《計(jì)算機(jī)網(wǎng)絡(luò)與通信》課件-項(xiàng)目10 路由器高級(jí)配置

學(xué)習(xí)目標(biāo)知識(shí)目標(biāo)：訪問控制列表知識(shí)技能目標(biāo)：能夠用ACL配置簡(jiǎn)單防火墻素質(zhì)目標(biāo)：工程素質(zhì)項(xiàng)目考核題有網(wǎng)絡(luò)如下圖：要求在router0上配置acl，使得這個(gè)子網(wǎng)不能訪問上的web服務(wù)器（但是能夠訪問上的其他服務(wù)器，例如ftp、dns，能夠ping通上的所有電腦），能夠訪問，能夠訪問上的所有服務(wù)。要求能夠在PT上驗(yàn)證：pc0和pc1上面的瀏覽器不能打開server0上的網(wǎng)頁，但是能夠打開server2上的網(wǎng)頁，ping通server2。能夠在server1上做dns服務(wù)器，使pc1能夠用名稱地址打開server2上的網(wǎng)頁。能夠連接到上的ftp服務(wù)器，能夠ping通。（或者在server0上做dns，建立一條記錄指向，在pc1上修改dns地址為，在pc1上用名稱地址可以打開server1上的網(wǎng)頁。）10.1配置訪問控制列表1.ACL概念I(lǐng)P的訪問控制列表的功能：在數(shù)據(jù)包通過路由器時(shí)對(duì)它們進(jìn)行過濾，確定哪些可以通過路由器。典型應(yīng)用：丟棄被認(rèn)為是私人用途的視頻和音頻數(shù)據(jù)。允許財(cái)務(wù)等敏感部門的員工與財(cái)務(wù)服務(wù)器通信，拒絕其他主機(jī)和財(cái)務(wù)服務(wù)器通信。拒絕某些類型的垃圾郵件拒絕某些網(wǎng)段的ip（例如休息室）入方向ACL示例要提高客戶機(jī)對(duì)服務(wù)器訪問的安全性，舉一個(gè)普通ACL邏輯示例：如果數(shù)據(jù)包源地址為且是從FA0/0進(jìn)入，那么丟棄它，其他的數(shù)據(jù)包可以通過。則PC0發(fā)出的IP數(shù)據(jù)包無法送到路由器右邊的網(wǎng)絡(luò)，server0和server1。這個(gè)稱為入方向的ACL。

實(shí)現(xiàn)這個(gè)策略的命令如下：Router(config)#access-list1denyhostRouter(config)#access-list1permitanyRouter(config)#interfacefastethernet0/0Router(config-if)#ipaccess-group1in――需要注意的是，由于ACL的處理邏輯相當(dāng)于每個(gè)ACL結(jié)尾處隱含了一條denyall，所以要用permitany做明文允許。2.出方向的ACL假設(shè)有網(wǎng)絡(luò)如圖10.3，在Router0上使用入方向的過濾規(guī)則：過濾從FA0/0進(jìn)入的源地址為的IP數(shù)據(jù)包，那么pc0發(fā)出的數(shù)據(jù)包既無法送到路由器右邊的網(wǎng)絡(luò)（server0、server1），也無法送到路由器上邊的網(wǎng)絡(luò)（server2）。如果希望pc0不能夠訪問路由器右邊的網(wǎng)絡(luò)但是能夠訪問路由器上邊的網(wǎng)絡(luò)，則router0上的過濾規(guī)則應(yīng)該修改為：源地址為，出口為FA1/0的數(shù)據(jù)包過濾掉。這個(gè)就是出方向的ACL。實(shí)現(xiàn)這個(gè)出方向的過濾策略的命令如下：Router(config)#access-list1denyhostRouter(config)#access-list1permitanyRouter(config)#interfacefastethernet1/0Router(config-if)#ipaccess-group1out3.使用擴(kuò)展的IPACL擴(kuò)展的IPACL過濾時(shí)查看更多的域，典型的域有：源ip地址或網(wǎng)絡(luò)地址目的ip地址或網(wǎng)絡(luò)地址傳輸層協(xié)議類型（TCP或UDP）源udp或tcp端口目的udp或tcp端口――當(dāng)使用標(biāo)準(zhǔn)IPACL規(guī)則時(shí)，訪問控制列表編號(hào)范圍為1～99，1300～1999。――當(dāng)使用擴(kuò)展IPACL規(guī)則時(shí)，訪問控制列表編號(hào)范圍為100～199，2000～2699。

ACL配置實(shí)訓(xùn)2有網(wǎng)絡(luò)如下圖先在router0和router1上配置好靜態(tài)路由，使全網(wǎng)可以聯(lián)通。然后要求在router0上配置acl，使得這個(gè)子網(wǎng)不能訪問上的web服務(wù)器（但是能夠訪問上的其他服務(wù)器，例如ftp、dns，能夠ping通上的所有電腦），能夠訪問，能夠訪問上的所有服務(wù)。要求能夠在PT上驗(yàn)證：pc0和pc1上面的瀏覽器不能打開server0上的網(wǎng)頁，但是能夠打開server1、server2上的網(wǎng)頁，ping通server0/1/2。在Router0上的配置命令如下：Router(config)#access-list101denytcp55hosteqwwwRouter(config)#access-list101permittcp5555range11023Router(config)#access-list101permitudp5555range11023Router(config)#access-lis