《工業(yè)網(wǎng)絡(luò)技術(shù)與應(yīng)用（微課版）》-教案 第16次 1、訪問(wèn)控制列表ACL概述2、第3層工業(yè)交換機(jī)訪問(wèn)控制列表配置

第次課程教學(xué)方案?jìng)湔n時(shí)間備課教師教學(xué)時(shí)間年月日教學(xué)地點(diǎn)周次課時(shí)數(shù)4教學(xué)內(nèi)容（章、節(jié)）模塊/單元第8章工業(yè)網(wǎng)絡(luò)安全技術(shù)（1）1、訪問(wèn)控制列表ACL概述2、第3層工業(yè)交換機(jī)訪問(wèn)控制列表配置教學(xué)目標(biāo)和要求1.理解訪問(wèn)控制列表2.掌握基于MAC地址的訪問(wèn)控制列表配置方法3.掌握基于IP的訪問(wèn)控制列表配置方法教學(xué)重點(diǎn)訪問(wèn)控制列表的工作原理教學(xué)難點(diǎn)基于IP的訪問(wèn)控制列表配置教學(xué)方法講授法、直觀演示法、實(shí)驗(yàn)法、小組討論法等使用媒體資源√紙質(zhì)材料√多媒體課件√網(wǎng)絡(luò)資源□其他資源：使用教具、設(shè)備、設(shè)施等多媒體教學(xué)設(shè)備作業(yè)練習(xí)完成電子版實(shí)訓(xùn)報(bào)告課后記

教學(xué)內(nèi)容（板書(shū)）教學(xué)步驟、方法

及學(xué)生活動(dòng)一、相關(guān)知識(shí)介紹1、ACL概述訪問(wèn)控制列表（AccessControlList，ACL）是包過(guò)濾技術(shù)的核心內(nèi)容，通過(guò)獲取IP數(shù)據(jù)包的包頭信息，包括IP層所承載的上層協(xié)議的協(xié)議號(hào)，數(shù)據(jù)包的源地址、目的地址、源端口號(hào)和目的端口號(hào)等，然后與設(shè)定的規(guī)則進(jìn)行比較，根據(jù)比較的結(jié)果對(duì)數(shù)據(jù)包進(jìn)行處理，合法的允許通過(guò)，不合法的阻截并丟棄，以達(dá)到提高網(wǎng)絡(luò)安全性能的目的。(1)入口ACL傳入數(shù)據(jù)包經(jīng)過(guò)處理之后才會(huì)被路由到出站接口。因?yàn)槿绻麛?shù)據(jù)包被丟棄，就節(jié)省了執(zhí)行路由查找的開(kāi)銷(xiāo)，所以入口ACL非常高效。如果ACL允許該數(shù)據(jù)包，則會(huì)處理該數(shù)據(jù)包以進(jìn)行路由。當(dāng)與入接口連接的網(wǎng)絡(luò)是需要檢測(cè)的數(shù)據(jù)包的唯一來(lái)源時(shí)，適合使用入口ACL來(lái)過(guò)濾數(shù)據(jù)包。(2)出口ACL傳入數(shù)據(jù)包路由到出接口后，由出口ACL進(jìn)行處理。在來(lái)自多個(gè)入接口的數(shù)據(jù)包通過(guò)同一出接口之前，對(duì)數(shù)據(jù)包應(yīng)用相同過(guò)濾器時(shí)，最適合使用出站AC。2、ACL分類(lèi)根據(jù)工作方式的不同，訪問(wèn)控制列表分為基于MAC地址的ACL、基于IP地址的ACL和管理ACL三種類(lèi)型。(1).基于MAC地址的ACL當(dāng)數(shù)據(jù)通過(guò)設(shè)置ACL規(guī)則的網(wǎng)絡(luò)設(shè)備時(shí)，網(wǎng)絡(luò)設(shè)備會(huì)查看設(shè)備內(nèi)的ACL規(guī)則表，判斷此數(shù)據(jù)攜帶的MAC地址是否能通過(guò)ACL規(guī)則由指定接口轉(zhuǎn)發(fā)。如圖2-3所示，在創(chuàng)建規(guī)則時(shí)明確定義源MAC地址和目的MAC地址，并將規(guī)則應(yīng)用在入端口或出端口上(2).基于IP地址的ACL當(dāng)數(shù)據(jù)通過(guò)設(shè)置ACL規(guī)則的網(wǎng)絡(luò)設(shè)備時(shí)，網(wǎng)絡(luò)設(shè)備會(huì)查看設(shè)備內(nèi)的ACL規(guī)則表，判斷此數(shù)據(jù)攜帶的IP地址是否能通過(guò)ACL規(guī)則由指定接口轉(zhuǎn)發(fā)。如圖2-4所示，定義規(guī)則時(shí)使用的是第3層的源IP地址和目的IP地址。(3).管理ACL要指定具有哪個(gè)IP地址的工作站允許訪問(wèn)設(shè)備，必須組態(tài)相應(yīng)的IP地址或一個(gè)地址范圍，這就需要用到管理ACL。理論部分以教師講授為主要形式學(xué)生可以提問(wèn)，由教師進(jìn)行進(jìn)一步的解釋和說(shuō)明。。二、實(shí)驗(yàn)講解、演示及分組練習(xí)實(shí)訓(xùn)任務(wù)1基于MAC地址的訪問(wèn)控制列表配置首先完成所有設(shè)備IP地址配置，在此基礎(chǔ)上在第3層交換機(jī)XM408上配置基于MAC地址訪問(wèn)控制列表，實(shí)現(xiàn)如下訪問(wèn)控制：（1）只有S71200-A能通過(guò)P3端口訪問(wèn)上位機(jī)，具有其他MAC地址的設(shè)備均不能通過(guò)P3端口訪問(wèn)上位機(jī)；（2）只有S71200-B能通過(guò)P5端口訪問(wèn)上位機(jī)，具有其他MAC地址的設(shè)備均不能通過(guò)P5端口訪問(wèn)上位機(jī)。1.完成各設(shè)備IP地址配置2.在三層交換機(jī)XM-408上配置MACACL在左側(cè)選擇“Security”項(xiàng)目下的“MACACL”，進(jìn)入“MACAccessControlListConfiguration”界面，雙擊三次“Create”按鈕，產(chǎn)生三條默認(rèn)規(guī)則。對(duì)這三條規(guī)則修改后，點(diǎn)擊“SetValues”按鈕規(guī)則1： SourceMAC：源MAC地址8c:f3:19:10:23:9f是S71200-A的MAC地址；Dest.MAC： 目的MAC地址50-7B-9D-E9-CF-12是上位機(jī)的MAC地址。規(guī)則2： SourceMAC：源MAC地址8c:f3:19:10:26:53是S71200-B的MAC地址；Dest.MAC：目的MAC地址也是上位機(jī)的MAC地址。規(guī)則3： SourceMAC：源MAC地址00-00-00-00-00-00b代表的是任意MAC地址；Dest.MAC：目的MAC地址也是上位機(jī)的MAC地址?！癆ction”欄下拉列表中的“Forward”表示：如果報(bào)文滿足ACL規(guī)則就允許報(bào)文通過(guò)；“Discard”表示：如果報(bào)文滿足ACL規(guī)則就不允許報(bào)文通過(guò)。教師布置實(shí)驗(yàn)任務(wù)，講解實(shí)驗(yàn)拓?fù)浣Y(jié)構(gòu)及本實(shí)驗(yàn)的具體內(nèi)容和要求教師邊講解邊演示實(shí)驗(yàn)操作。學(xué)生可以提問(wèn)，由教師進(jìn)行進(jìn)一步的解釋和說(shuō)明。學(xué)生分組進(jìn)行自主練習(xí)3.在P3和P5入口方向上應(yīng)用MACACL規(guī)則4.基于MAC地址的訪問(wèn)控制列表測(cè)試步驟1正常通訊測(cè)試在上位機(jī)輸入指令“ping1”和“ping2”，測(cè)試結(jié)果表明：上位機(jī)能夠訪問(wèn)到兩個(gè)S71200PLC，且兩個(gè)S71200PLC均能通過(guò)設(shè)置的MACACL規(guī)則將數(shù)據(jù)包返回給上位機(jī)，說(shuō)明相關(guān)的MAC地址和允許規(guī)則是匹配的。步驟2改變P3和P5端口連接設(shè)備測(cè)試將S71200-A和S71200-B的連接端口互換，分別輸入指令“ping1”和“ping2”，測(cè)試結(jié)果表明：由于P3和P5“入口”規(guī)則允許的源MAC地址發(fā)生了改變，P3端口禁止從S71200-B發(fā)出的數(shù)據(jù)包通過(guò)P3端口傳輸?shù)缴衔粰C(jī)，而P5端口也禁止從S71200-A發(fā)出的數(shù)據(jù)包通過(guò)P5端口傳輸?shù)缴衔粰C(jī)。教師邊講解邊演示實(shí)驗(yàn)操作。學(xué)生可以提問(wèn)，由教師進(jìn)行進(jìn)一步的解釋和說(shuō)明。學(xué)生分組進(jìn)行自主練習(xí)任務(wù)2、基于IP地址的訪問(wèn)控制列表配置首先完成3個(gè)交換機(jī)和PC的IP地址配置。在此基礎(chǔ)上在第3層交換機(jī)XM408上配置訪問(wèn)控制列表ACL實(shí)現(xiàn)如下訪問(wèn)控制：（1）PC通過(guò)XM408的P1端口只能與XB208_1設(shè)備通信；（2）PC通過(guò)XM408的P2端口只能與XB208_2設(shè)備通信步驟1通過(guò)瀏覽器訪問(wèn)第3層交換機(jī)XM408（），登錄后進(jìn)入其配置界面。步驟2配置IPACL規(guī)則：在左側(cè)選擇Security->IPACL，在RulesConfiguration標(biāo)簽下完成ACL規(guī)則配置，單擊Create依次創(chuàng)建4條規(guī)則，并設(shè)置規(guī)則相應(yīng)的參數(shù)。步驟3將IPACL應(yīng)用在P1端口上。基于IP地址的訪問(wèn)控制列表測(cè)試步驟1將PC插入P1端口：能與0的設(shè)備通信（滿足規(guī)則1）教師布置實(shí)驗(yàn)任務(wù)，講解實(shí)驗(yàn)拓?fù)浣Y(jié)構(gòu)及本實(shí)驗(yàn)的具體內(nèi)容和要求教師邊講解邊演示實(shí)驗(yàn)操作。學(xué)生可以提問(wèn)，由教師進(jìn)行進(jìn)一步的解釋和說(shuō)明。學(xué)生分組進(jìn)行自主練習(xí)步驟2將PC插入P1口：不能與0的設(shè)備通信（滿足規(guī)則4）步驟3將PC插入P2口：不能與0的設(shè)備通信（滿足規(guī)則3）步驟4將PC插入P2口：能與0的設(shè)備通信（滿足規(guī)則2）（1）三層工業(yè)交換機(jī)復(fù)位；