路由与交换型网络基础与实践教程_第七章

图7.3 标准访问控制列表示例拓扑
• • • • • • • • •
（1）交换机的基本配置 划分VLAN100与VLAN200，并且开启switchA的三层交换功能。主要配置内 容如下： // switchB上划分VLAN100与VLAN200，并且将PC1与PC2分别划分进VLAN1 swithB(config)#vlan 100 swithB(config-vlan)#exit swithB(config)#vlan 200 swithB(config-vlan)#exit swithB(config)#int range fa0/2 swithB(config-if)#switchport access vlan 100
•
（3）结果测试
•
• • • • • • • • • • •
首先在pc1上执行ping命令，测试到pc2的连通性，请求数据包被ACL阻止，执行结果如 下所示：
Pc1#ping 192.168.200.2 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 192.168.200.2, timeout is 2 seconds: ..... Success rate is 0 percent (0/5) 随后在pc1上执行ping命令测试到switchA的连通性，连通正常，结果如下所示： Pc1#ping 192.168.200.1 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 192.168.200.1, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
• 2. 访问控制列表的分类 （1）标准访问控制列表 标准的IP访问控制列表，只检查被路由的数据包的源地址，其结果是 基于源网络/子网/主机IP地址来决定是允许还是拒绝数据包。 标准访问控制列表的基本语法为： access-list standard <access-list-number> [ permit/deny]<source-address> [wildcardmask] 其中： 1) <access-list-number>标识条目所属的列表，它是一个1-99的数字标识； 2) permit/deny指明该条目是允许还是阻塞指定的地址； 3) source-address标识源IP地址； 4) wildcardmask反向掩码标识哪些地址需进行匹配，默认反向掩码是 0.0.0.0(匹配所有)。如果反向掩码为：0.0.0.255，则表示匹配的源地址 掩码为255.255.255.0。
• （2）扩展访问控制列表 扩展的IP访问控制列表，对数据包的源地址与目标地址均进行检查,它们 也能够检查特定的协议、端口号及其他参数。 扩展访问控制列表基本语法： access-list <access-list-number> <permit/deny> [protocol] source-address source-wildcard [ operatorport] destination-address destination-wildcard [oper-ator port] [established] [log] 其中： 1) <access-list-number>使用在100—199之间的一个数字标识； 2) permit/deny指明该条目是允许还是阻塞指定的地址； 3) protocol可以是IP、TCP、UDP、ICMP、GRE或IGRP； 4) source-address、source-wildcard、destination-address、destinationwildcard代表源/目标地址以及掩码； 5) [operator port]可以是lt(小于)、gt(大于)、 eq(等于)、 neq(不等于)加上一 个端口号； 6) established只用于TCP访问控制，该参数只影响TCP连接三次握手中的第 一次，ACL会对TCP报文中的ACK或RST位进行检查，如果ACK或RST 位被置位，则表示数据包是正在进行的会话的一部分，否则是正在进行 的连接会话。
• swithB#conf t
• • • • • • • • •
//将fa0/1接口链路配置成trunk链路，封装协议为IEEE802.1q标准 swithB(config)#int fa0/0 swithB(config-if)#switchport trunk encapsulation dot1q swithB(config-if)#switchport mode trunk swithB(config-if)#switchport trunk allowed vlan all swithB(config-if)#end swithB#write Building configuration... [OK]
•
• • • • • • •
%LINEPROTO-5-UPDOWN: Line protocol on Interface Vlan200, changed state to up
switchA(config-if)#ip address 192.168.200.2 255.255.255.0 switchA(config-if)#exit switchA(config)#exit %SYS-5-CONFIG_I: Configured from console by console switchA#write Building configuration... [OK]
• 例7.1 标准访问控制列表配置示例（网络拓扑如图 7.3所示）
两台交换机switchA为三层交换机，网络内共划分 了两个VLAN，分别为VLAN100与VLAN200，其 中PC1属于VLAN100，PC2属于VLAN200。两台 交换机通过trunk端口fa0/1相连，使得VLAN100与 VLAN200可以通信。在swithcB配置标准访问控制 列表，使得PC1与PC2不能通信，但PC1能访问 switchA。
（3）基于名称的访问控制列表 不管是标准访问控制列表还是扩展访问控制列表都有一个 弊端，那就是当设置好ACL的规则后其中的某条需要修改， 只能将全部ACL信息都删除，也就是说修改一条或删除一 条都会影响到整个ACL列表。这一个缺点为网络管理人员 带来了繁重的负担，所以可以用基于名称的访问控制列表 来解决这个问题。 基于名称的访问控制列表的格式： ip access-list [standard/extended] <acl-list-name> 当建立基于名称的访问控制列表后，就可以添加或者修改 访问控制规则。 （4）基于时间的访问控制列表 基于时间的访问控制列表在继承了扩展访问控制列表的基 础上，引入了时间机制，可以在定制的时间段使扩展访问 控制列表生效。
– 7.1.1 访问控制列表的概念及工作原理
• 1. ACL工作原理
是 选择接口 数据包
可路由 数据包 否
是
路由表 项目比较 否 访问控制列表 是 否
执行ACL
允许
Hale Waihona Puke 是否丢弃图7.1 访问控制列表工作原理
是 首条匹配
否
下条匹配
是
否 是 末条匹配 允许 否 否 丢弃 是 至输出接口
图7.2 访问控制列表表项匹配原理
•
• • •
swithB(config-if)#exit
swithB(config)#int fa0/3 swithB(config-if)#switchport access vlan 200 swithB(config-if)#exit
•
•
swithB(config)#exit
%SYS-5-CONFIG_I: Configured from console by console
•
switchA(config-if)#ip address 192.168.100.1 255.255.255.0
•
• • •
switchA(config-if)#no shu
switchA(config-if)#exit switchA(config)#int vlan200 %LINK-5-CHANGED: Interface Vlan200, changed state to up
• （2）配置标准访问控制列表 • switchB#conf t • Enter configuration commands, one per line. End with CNTL/Z. • switchB(config)#ip access-list standard test // 定义一个名称标准访问控 制列表test • switchB(config-std-nacl)#deny host 192.168.200.2 // 第一条拒绝pc2数据 源 • // 第二条允许所有访问，因为默认最后一条为拒绝所有访问， • // 如果无此条，将拒绝所有访问 • switchB(config-std-nacl)#permit any • switchB(config-std-nacl)#exit • switchB(config)#int f0/1 • switchB(config-if)#ip access-group test in • switchB(config-if)#end • switchB# • 01:04:22: %SYS-5-CONFIG_I: Configured from console by console
• switchA(config)#int fa0/1
• • • • • • • • • • • • • //将fa0/1接口链路配置成trunk链路，封装协议为IEEE802.1q标准 switchA(config-if)#switchport trunk encapsulation dot1q switchA(config-if)#switchport mode trunk switchA(config-if)#switchport trunk allowed vlan all switchA(config-if)#exit //switchA上划分VLAN100与VLAN200 switchA(config)#vlan 100 switchA(config-vlan)#exit switchA(config)#vlan 200 switchA(config-vlan)#exit switchA(config)#int vlan100 %LINK-5-CHANGED: Interface Vlan100, changed state to up %LINEPROTO-5-UPDOWN: Line protocol on Interface Vlan100, changed state to