，那么丢弃它，其他的数据包可以通过。则PC0发出的IP数据包无法送到路由器右边的网络，server0和server1。这个称为入方向的ACL。

实现这个策略的命令如下：Router(config)#access-list1denyhostRouter(config)#access-list1permitanyRouter(config)#interfacefastethernet0/0Router(config-if)#ipaccess-group1in――需要注意的是，由于ACL的处理逻辑相当于每个ACL结尾处隐含了一条denyall，所以要用permitany做明文允许。2.出方向的ACL假设有网络如图10.3，在Router0上使用入方向的过滤规则：过滤从FA0/0进入的源地址为的IP数据包，那么pc0发出的数据包既无法送到路由器右边的网络（server0、server1），也无法送到路由器上边的网络（server2）。如果希望pc0不能够访问路由器右边的网络但是能够访问路由器上边的网络，则router0上的过滤规则应该修改为：源地址为，出口为FA1/0的数据包过滤掉。这个就是出方向的ACL。实现这个出方向的过滤策略的命令如下：Router(config)#access-list1denyhostRouter(config)#access-list1permitanyRouter(config)#interfacefastethernet1/0Router(config-if)#ipaccess-group1out3.使用扩展的IPACL扩展的IPACL过滤时查看更多的域，典型的域有：源ip地址或网络地址目的ip地址或网络地址传输层协议类型（TCP或UDP）源udp或tcp端口目的udp或tcp端口――当使用标准IPACL规则时，访问控制列表编号范围为1～99，1300～1999。――当使用扩展IPACL规则时，访问控制列表编号范围为100～199，2000～2699。

ACL配置实训2有网络如下图先在router0和router1上配置好静态路由，使全网可以联通。然后要求在router0上配置acl，使得这个子网不能访问上的web服务器（但是能够访问上的其他服务器，例如ftp、dns，能够ping通上的所有电脑），能够访问，能够访问上的所有服务。要求能够在PT上验证：pc0和pc1上面的浏览器不能打开server0上的网页，但是能够打开server1、server2上的网页，ping通server0/1/2。在Router0上的配置命令如下：Router(config)#access-list101denytcp55hosteqwwwRouter(config)#access-list101permittcp5555range11023Router(config)#access-list101permitudp5555range11023Router(config)#access-lis