3.2 利用IP标准访问控制列表进行网络流量控制（课件）-高二《网络设备配置与管理项目式教程》同步精品课堂（电工版2023）

利用IP标准访问控制列表 进行网络流量控制 教学目标 能够在三层交换机或路由器中根据源IP地址过滤数据包； 能够根据流量控制要求在网络中选择合适的路由设备和接口配置标准访问控制列表； 能够进行标准访问控制列表准确性的检验； 能够描述标准访问控制列表的作用； 能够描述访问控制列表的基本工作过程及规则； 培养学生网络安全管理的基本素养。 工作任务 一个中小企业网络，为三个部门划分了子网，分别为生产部、管理部和财务部，对应子网分别是VLAN10、VLAN20和VLAN30。企业的核心数据保存在内网服务器SERVER1中，根据信息安全的要求，只允许管理部和财务部的计算机访问内网服务器SERVER1，不允许生产部的计算机访问内网服务器SERVER1，作为网络管理员，希望你进行适当的配置，在确保各部门计算机对网络共享资源访问的条件下，限制生产部的计算机对内网服务器SERVER1的访问。 网络拓扑 利用标准访问控制列表进行网络流量控制 操作步骤（演示） 步骤1．在三层交换机SW1上创建VLAN，将相应端口加入VLAN，并 配置交换虚拟接口（SVI）地址。 步骤2．配置路由器名称和端口IP地址。 步骤3．在三层交换机SW1、路由器RT1上配置路由。 步骤4．测试网络连通性。 步骤5．在路由器RT1的端口F1/0上配置标准IP访问控制列表。 步骤6．验证数据流量控制的有效性。 步骤7．查看访问控制列表的正确性。 操作要领 访问控制列表表项的检查与执行按自上而下的顺序进行， 并且从第一个表项开始，所以必须考虑在访问控制列表中 定义语句的次序； 路由器不对自身产生的IP数据包进行过滤； 访问控制列表最后一条是隐含的拒绝所有； 每个路由设备接口的每个方向，每种协议只能创建一个ACL； 标准访问控制列表要应用在尽量靠近目的地址的端口上。 相关知识—访问列表基本概念 IP Access-list：IP访问列表或访问控制列表，简称IP ACL。 ACL就是对经过网络设备的数据包根据一定的规则进行数据包的过滤。 ISP √ 7 相关知识—访问列表的作用 内网安全运行 访问外网的安全控制 相关知识—访问列表的作用 访问控制列表的作用： 内网布署安全策略，保证内网安全权限的资源访问； 内网访问外网时，进行安全的数据过滤； 防止常见病毒、木马、攻击对用户的破坏。 相关知识—访问列表的组成 定义访问列表的步骤 定义规则（哪些数据允许通过，哪些数据不允许通过） 将规则应用在路由器（或交换机）的接口上 访问控制列表的分类： 标准访问控制列表 扩展访问控制列表 相关知识—访问列表规则的应用 路由器应用访问列表对流经接口数据包进行控制 入栈应用（in） 经接口进入设备的数据包进行安全规则过滤 出栈应用（out） 设备从接口向外发送数据时进行安全规则过滤 一个接口在一个方向只能应用一组访问控制列表 F1/0 F1/1 IN OUT 11 相关知识—访问列表的入栈应用 N Y 是否允许 ? Y 是否应用 访问列表 ? N 查找路由表 进行选路转发 以ICMP信息通知源发送方 以ICMP信息通知源发送方 N Y 选择出口 S0 路由表中是 否存在记录 ? N Y 查看访问列表 的陈述 是否允许 ? Y 是否应用 访问列表 ? N S0 S0 相关知识—访问列表的出栈应用 单击此处编辑母版文本样式 第二级 第三级 第四级 第五级 13 相关知识—IP ACL的基本原则 一切未被允许的就是禁止的 定义访问控制列表规则时，最终的缺省规则是拒绝所有数据包通过 按规则链来进行匹配 使用源地址、目的地址、源端口、目的端口、协议、时间段进行匹配 规则匹配原则 从头到尾，自顶向下的匹配方式 匹配成功马上停止 立刻使用该规则的“允许/拒绝……” Y 拒绝 Y 是否匹配 规则条件1 ? 允许 N 拒绝 允许 是否匹配 规则条件2 ? 拒绝 是否匹配 最后一个 条件 ? Y Y N Y Y 允许 隐含拒绝 N 相关知识—访问列表多条过滤规则 15 相关知识—访问列表规则的定义 标准访问列表 根据数据包源IP地址进行规则定义 扩展访问列表 根据数据包中源IP、目的IP、源端口、目的端口、协议进行规则定义 源地址 TCP/UDP 数据 IP eg.HDLC 1-99 1300-1999 号列表 相关知识—IP标准访问列表 17 目的地址 源地址 协议 端口号 相关知识—IP扩展访问列表 TCP/UDP 数据 IP eg.HDLC 100-199 2000-2699 号列表 18 0 表示检查相应的地址比特 1 表示不检查相应的地址比特 0 0 1 1 1 1 1 1 128 64 32 16