《計算機網(wǎng)絡與通信》課件-項目10 路由器高級配置

學習目標知識目標：訪問控制列表知識技能目標：能夠用ACL配置簡單防火墻素質(zhì)目標：工程素質(zhì)項目考核題有網(wǎng)絡如下圖：要求在router0上配置acl，使得這個子網(wǎng)不能訪問上的web服務器（但是能夠訪問上的其他服務器，例如ftp、dns，能夠ping通上的所有電腦），能夠訪問，能夠訪問上的所有服務。要求能夠在PT上驗證：pc0和pc1上面的瀏覽器不能打開server0上的網(wǎng)頁，但是能夠打開server2上的網(wǎng)頁，ping通server2。能夠在server1上做dns服務器，使pc1能夠用名稱地址打開server2上的網(wǎng)頁。能夠連接到上的ftp服務器，能夠ping通。（或者在server0上做dns，建立一條記錄指向，在pc1上修改dns地址為，在pc1上用名稱地址可以打開server1上的網(wǎng)頁。）10.1配置訪問控制列表1.ACL概念IP的訪問控制列表的功能：在數(shù)據(jù)包通過路由器時對它們進行過濾，確定哪些可以通過路由器。典型應用：丟棄被認為是私人用途的視頻和音頻數(shù)據(jù)。允許財務等敏感部門的員工與財務服務器通信，拒絕其他主機和財務服務器通信。拒絕某些類型的垃圾郵件拒絕某些網(wǎng)段的ip（例如休息室）入方向ACL示例要提高客戶機對服務器訪問的安全性，舉一個普通ACL邏輯示例：如果數(shù)據(jù)包源地址為且是從FA0/0進入，那么丟棄它，其他的數(shù)據(jù)包可以通過。則PC0發(fā)出的IP數(shù)據(jù)包無法送到路由器右邊的網(wǎng)絡，server0和server1。這個稱為入方向的ACL。

實現(xiàn)這個策略的命令如下：Router(config)#access-list1denyhostRouter(config)#access-list1permitanyRouter(config)#interfacefastethernet0/0Router(config-if)#ipaccess-group1in――需要注意的是，由于ACL的處理邏輯相當于每個ACL結(jié)尾處隱含了一條denyall，所以要用permitany做明文允許。2.出方向的ACL假設有網(wǎng)絡如圖10.3，在Router0上使用入方向的過濾規(guī)則：過濾從FA0/0進入的源地址為的IP數(shù)據(jù)包，那么pc0發(fā)出的數(shù)據(jù)包既無法送到路由器右邊的網(wǎng)絡（server0、server1），也無法送到路由器上邊的網(wǎng)絡（server2）。如果希望pc0不能夠訪問路由器右邊的網(wǎng)絡但是能夠訪問路由器上邊的網(wǎng)絡，則router0上的過濾規(guī)則應該修改為：源地址為，出口為FA1/0的數(shù)據(jù)包過濾掉。這個就是出方向的ACL。實現(xiàn)這個出方向的過濾策略的命令如下：Router(config)#access-list1denyhostRouter(config)#access-list1permitanyRouter(config)#interfacefastethernet1/0Router(config-if)#ipaccess-group1out3.使用擴展的IPACL擴展的IPACL過濾時查看更多的域，典型的域有：源ip地址或網(wǎng)絡地址目的ip地址或網(wǎng)絡地址傳輸層協(xié)議類型（TCP或UDP）源udp或tcp端口目的udp或tcp端口――當使用標準IPACL規(guī)則時，訪問控制列表編號范圍為1～99，1300～1999。――當使用擴展IPACL規(guī)則時，訪問控制列表編號范圍為100～199，2000～2699。

ACL配置實訓2有網(wǎng)絡如下圖先在router0和router1上配置好靜態(tài)路由，使全網(wǎng)可以聯(lián)通。然后要求在router0上配置acl，使得這個子網(wǎng)不能訪問上的web服務器（但是能夠訪問上的其他服務器，例如ftp、dns，能夠ping通上的所有電腦），能夠訪問，能夠訪問上的所有服務。要求能夠在PT上驗證：pc0和pc1上面的瀏覽器不能打開server0上的網(wǎng)頁，但是能夠打開server1、server2上的網(wǎng)頁，ping通server0/1/2。在Router0上的配置命令如下：Router(config)#access-list101denytcp55hosteqwwwRouter(config)#access-list101permittcp5555range11023Router(config)#access-list101permitudp5555range11023Router(config)#access-lis