《路由交換技術(shù)》課件 項目11 部署ACL限制網(wǎng)絡(luò)訪問范圍

《路由交換技術(shù)與實踐》工業(yè)和信息化“十三五”高職高專人才培養(yǎng)規(guī)劃教材項目11部署ACL限制網(wǎng)絡(luò)訪問范圍人民郵電出版社知識梳理用戶需求方案設(shè)計項目實施拓展訓(xùn)練一、用戶需求某學(xué)校網(wǎng)絡(luò)拓?fù)鋱D如圖所示，計算機(jī)PC1位于辦公網(wǎng)絡(luò)，計算機(jī)PC2位于食堂網(wǎng)絡(luò)，計算機(jī)PC3位于學(xué)生網(wǎng)絡(luò)，怎樣實現(xiàn)學(xué)生網(wǎng)絡(luò)中的計算機(jī)無法訪問辦公網(wǎng)絡(luò)？二、知識梳理ACL的概念A(yù)CL是一種路由器配置腳本，它根據(jù)從報頭中發(fā)現(xiàn)的條件來控制路由器允許還是拒絕報文通過，在控制進(jìn)出網(wǎng)絡(luò)的流量方面非常有用。ACL的用途流量過濾流量分類允許或拒絕對特定網(wǎng)絡(luò)服務(wù)的訪問二、知識梳理ACL的工作原理經(jīng)過關(guān)聯(lián)有ACL的接口時，每個數(shù)據(jù)包都會與ACL中的語句從第一條開始一條一條進(jìn)行比對比，以便發(fā)現(xiàn)符合條件的數(shù)據(jù)包。入站ACL的工作原理啟用了入站ACL的接口，如果有數(shù)據(jù)包傳入，由入站ACL進(jìn)行處理，從上到下逐條對比ACL語句中的條件。當(dāng)數(shù)據(jù)包匹配到ACL的某條語句時，如果ACL的操作是permit，數(shù)據(jù)包會被允許，通過查找路由表路由器會依據(jù)路由表把數(shù)據(jù)包轉(zhuǎn)發(fā)出去；如果ACL的操作是deny，數(shù)據(jù)包會被丟棄。因為ACL的最后一條語句是隱式拒絕所有語句，所以如果匹配不到ACL的語句，數(shù)據(jù)包會被丟棄。二、知識梳理ACL的類型標(biāo)準(zhǔn)ACL根據(jù)源IP地址過濾數(shù)據(jù)包。擴(kuò)展ACL擴(kuò)展ACL根據(jù)多種屬性（例如：協(xié)議類型、源IP地址、目的IP地址、源TCP或UDP端口號及目的TCP或UDP端口號）過濾數(shù)據(jù)包，并可依據(jù)協(xié)議類型信息進(jìn)行更為精確的控制。二、知識梳理通配符掩碼通配符掩碼是32位二進(jìn)制數(shù)字。通配符掩碼使用二進(jìn)制1和0過濾單個IP地址或一組IP地址，用于確定應(yīng)該為地址匹配多少位IP源或目的地址。

通配符掩碼位0表示精確匹配地址中對應(yīng)位的值；通配符掩碼位1表示忽略地址中對應(yīng)位的值。通配符掩碼關(guān)鍵字通配符掩碼關(guān)鍵字host和any可以用來標(biāo)識最常用的通配符掩碼。

host關(guān)鍵字可替代0.0.0.0掩碼

any關(guān)鍵字可替代IP地址和255.255.255.255掩碼二、知識梳理ACL創(chuàng)建原則

1.每種協(xié)議一個ACL2.每個方向一個ACL3.每個接口一個ACL標(biāo)準(zhǔn)ACL的放置位置因為標(biāo)準(zhǔn)ACL不會指定目的地址，所以其放置位置應(yīng)該盡可能靠近目的地。二、知識梳理ACL的編輯使用文本編輯器使用文本編輯器（如：Microsoft記事本）可以創(chuàng)建或編輯ACL，然后再將ACL粘貼到路由器中。使用序號使用showaccess-lists命令可以顯示當(dāng)前ACL信息，輸出的每條ACL語句都會顯示序號（在輸入訪問控制列表語句時，會自動分配序列號），然后輸入用于配置命名ACL的ipaccess-listsstandard命令。如果修改的是編號ACL編號，將ACL的編號用作ACL的名稱；如果是命名ACL命名，可直接寫ACL的名稱。把需要修改的語句刪除，然后添加新語句，序號可以控制語句添加的位置。二、知識梳理配置命令配置標(biāo)準(zhǔn)編號ACLRouter(config)#access-listaccess-list-number{deny|permit|remark}source[source-wildcard][log]access-list-number：ACL的編號。這是一個十進(jìn)制數(shù)，適用于標(biāo)準(zhǔn)ACL的編號值在1到99或1300到1999之間。deny：匹配條件時拒絕訪問。permit：匹配條件時允許訪問。remark：在IPACL中添加備注，增強(qiáng)列表的可讀性；source：發(fā)送的源數(shù)據(jù)包的網(wǎng)絡(luò)地址或主機(jī)地址。source-wildcard：可選參數(shù)，對源應(yīng)用的通配符掩碼。log：可選參數(shù)，對匹配條目的數(shù)據(jù)包生成信息性日志消息。該消息隨后將發(fā)送到控制臺，內(nèi)容包括ACL編號、數(shù)據(jù)包是被允許還是被拒絕、源地址以及數(shù)據(jù)包數(shù)目。此消息在出現(xiàn)與條件匹配的第一個數(shù)據(jù)包時生成，隨后每五分鐘生成一次，其中會包含過去的五分鐘內(nèi)被允許或被拒絕的數(shù)據(jù)包的數(shù)量。二、知識梳理配置命令配置標(biāo)準(zhǔn)命名ACLRouter(config)#ipaccess-liststandardnameRouter(config-std-nacl)#{deny|permit|remark}source[source-wildcard][log]在接口應(yīng)用ACLRouter(config)#interfacetypenumberRouter(config-if)#ipaccess-group{access-list-number|name}{in|out}二、知識梳理配置命令查看ACLRouter#showaccess-lists查看接口的配置Router#showipinterface清除ACL的統(tǒng)計信息Router#clearaccess-listcounters[access-list-number|name]三、方案設(shè)計網(wǎng)絡(luò)拓?fù)鋱D中，要實現(xiàn)學(xué)生網(wǎng)絡(luò)中的計算機(jī)無法訪問辦公網(wǎng)絡(luò)，可以采用標(biāo)準(zhǔn)ACL拒絕來自學(xué)生網(wǎng)絡(luò)中的數(shù)據(jù)。標(biāo)準(zhǔn)ACL依據(jù)數(shù)據(jù)包的源地址進(jìn)行控制，配置ACL語句時源地址要用學(xué)生網(wǎng)絡(luò)的網(wǎng)絡(luò)地址和通配符掩碼。標(biāo)準(zhǔn)ACL的放置位置需要盡量靠近目的地，所以，ACL要在路由器R1上創(chuàng)建，在路由器R1的f0/0接口上應(yīng)用。四、項目實施標(biāo)準(zhǔn)編號ACL的配置

網(wǎng)絡(luò)拓?fù)鋱D如圖所示，計算機(jī)PC1位于辦公網(wǎng)絡(luò)，計算機(jī)PC2位于食堂網(wǎng)絡(luò)，計算機(jī)PC3位于學(xué)生網(wǎng)絡(luò)，要求完成RIPv2和標(biāo)準(zhǔn)編號ACL的配置，實現(xiàn)學(xué)生網(wǎng)絡(luò)中的計算機(jī)無法訪問辦公網(wǎng)絡(luò)。四、項目實施標(biāo)準(zhǔn)命名ACL的配置

網(wǎng)絡(luò)拓?fù)鋱D如圖所示，計算機(jī)PC1位于辦公網(wǎng)絡(luò)，計算機(jī)PC2位于食堂網(wǎng)絡(luò)，計算機(jī)PC3和PC4位于學(xué)生網(wǎng)絡(luò)，要求完成標(biāo)準(zhǔn)命名ACL的配置，實現(xiàn)