《ACL原理及配置实例ppt课件》由会员分享，可在线阅读，更多相关《ACL原理及配置实例ppt课件（53页珍藏版）》请在金锄头文库上搜索。
1、上次回上次回顾顾：广域网接口配置：广域网接口配置配置配置PPP协议协议PPP协议协议的的验证验证方式方式本次内容（本次内容（补补充）充）理解理解ACL的基本原理的基本原理会配置会配置标标准准ACL会配置会配置扩扩展展ACL会配置会配置ACL对对网网络进络进行控制行控制理解理解NAT会配置会配置NAPT2 2需求公网互互联网用网用户对外信息外信息服服务器器员工上网工上网信息信息服服务器器3 3需求1作作为公司网公司网络管理管理员，当公司，当公司领导提出下列要求提出下列要求时你你该怎么怎么办？为了提高工作效率，了提高工作效率，不允不允许员工上班工上班时间进行行QQ聊天、聊天、MSN聊天聊天等，但需
2、要保等，但需要保证正常的正常的访问Internet，以便，以便查找找资料了解客料了解客户及市及市场信信息等。息等。公司有一台服公司有一台服务器器对外提供有关本公司的信息外提供有关本公司的信息服服务，允，允许公网用公网用户访问，但，但为了内部网了内部网络的的安全，安全，不允不允许公网用公网用户访问除信息服除信息服务器之外器之外的任何内网的任何内网节点点。4 4需求25 5访问控制列表(ACL)ACL概述基本ACL配置扩展ACL配置6 6访问访问控制列表概述控制列表概述访问控制列表（控制列表（ACL）读取第三取第三层、第四、第四层包包头信息信息根据根据预先定先定义好的好的规则对包包进行行过滤IP报
3、头TCP报头数据数据源地址源地址目的地址目的地址源源端口端口目的端口目的端口访问控制列表利用控制列表利用这4个元素个元素定定义的的规则7 7访问访问控制列表的工作原理控制列表的工作原理访问访问控制列表在接口控制列表在接口应应用的方向用的方向访问访问控制列表的控制列表的处处理理过过程程拒拒绝允允许允允许允允许到达到达访问控制控制组接口的数据包接口的数据包匹配匹配第一条第一条目的接口目的接口隐含的含的拒拒绝丢丢弃弃弃弃Y YY YY YY YY YY YN NN NN N匹配匹配下一条下一条拒拒绝拒拒绝拒拒绝匹配匹配下一条下一条8 8访问访问控制列表控制列表类类型型标标准准访问访问控制列表控制列表
4、扩扩展展访问访问控制列表控制列表命名命名访问访问控制列表控制列表定定时访问时访问控制列表控制列表9 9标标准准访问访问控制列表配置控制列表配置3-1创建建ACLRouter(config)#access-listaccess-list-numberpermit|denysource source-wildcard删除除ACLRouter(config)#noaccess-listaccess-list-number允允许数据包通数据包通过应用了用了访问控制控制列表的接口列表的接口拒拒绝数据包通数据包通过1010标标准准访问访问控制列表配置控制列表配置3-2应用用实例例Router(config
5、)#access-list1permit192.168.1.00.0.0.255Router(config)#access-list1permit192.168.2.20.0.0.0允允许许192.168.1.0/24和主机和主机192.168.2.2的流量通的流量通过过隐含的拒含的拒绝语句句Router(config)#access-list1deny0.0.0.0255.255.255.255关关键字字hostany1111HostanyHost192.168.2.2=192.168.2.20.0.0.0any=0.0.0.0255.255.255.255R1(config)#access
6、-list1deny192.168.2.20.0.0.0R1config)#access-list1permit0.0.0.0255.255.255.255与与R1(config)#access-list1denyhost192.168.2.2R1(config)#access-list1permitany相同相同1212标标准准访问访问控制列表配置控制列表配置3-3将将ACL应应用于接口用于接口Router(config-if)#ipaccess-groupaccess-list-numberin|out在接口上取消在接口上取消ACL的的应应用用Router(config-if)#noipa
7、ccess-groupaccess-list-number in|out1313标标准准访问访问控制列表配置控制列表配置实实例例1414实验实验编编号的号的标标准准IP访问访问列表。列表。【实验目的目的】掌握路由器上掌握路由器上编号的号的标准准IP访问列表列表规则及配置。及配置。【背景描述背景描述】你是一个公司的网你是一个公司的网络管理管理员，公司的，公司的经理部、理部、财务部部门和和销售部售部门分属不同的分属不同的3个网段，三部个网段，三部门之之间用路由器用路由器进行信息行信息传递，为了安全起了安全起见，公司公司领导要求要求销售部售部门不能不能对财务部部门进行行访问，但，但经理部理部可以可以
8、对财务部部门进行行访问。PC1代表代表经理部的主机，理部的主机，PC2代表代表销售部售部门的主机、的主机、PC3代表代表财务部部门的主机。的主机。1515【技技术原理原理】IPACL（IP访问控制列表或控制列表或IP访问列表）是列表）是实现对流流经路由器或交路由器或交换机的数据包根据一定的机的数据包根据一定的规则进行行过滤，从而提高网，从而提高网络可管理性和安全性。可管理性和安全性。标准准IP访问列表可以根据数据包的源列表可以根据数据包的源IP地址定地址定义规则，进行数据包的行数据包的过滤。1616IPACL基于接口基于接口进行行规则的的应用，分用，分为：入入栈应用和出用和出栈应用。用。入入栈
9、应用是指由外部用是指由外部经该接口接口进行路由器的数据行路由器的数据包包进行行过滤。出出栈应用是指路由器从用是指路由器从该接口向外接口向外转发数据数据时进行数据包的行数据包的过滤。IPACL的配置有两种方式：按照的配置有两种方式：按照编号的号的访问列表，列表，按照命名的按照命名的访问列表。列表。标准准IP访问列表列表编号范号范围是是199、13001999，扩展展IP访问列表列表编号范号范围是是100199、20002699。1717【实现实现功能】功能】实现实现网段网段间间互相互相访问访问的安全控制。的安全控制。【实验设备实验设备】RSR10路由器（两台）、路由器（两台）、V.35线缆线缆（
10、1条）、交条）、交叉叉线线（3条）条）1818【实验实验拓扑】拓扑】1919【实验实验步步骤骤】步步骤1：Router1、Router2基本配置基本配置IP地址等地址等步步骤2：路由表路由表步步骤3：访问控制列表控制列表访问控制列表控制列表应用在接口用在接口步步骤4：测试2020配置静配置静态态路由路由Router1(config)#iproute172.16.4.0255.255.255.0serial1/2Router2(config)#iproute172.16.1.0255.255.255.0serial1/2Router2(config)#iproute172.16.2.0255.2
11、55.255.0serial1/2测试测试命令：命令：showiproute。2121步步骤2配置配置标准准IP访问控制列表。控制列表。Router2(config)#access-list1permit172.16.1.00.0.0.255!允允许来自来自172.16.1.0网段的流量通网段的流量通过Router2(config)#access-list1deny172.16.2.00.0.0.255!拒拒绝来自来自172.16.2.0网段的流量通网段的流量通过验证测试：Router2#showaccess-lists1StandardIPaccesslist1includes2items:
12、deny172.16.2.0,wildcardbits0.0.0.255permit172.16.1.0,wildcardbits0.0.0.2552222步步骤骤3把把访问访问控制列表在接口下控制列表在接口下应应用。用。Router2(config)#interfacefastEthernet1/0Router2(config-if)#ipaccess-group1out!在接口下在接口下访问访问控制列表出控制列表出栈栈流量流量调调用用2323验证测试验证测试：Router2#showipinterfacefastEthernet1/02424步步骤骤4.验证测试验证测试。ping（172.
13、16.2.0网段的主机不能网段的主机不能ping通通172.16.4.0网段的主机；网段的主机；172.16.1.0网段的主机能网段的主机能ping通通172.16.4.0网段的主机）。网段的主机）。【注意事【注意事项项】1、注意在、注意在访问访问控制列表的网控制列表的网络络掩掩码码是反掩是反掩码码。2、标标准控制列表要准控制列表要应应用在尽量靠近目的地址的用在尽量靠近目的地址的接口。接口。2525【参考配置】【参考配置】Router1#showrunning-config!查看路由器看路由器1的全部配置的全部配置2626扩扩展展访问访问控制列表配置控制列表配置2-1创建建ACLRouter(
14、config)#access-listaccess-list-number permit|deny protocol source source-wildcard destination destination-wildcard operator operan 删除除ACLRouter(config)#noaccess-listaccess-list-number将将ACL应应用于接口用于接口Router(config-if)#ipaccess-groupaccess-list-numberin|out在接口上取消在接口上取消ACL的的应应用用Router(config-if)#noipacc
15、ess-groupaccess-list-numberin|out2727扩扩展展访问访问控制列表配置控制列表配置2-2应用用实例例1Router(config)#access-list101permitip192.168.1.00.0.0.255192.168.2.00.0.0.255Router(config)#access-list101denyipanyany应用用实例例2Router(config)#access-list101denytcp192.168.1.00.0.0.255host192.168.2.2eq21Router(config)#access-list101perm
16、itipanyany应用用实例例3Router(config)#access-list101denyicmp192.168.1.00.0.0.255host192.168.2.2echoRouter(config)#access-list101permitipanyany2828扩扩展展展展ACLACL的的的的编编号号号号为为100199100199，扩扩展展展展ACLACL增增增增强强了了了了标标准准准准ACLACL的功能的功能的功能的功能增增增增强强ACLACL可以基于下列参数可以基于下列参数可以基于下列参数可以基于下列参数进进行网行网行网行网络传输络传输的的的的过滤过滤pp目的地址目的地
17、址目的地址目的地址ppIPIP协议协议 可以使用可以使用可以使用可以使用协议协议的名字来的名字来的名字来的名字来设设定定定定检测检测的网的网的网的网络协议络协议或路或路或路或路由由由由协议协议，例如：，例如：，例如：，例如：ICMPICMP、TCPTCP和和和和UDPUDP等等等等等等等等ppTCP/IPTCP/IP协议协议族中的上族中的上族中的上族中的上层协议层协议 可以使用名称来表示上可以使用名称来表示上可以使用名称来表示上可以使用名称来表示上层协议层协议，例如：，例如：，例如：，例如：“ “ftp”ftp”或或或或“ “www”www” 也可以使用操作符也可以使用操作符也可以使用操作符也
18、可以使用操作符eqeq、gtgt、lt lt和和和和neq(equalto,neq(equalto,greaterthan,lessthangreaterthan,lessthan和和和和notequalto)notequalto)来来来来处处理部理部理部理部分分分分协议协议 例如：希望允例如：希望允例如：希望允例如：希望允许许除了除了除了除了httphttp之外的所有通之外的所有通之外的所有通之外的所有通讯讯，其，其，其，其语语句是句是句是句是permit tcp any any permit tcp any any neq 80neq 802929 请请复复复复习习TCPTCP和和和和UD
19、PUDP的端口号的端口号的端口号的端口号 也可以使用名称来代替端口号，例如：使用也可以使用名称来代替端口号，例如：使用也可以使用名称来代替端口号，例如：使用也可以使用名称来代替端口号，例如：使用telnettelnet来来来来代替端口号代替端口号代替端口号代替端口号2323端口号端口号协议名称名称20，21FTP23Telnet25SMTP53DNS6980TFTPWWW端口号端口号3030放置扩展ACL的正确位置在下在下在下在下图图中，需要中，需要中，需要中，需要设设定网定网定网定网络络221.23.123.0221.23.123.0中的所有中的所有中的所有中的所有节节点点点点不能不能不能不
20、能访问访问地址地址地址地址为为198.150.13.34198.150.13.34服服服服务务器器器器在哪个路由器的哪个接口上放置在哪个路由器的哪个接口上放置在哪个路由器的哪个接口上放置在哪个路由器的哪个接口上放置ACL?ACL?pp在在在在RouterCRouterC的的的的E0E0接口上放置接口上放置接口上放置接口上放置pp这这将防止将防止将防止将防止221.23.123.0221.23.123.0中的所有机器中的所有机器中的所有机器中的所有机器访问访问198.150.13.34198.150.13.34，但是他，但是他，但是他，但是他们们可以可以可以可以继续访问继续访问InternetI
21、nternet3131由于由于由于由于扩扩展展展展ACLACL可以控制目的地地址，所以可以控制目的地地址，所以可以控制目的地地址，所以可以控制目的地地址，所以应该应该放置在尽量接近数据放置在尽量接近数据放置在尽量接近数据放置在尽量接近数据发发送送送送源的路由器上。减少网源的路由器上。减少网源的路由器上。减少网源的路由器上。减少网络资络资源的浪源的浪源的浪源的浪费费。放置放置扩展展ACL的正确位置的正确位置3232Router-C(config)#access-list 100 deny ip 221.23.123.0 0.0.0.255 198.150.13.34 0.0.0.0Router-
22、C(config)#access-list 100 permit ip any anyRouter-C(config)#int e0Router-C(config-if)#ip access-group 100 in使用使用ACL3333配置配置练习PC1不能对Server0进行WWW访问3434扩展访问控制列表例如上如上图，网网络221.23.123.0中部中部门经理理使用的使用的IP地址地址为221.23.123.1,部部门经理可以理可以访问内网内网server及与内网及与内网结点通信，点通信，并并访问Internet，员工不能工不能访问server，但可以和内网其他，但可以和内网其他节点
23、通信，只允点通信，只允许员工工访问Internet的的WWW的服的服务和收和收发邮件。件。3535答案答案答案答案Access-list 100 permit ip host Access-list 100 permit ip host Access-list 100 permit ip host Access-list 100 permit ip host 221.23.123.1 any 221.23.123.1 any 221.23.123.1 any 221.23.123.1 any Access-list deny ip 221.23.123.0 0.0.255 host Acces
24、s-list deny ip 221.23.123.0 0.0.255 host Access-list deny ip 221.23.123.0 0.0.255 host Access-list deny ip 221.23.123.0 0.0.255 host 198.150.13.34198.150.13.34 Access-list permit ip 221.23.123.0 0.0.0.255 Access-list permit ip 221.23.123.0 0.0.0.255 Access-list permit ip 221.23.123.0 0.0.0.255 Acces
25、s-list permit ip 221.23.123.0 0.0.0.255 198.150.13.0 0.0.0.255198.150.13.0 0.0.0.255198.150.13.0 0.0.0.255198.150.13.0 0.0.0.255Access-list permit tcp 221.23.123.0 0.0.0.255 any eq Access-list permit tcp 221.23.123.0 0.0.0.255 any eq Access-list permit tcp 221.23.123.0 0.0.0.255 any eq Access-list p
26、ermit tcp 221.23.123.0 0.0.0.255 any eq www(www(www(www(或或或或80)80)80)80)Access-list permit tcp 221.23.123.0 0.0.0.255 any eq Access-list permit tcp 221.23.123.0 0.0.0.255 any eq Access-list permit tcp 221.23.123.0 0.0.0.255 any eq Access-list permit tcp 221.23.123.0 0.0.0.255 any eq pop3(pop3(pop3(p
27、op3(或或或或110)110)110)110)Access-list permit tcp 221.23.123.0 0.0.0.255 any eq Access-list permit tcp 221.23.123.0 0.0.0.255 any eq Access-list permit tcp 221.23.123.0 0.0.0.255 any eq Access-list permit tcp 221.23.123.0 0.0.0.255 any eq smtp(smtp(smtp(smtp(或或或或25)25)25)25)扩展访问控制列表例3636扩展访问控制列表例如上如上图图
28、，允，允许许server ping221.23.123.0server ping221.23.123.0网网络络内的内的节节点，但是不允点，但是不允许该许该网网络络内内节节点点pingpingserverserver。允。允许许其他所有其他所有访问访问。答案：答案：access-list 100 permit icmp 221.23.123.0 access-list 100 permit icmp 221.23.123.0 0.0.0.255 host 192.150.13.34 echo-reply0.0.0.255 host 192.150.13.34 echo-replyaccess-
29、list 100 deny icmp 221.23.123.0 0.0.0.255 access-list 100 deny icmp 221.23.123.0 0.0.0.255 host 192.150.13.34 echohost 192.150.13.34 echoAccess-list 100 permit ip any anyAccess-list 100 permit ip any any3737命名命名访问访问控制列表配置控制列表配置5-1创建建ACLRouter(config)#ipaccess-liststandard|extendedaccess-list-name配置配
30、置标准命名准命名ACLRouter(config-std-nacl)# Sequence-Number permit|denysourcesource-wildcard 配置配置扩展命名展命名ACLRouter(config-ext-nacl)#Sequence-Numberpermit|denyprotocol source source-wildcard destination destination-wildcard operator operan 标准命名准命名ACLACL扩展命名展命名ACLACLSequence-Number决定决定ACL语句在句在ACL列表中的位置列表中的位置38
31、38命名命名访问访问控制列表配置控制列表配置5-2标准命名准命名ACL应用用实例例查看看ACLACL配置信息配置信息Router#showaccess-listsStandardIPaccesslistcisco10permit192.168.1.120denyanyRouter(config)#ipaccess-liststandardciscoRouter(config-std-nacl)#permithost192.168.1.1Router(config-std-nacl)#denyany允允许许来自主机来自主机192.168.1.1/24192.168.1.1/24的流量通的流量通过
32、过更改更改ACL,ACL,又允又允许来自主机来自主机192.168.2.1/24192.168.2.1/24的流量通的流量通过过Router(config)#ipaccess-liststandardciscoRouter(config-std-nacl)#15permithost192.168.2.1Router#showaccess-listsStandardIPaccesslistcisco10permit192.168.1.115permit192.168.2.120denyany添加序列号添加序列号为1515的的ACLACL语句句ACLACL语句添加到了句添加到了指定的指定的ACLA
33、CL列表位置列表位置教教教教员员演示操作演示操作演示操作演示操作过过程程程程3939命名命名访问访问控制列表配置控制列表配置5-3扩展命名展命名ACL应用用实例例Router(config)#ipaccess-listextendedciscoRouter(config-ext-nacl)#denytcp192.168.1.00.0.0.255host192.168.2.2eq21Router(config-ext-nacl)#permitipanyany4040命名命名访问访问控制列表配置控制列表配置5-4删除整除整组ACLACLRouter(config)#noipaccess-lists
34、tandard|extendedaccess-list-name删除除组中中单一一ACLACL语句句noSequence-Numberno ACL语句句创建建ACLRouter(config)#ipaccess-liststandardciscoRouter(config-std-nacl)#permithost192.168.1.1Router(config-std-nacl)#endRouter#showaccess-listsStandardIPaccesslistcisco10permit192.168.1.1删除除组中中单一一ACLACL语句句Router(config-std-na
35、cl)#no10或或Router(config-std-nacl)#nopermithost192.168.1.14141命名命名访问访问控制列表配置控制列表配置5-5将将ACL应应用于接口用于接口Router(config-if)#ipaccess-groupaccess-list-name in|out在接口上取消在接口上取消ACL的的应应用用Router(config-if)#noipaccess-groupaccess-list-namein|out4242命名命名访问访问控制列表配置控制列表配置实实例例公司添加服公司添加服务器，要求如下器，要求如下192.168.1.4192.168
36、.1.7可以可以访问服服务器器192.168.1.0/24中除上述地址外都不能中除上述地址外都不能访问服服务器器其他公司网段都可以其他公司网段都可以访问服服务器器公司人公司人员调整，更改服整，更改服务器器访问权限限不允不允许192.168.1.5和和192.168.1.7主机主机访问服服务器器允允许192.168.1.10主机主机访问服服务器器4343定定义时间义时间范范围围定定义时间义时间范范围围的名称的名称Router(config)#time-rangetime-range-name指定指定该时间该时间范范围围何何时时生效生效定定义义一个一个时间时间周期周期Router(config-t
37、ime-range)#periodicdays-of-the-weekhh:mmtodays-of-the-weekhh:mm定定义义一个一个绝对时间绝对时间Router(config-time-range)#absolutestarthh:mm day month yearendhh:mm day month year参数参数days-of-the-week的取的取值取取值说明明Monday星期一星期一Tuesday星期二星期二Wednesday星期三星期三Thursday星期四星期四Friday星期五星期五Saturday星期六星期六Sunday星期日星期日daily每天每天weekday
38、s在平日在平日(指星期一至星期五指星期一至星期五)weekend周末（指星期六和星期日）周末（指星期六和星期日）4444定定时访问时访问控制列表配置控制列表配置2-1扩扩展展ACL中引入中引入时间时间范范围围Router(config)#access-listaccess-list-numberpermit|denyprotocolsource source-wildcard destination destination-wildcard operator operan time-range time-range-name将将ACL应应用于接口用于接口Router(config-if)#ip
39、access-groupaccess-list-number in|out4545定定时访问时访问控制列表配置控制列表配置2-2应用用实例例1Router(config)#time-rangemytimeRouter(config-time-range)#periodicweekdays8:30to17:30Router(config-time-range)#exitRouter(config)#access-list101permitipanyanytime-rangemytimeRouter(config)#intf0/0Router(config-if)#ipaccess-group10
40、1in应用用实例例2Router(config)#time-rangemytimeRouter(config-time-range)#absolutestart8:0010may2009end18:0020may2009Router(config-time-range)#exitRouter(config)#access-list101permitipanyanytime-rangemytimeRouter(config)#intf0/0Router(config-if)#ipaccess-group101in4646小小结结请思考思考ACL的作用是什么？的作用是什么？ACL通通过哪几个参数哪
41、几个参数过滤数据包？数据包？ACL分分为几种？几种？4747案例：案例：访问访问控制列表的控制列表的应应用用公司安全方面考公司安全方面考虑要求要求限定不同的部限定不同的部门能能访问的服的服务器器网网络管理管理员可以可以访问所有服所有服务器器网网络设备只允只允许网管区网管区IP地址可以通地址可以通过TELNET登登录只有网管能使用只有网管能使用远程桌面、程桌面、TELNET、SSH等管理服等管理服务器器所有部所有部门之之间不能互通，但可以和网管互通不能互通，但可以和网管互通公司信息安全公司信息安全员可以可以访问服服务器，不能器，不能访问Internet外网只能外网只能访问特定服特定服务器的特定服
42、器的特定服务限制限制员员工上网工上网时间为时间为工作日的工作日的8:0018:00服服务器区器区财务部部生生产部部网管区网管区核心核心层接入接入层接入路由器接入路由器InternetInternet公司网公司网络拓扑拓扑图4848访问访问控制列表的控制列表的应应用用2-2案例案例实施网施网络拓扑拓扑图F0/24F0/24F0/24F0/23F0/1F0/1F0/3F0/2SW2SW3SW1R1F0/1F0/0PC1PC2PC3服服务器器4949下次下次实验（综合合实验）5050实验环实验环境拓扑境拓扑INTERNET运运营商商RjISPS3650S1916-2F0/23F0/24F0/22F0
43、/22S1916-1F0/23F0/24F0/10F1/0S1/2S1/2F1/0VLAN10VLAN20VLAN10VLAN30FTPserver5151实验实验要求要求实验具体要求：1、S1946-1划分两个VLAN，VLAN10、VLAN20,其中F0/1-5属于VLAN10,F0/6-10属于VLAN20。2、S1916-2划分两个VLAN，VLAN10、VLAN30,其中F0/1-5属于VLAN10,F0/6-10属于VLAN30。3、S2126G-1利用两条链路接入核心交换机，采用802.3ad提高链路带宽，提供冗余链路。4、S3750和出口路由器Rj相连，采用SVI方式进行配置。5、Rj路由器和电信端路由器利用V.35直连，采用PPP链路协议进行通讯。5252实验实验要求要求实验具体要求（序）： 6、局域网内部三层交换机和路由器间利用RIPv2实现全网互通，路由器连外网配置缺省路由。7、配置动态NAPT实现局域网访问互联网。8、在全网配置安全策略p1、VLAN10的主机可以的主机可以访问VLAN20的主机，的主机，VLAN30的主机的主机不可以不可以访问VLAN20的主机。的主机。p2、VLAN30的主机不可以的主机不可以访问FTPServer5353
