3.3 利用IP扩展访问控制列表实现网络应用服务访问控制（课件）-高二《网络设备配置与管理项目式教程》同步精品课堂（电工版2023）

利用IP扩展访问控制列表实现网络应用服务访问控制 教学目标 能够在三层设备中利用扩展访问控制列表对网络应用服务进行访问控制； 能够根据访问控制要求在网络中选择最佳的路由设备和接口配置扩展访问控制列表； 能够进行扩展访问控制列表准确性的检验； 能够描述扩展访问控制列表的作用和基本规则； 能够按照网络安全管理的基本规程进行操作。 工作任务 一个中小企业网络，为三个部门划分了子网，分别为生产部、管理部和财务部，对应子网分别是VLAN10、VLAN20和VLAN30。企业内网服务器SERVER1中运行了WEB服务器、DNS服务器和FTP服务器等服务，其中WEB服务和DNS服务是面向内网所有用户的，FTP服务器保存了企业的核心数据，根据信息安全的要求，只允许管理部和财务部的计算机能够访问内网服务器SERVER1的FTP服务器，不允许生产部的计算机访问内网服务器SERVER1的FTP服务器，作为网络管理员，希望你进行适当的配置，在确保各部门计算机对网络共享资源访问的条件下，限制生产部的计算机对内网服务器SERVER1上FTP服务器的访问，生产部对内网服务器SERVER1的其它服务器的访问不受限制。 网络拓扑 利用扩展访问控制列表进行网络应用服务访问控制 操作步骤（演示） 步骤1．在三层交换机SW1上创建VLAN，将相应端口加入 VLAN，并配置交换虚拟接口（SVI）地址。 步骤2．配置路由器名称和端口IP地址。 步骤3．在三层交换机SW1、路由器RT1上配置路由。 步骤4．测试网络连通性。 步骤5．在三层交换机SW1的虚拟接口VLAN 10的进入方向 配置扩展IP访问控制列表 步骤6．验证访问控制的有效性 步骤7．查看访问控制列表的正确性 操作要领 扩展访问控制列表应尽量放置在接近数据流源的路由设备端口，以 减少被过滤数据对网络资源的占用； 标准访问控制列表应尽量放置在接近数据流目的地的路由设备端 口，以减小标准访问控制列表对被过滤源IP地址对应主机对网络其 它资源的访问影响。 访问控制列表中IP地址后面是通配符掩码（Wildcard），通配符掩 码也是32位，与子网掩码的含义不同，通配符掩码中的0表示比较 IP地址时，该位必须匹配；1表示比较时，该位可以忽略，不进行 比较。 相关知识—访问列表规则的定义 标准访问列表 根据数据包源IP地址进行规则定义 扩展访问列表 根据数据包中源IP、目的IP、源端口、目的端口、协议进行规则定义 源地址 TCP/UDP 数据 IP eg.HDLC 1-99 1300-1999 号列表 相关知识—IP标准访问列表 8 目的地址 源地址 协议 端口号 相关知识—IP扩展访问列表 TCP/UDP 数据 IP eg.HDLC 100-199 2000-2699 号列表 9 相关知识—IP扩展访问列表的配置 1.定义扩展的ACL 编号的扩展ACL Router(config)#access-list <100-199> { permit /deny } 协议 源地址 反掩码 [源端口] 目的地址 反掩码 [ 目的端口 ] 命名的扩展ACL switch(config)#ip access-list extended {name} switch(config-exd-nacl) { permit /deny } 协议 源地址 反掩码[源端口] 目的地址 反掩码 [ 目的端口 ] 2.应用ACL到接口 Router(config-if)#ip access-group <100-199> { in | out } 10 相关知识—IP扩展访问列表配置实例(一) 创建一条扩展ACL 该ACL有一条ACE，用于允许指定网络（192.168.x..x）的所有主机以HTTP访问服务器172.168.12.3，但拒绝其它所有主机使用网络 Router (config)# access-list 103 permit tcp 192.168.0.0 0.0.255.255 host 172.168.12.3 eq www Router # show access-lists 103 11 　　 access-list 115 deny udp any any eq 69 　　access-list 115 deny tcp any any eq 135 　　access-list 115 deny udp any any eq 135 　　access-list 115 deny udp any any eq 137 　　access-list 11