思科网络技术学院教程(第9章 访问列表)PPT课件
思科第四学期第九章
1 网络公司需要为一家零售商客户升级网络，目前已完成了安装工作。
所有现场测试成功完成，且客户IT 人员认可了测试结果。
零售店经理联系该网络公司，称要等到最近购买的一个软件包安装在网络上并测试通过后，才会支付网络升级费用。
客户经理在与零售店经理讨论此问题时，可参考提案中的哪两条内容？（选择两项。
）项目范围物料清单项目时间表条款和条件客户的业务目标对当前网络的评估2 Cisco 标准质保提供什么服务？软件应用程序维护更换故障硬件更换件下一工作日发货全天候访问Cisco 技术援助中心(TAC)3 购买Cisco 1841 路由器时没有附带SMARTnet 服务协议。
标准质保包括哪两个保证项目？（选择两项。
）访问TAC更换发生故障的物理介质硬件零部件的高级更换服务访问可续约的标准质保合同更换在正常使用条件下发生故障的硬件4 提案的执行摘要中通常包括哪两项？（选择两项。
）项目范围摘要概要实施计划所需的所有设备的报价设计的技术要求重点强调在符合客户目标方面的优势5 完成提案后，网络设计团队必须说服两个关键的利益主体接受他们的想法。
这两个利益主体是什么？（选择两项。
）客户许可证委员会布线承包商内部管理层项目实施团队6 提案的哪个部分会叙述预期的路由协议、安全机制和所计划网络的编址方案？逻辑设计物理设计执行摘要实施计划网络需求7 一个网络安装团队需要更换数据中心的所有核心交换机。
未计划进行其它升级。
此安装活动属于什么类型？全新安装叉车式安装分阶段安装绿地安装8 因为无法在分支机构与主办公室之间建立VPN 连接，一个新分支机构的网络被推迟投入运行。
调查表明主办公室的路由器内存不足，且其Cisco IOS 映像的版本不正确，导致无法支持VPN 功能。
此问题应该在该设计项目的哪个阶段发现并解决才能预防这种推迟事故？准备商务案例确定技术目标的优先顺序确定现有网络的特征实施获批准的设计9 下列有关在现有网络中进行分阶段安装的说法中哪项正确？分阶段安装通常比绿地安装省时省钱。
网络管理与维护案例教程第9章 访问列表高级应用
3
相关知识
1．基于时间的访问控制列表概述 访问控制表(ACL)实际上是在路由器或三层交换机上实现的根据数据报文的内容进 行的过滤行为。路由器或者三层交换机根据报文的特征以及ACL中所定义的策略， 决定将该报文进行转发或者丢弃。常用的访问控制表通常是根据IP数据包的源地 址、目标地址、协议类型等来进行配置。 基于时间的访问控制表可以根据一天中的不同时间或一星期中的不同日期、或二 者相结合来控制网络数据包的转发。这种基于时间的访问控制表，就是在原来的 标准访问控制表和扩展访问控制表中，加入有效的时间范围来更合理有效地控制 网络。首先定义一个时间范围，然后在原来的各种访问列表的基础上应用它。
8
9
相关知识
1．专家级的访问控制列表概述 专家级访问控制列表可以利用MAC地址、IP地址、 VLAN号、传输端口号、协议类型、时间ACL等元 素进行灵活组合，定义规则。从而更加灵活的 控制网络的流量，保证网络的安全运行。 Expert 扩展访问列表（编号 2700 -2899）为基本 访问列表和 MAC 扩展访问列表的综合体，并且 能对 VLAN ID进行过滤。
4
相关知识
2．基于时间的访问控制列表配置 基于时间的访问控制列表由两部分组成，第一部分是定义时间段，第二部分是用定义 规则。 从特权模式开始，您可以通过以下步骤来设置一个 Time-Range： absolute：该命令用来指定绝对时间范围。它后面紧跟着start和end两个关键字。在这 两个关键字后面的时间要以24小时制hh:mm表示，日期要按照日/月/年来表示。如果 省略start及其后面的时间，则表示与之相联系的permit或deny语句立即生效，并一直 作用到end处的时间为止。如果省略end及其后面的时间，则表示与之相联系的permit 或deny语句在start处表示的时间开始生效，并且一直进行下去。 Periodic：主要是以星期为参数来定义时间范围的一个命令。它的参数主要有Monday、 Tuesday、Wednesday、Thursday、Friday、Saturday、Sunday中的一个或者几个的组合， 也可以是daily(每天)、weekday(周一至周五)，或者weekend(周末)。
思科网络学院教程——OSI数据链路层PPT课件
• 逻辑环拓扑 第27页/共63页
7.3 介质访问控制编址和对数据成帧
第28页/共63页
数据链路层协议 – 帧
• 由于协议的不同，帧结构以及帧头和帧尾中包含的字段会存在差异。
第29页/共63页
成帧 – 帧头的功能
• 帧头的作用
• 帧首字段告知网络中的其他设备一个帧将沿介质传输过来。 • 地址字段用于存储数据链路源地址和目的地址。 • 类型/长度字段是可选字段，某些协议用其说明即将传输的数据类型，也可能
HDLC
Frame Relay
Ethernet Frame
第34页/共63页
数据链路层协议 – 帧
• 针对 LAN 的以太网协议
第35页/共63页
数据链路层协议 – 帧
• 针对 WAN 的点对点协议
第36页/共63页
数据链路层协议 – 帧
• 针对 LAN 的无线协议
第37页/共63页
7.4 汇总归纳
学习目标
• 说明数据链路层协议在数据传输中的作用。 • 阐述数据链路层如何准备数据，以便通过网络介质传输。 • 描述不同类型的介质访问控制方法。 • 认识几种常见的逻辑网络拓扑，还可以说明逻辑拓扑确定网络介质访问控
制方法的方式。 • 解释将数据包封装成帧以方便介质访问的意图。 • 描述第 2 层帧结构并认识通用字段。 • 解释帧头和帧尾主要字段（包括编址、服务质量、协议类型以及帧校验序
• 通过网际网络实现的两台主机间的简单数据传输过程。
第49页/共63页
通过网际网络跟踪数据
• 通过网际网络实现的两台主机间的简单数据传输过程。
第50页/共63页
通过网际网络跟踪数据
• 通过网际网络实现的两台主机间的简单数据传输过程。
思科课件9、配置静态NAT、配置动态NAT和配置NAPT
9.3 实训1 配置静态NAT
一、实训目的
掌握静态NAT的特征、配置及调试方法
二、实训任务
正确配置静态地址转换，使这两台PC能访问Internet
三、实训环境
Cisco路由器、安装网卡的PC及若干 、有互联网支持
四、实训环境
RA
s0/0/0 210.29.193.0 / 24
.1
s0/0/0 .2
RB
g0/0
ห้องสมุดไป่ตู้
.254 192.168.1.0/24
Lo0:210.29.194.1/24
PC1:192.168.1.1
PC2:192.168.1.2
图9-3-1 静态NAT配置
五、实训步骤
步骤1：配置路由器RA提供静态NAT服务。 RA(config)# ip nat inside source static 210.29.193.3 RA(config)# ip nat inside source static 210.29.193.4 !配置静态NAT映射 RA(config)# interface g0/0 RA(config-if)#ip nat inside !把RA的g0/0接口配置成NAT的内部接口 RA(config-if)#exit RA(config)# interface s0/0/0 RA(config-if)# ip nat outside
表9-2-1 静态NAT配置命令及步骤
9.2
NAT配置
2、使用以下两个命令查看NAT配置信息：
表9-2-2 查看NAT配置信息命令
2
下面以一个实例来说明静态NAT 的配置过程
如图9-2-1所示，内部网络中有两台PC机， 它们使用的是内部本地地址。要求正确配置静 态地址转换，使这两台PC能访问Internet。其 中 PC1 和 PC2 使 用 的 内 部 全 局 地 址 分 别 为 210.29.193.2和210.29.193.3，路由器内部网 络接口f0/0的IP地址为10.1.1.1,外部网络接 口s0/0的IP地址为210.29.193.1。
access9
第9章Cisco加密技术与IPSec本章继续讨论与访问表紧密相关的技术，它们可以提供一些附加的安全特性。
我们要着重介绍在C i s c o网络中加密信息的两种技术：C i s c o加密技术（Cisco encryption technology，C E T）和I P S e c。
C E T是一种C i s c o专用的路由器加密机制，它允许加密两个或多个C i s c o路由器之间的I P流量。
C E T的实现是专用的，只能工作在C i s c o路由器之间；但同时C E T机制又是由各种标准的协议组成的。
I P S e c是一系列标准和规则综合而成的机制，它允许任意的I P S e c-c o m p l i a n t设备与I P S e c-c o m p l i a n t设备安全地通信。
I P S e c-c o m p l i a n t设备包括有C i s c o路由器、防火墙、Wi n d o w s平台，以及各种流行的U N I X平台，比如L i n u x、F r e e B S D和O p e n B S D。
I P S e c是一种支持交叉供应商加密的标准，它允许在差别很大的设备之间进行安全通信。
在理论上，任何带有I P协议栈和标准compliant IPSec软件的设备都可以安全地和任何其他运行标准compliant IPSec软件的设备通信。
I n t e r n e t组织制定了I P S e c标准，并将它写入了R F C中，一些R F C用来定义I P S e c的各个部分。
许多R F C都与I P S e c相关，它们各自覆盖了I P S e c某个特定的领域。
如果要研究I P S e c的R F C，最好从RFC 2411开始，它是I P S e c文档的导读图。
C E T和I P S e c技术都能便利地在非安全网络，例如I n t e r n e t上提供安全的通信。
第9-3章配套课件
在使用conduit命令时，最好是尽可能地具体。允许在外 部的所有用户telnet到内部的一台主机可能会违背安全策 略。 例：如图6-2，只允许一台特定的外部主机访问一台特定的本 地主机。在这个例子中还包含static命令，以完成配置。 static (inside,outside) 192.168.1.101 10.0.1.10 netmask 255.255.255.255 conduit permit tcp host 192.168.1.101 eq www telnet host 172.16.1.1 外部的用户具有IP地址172.16.1.1，它使用的目标IP地址是 192.168.1.101。PIX防火墙对那个地址进行翻译，并根据所 配置的静态翻译，将对内部的请求发送给IP地址10.0.1.10。
例如：如图6-5，不对IP地址192.168.1.9进行翻译。 为DMZ中的HTTP服务器分配此IP地址。应用nat （DMZ）0命令后，PIX防火墙将不再对HTTP服务 器的IP地址进行翻译。应用conduit命令后，PIX防 火墙将允许对IP地址192.168.1.9的端口80的任何访 问请求。配置如下： conduit permit tcp host 192.168.1.9 eq www any nat (DMZ) 0 192.168.1.9 255.255.255.255 这个例子中，nat命令确保IP地址192.168.1.9不 会被翻译。PIX防火墙的所有安全特性仍然在被继 续使用。随后的conduit命令将允许对192.168.1.9的 WWW访问。
配置一个管道——用于由外向内的通信。首
先配置静态翻译或者global和nat命令（虽然 nat/global命令支持源自内部的连接，但如果 用户想让回声应答被允许通过PIX防火墙返 回，就还必须配置一个管道）。然后配置一 个管道，它定义了被允许流过PIX防火墙的地 址或地址组、源和/或目的TCP/UDP端口或端 口范围。
思科网络技术学院课件9汇总
9.2 以太网-通过LAN的通信
9.3 以太网帧
9.4 以太网介质访问控制
9.5 以太网物理层 9.6 集线器和交换机 9.7 地址解析协议 (ARP) 9.8 章节实验 9.9 章节总结
3
9.1
以太网概述
4
9.1.1 以太网-标准和实施
1980 年，Digital Equipment Corporation、Intel 和 Xerox (DIX) 协 会发布了第一个以太网标准。 1985 年，本地和城域网的电气电子工程师 协会 (IEEE) 标准委员会发布了 LAN 标准。
以太网
Network Fundamentals – Chapter 9
1
学习目标
描述以太网的演变过程 说明以太网帧的各个字段
描述以太网协议所用介质访问控制方法的功 能和特性
描述以太网的物理层和数据链路层功能 比较以太网集线器和交换机 解释地址解析协议 (ARP)
2
目录索引
OSI 数据链路层（第 2 层）物理编址，是作为 以太网 MAC 地址实现的，用于通过本地介质传 输帧。 IPv4 地址等网络层（第 3 层）地址普遍存在的 源和目的端都理解的逻辑编址。.
传统的以太网---半双工 基于共享的介质，每次只有一个站点能够成 功发送。 随着更多的设备加入以太网，帧的冲突量大 幅增加。 当前的以太网---全双工
交换机可以隔离每个端口，只将帧发送到 正确的目的地（如果目的地已知），而不是发 送每个帧到每台设备，数据的流动因而得到了 有效的控制。
在当今的网络中，以 太网使用 UTP 铜缆 和光缆通过集线器和 交换机等中间设备连 接网络设备。
9.1.5 以太网的物理实现
《cisco教材》课件
深入了解PPP协议，它是一种点对点协议，用于建立网络连接。
《Cisco教材》PPT课件
本课件将帮助你全面了解Cisco网络技术，从基础知识开始，深入介绍网络协 议、LAN交换、VLANs、IP寻址、路由协议、无线局域网等。让我们一起探索 网络的奥秘！
网络基础概述
Cisco公司
介绍Cisco公司的背景和其在网络领域的重要性。
网络基础知识
深入了解计算机网络的基本概念和组成部分。
ACLs配置
学习如何配置和管理ACLs，实现网络流量 的过滤和控制。
无线局域网和安全
无线局域网
探索无线局域网技术和设备，如无线路由器和 访问点。
网络安全
了解无线网络的安全威胁和防护措施，如 WPA2和防火墙。
广域网技术
1 Fram e Relay
介绍Frame Relay技术，它是一种广域网传输协议，用于远程通信。
路由协议
1
R IP
介绍RIP路由协议（距离矢量协议）的工作原理和应用场景。
2
OSPF
深入了解OSPF路由协议（链路状态协议）的特点和优势。
3
EIG RP
探索EIGRP路由协议（增强型内部网关路由协议）的原理和功能。
访问控制列表（ACLs）
ACLs概述
介绍ACLs的作用和应用场景，如访问控制 和网络安全策略。
网协议和模型
1
网络协议
介绍常见的网络协议，如TCP/IP和HTTP，并探究它们的作用。
2
网络模型
理解OSI网络模型和TCP/IP协议栈，以及它们在数据传输中的重要性。
3
网络安全
讨论网络安全协议和技术，如SSL和VPN，以保护网络通信的安全性。
《思科路由器配置》课件
在这个PPT课件中，你将学习如何配置思科路由器。从基础知识到高级路由配 置，我们将教你一步一步进行配置，使你成为一个路由器配置专家！
基础知识
路由器的工作原理
了解路由器是如何转发数据包并决定最佳路径的。
思科路由器的特点
探索思科路由器的优势和特性，为什么它是行业领先者。
路由器的基本功能
了解路由器的主要功能，如连接网络、转发数据和维护网络安全。
路由器的配置
1
命令行接口（CLI）和图形用户界
面（GUI）的使用
配置路由器的IP地址
2
掌握两种常用的配置方式，以及它们的 优点和缺点。
学习如何设置路由器的IP地址，以便正确
连接到网络。
3
配置路由器的默认网关
了解如何设置默认网关，使路由器能够
配置路由器的域名服务（DNS）
4
转发数据。
学习如何配置路由器以提供域名解析服
掌握如何监控路由器的性能，并有效地 记录和分析网络日志。
总结
1 思考题
回顾所学内容，思考如何 应用到实际网络配置中。
2 参考资料
提供相关的参考资料和进 一步学习的资源。
3 Q&A
回答学员的问题，解决疑 惑，进一步巩固知识。
高级路由配置
配置多个VLAN
学习如何划分网络为多个虚 拟局域网（VLAN）以提高网 络性能。
配置端口转发和NAT
了解端口转发和网络地址转 换（NAT）的配置方法。
配置多个WAN接口
掌握如何配置多个广域网 （WAN）接口以实现网络冗 余和负载均衡。
配置负载均衡和优先级路由
学习如何配置负载均衡和优先级路由以优化网 络资源的使用。
配置VPN和远程访问
Cisco 思科 网络 技术 培训 文档CHAP9
CID Chap 9—#
Configure OSPF Summarization
Area 0 192.168.1.0 Summary LSA
Area 1
Area 2
Area 3
172.16.0.0/16
172.17.0.0/16
Area 1
• Each router in an area keeps identical link-state databases
Copyright ã 1997, Cisco Systems, Inc.
CID Chap 9—#
When a Link Changes State
Router 2, area 1 Router 1, area 1 LSA ACK Link-state table
• Increase number of subnets for serial mesh • Keep small subnets in contiguous block
Copyright ã 1997, Cisco Systems, Inc.
CID Chap 9—#
OSPF Supports Discontiguous Subnets
Use OSPF for StandardsBased IP Routing
Area 0 or 0.0.0.0
Area 1
Area 2
Area 3
• Standard link-state IP routing protocol
Copyright ã 1997, Cisco Systems, Inc.
CID Chap 9—#
(CISCO基于时间的访问列表控制)
思科路由器--基于时间的访问列表控制我们知道，CISCO路由器中的access-list（访问列表）最基本的有两种，分别是标准访问列表和扩展访问列表，二者的区别主要是前者是基于目标地址的数据包过滤，而后者是基于目标地址、源地址和网络协议及其端口的数据包过滤。
随着网络的发展和用户要求的变化，从IOS12.0开始，CISCO路由器新增加了一种基于时间的访问列表。
通过它，可以根据一天中的不同时间，或者根据一星期中的不同日期，当然也可以二者结合起来，控制对网络数据包的转发。
一、使用方法这种基于时间的访问列表就是在原来的标准访问列表和扩展访问列表中加入有效的时间范围来更合理有效的控制网络。
它需要先定义一个时间范围，然后在原来的各种访问列表的基础上应用它。
并且，对于编号访问表和名称访问表都适用。
二、使用规则用time-range 命令来指定时间范围的名称，然后用absolute命令或者一个或多个per iodic命令来具体定义时间范围。
IOS命令格式为：我们分别来介绍下每个命令和参数的详细情况time-range ：用来定义时间范围的命令time-range-name：时间范围名称，用来标识时间范围，以便于在后面的访问列表中引用absolute：该命令用来指定绝对时间范围。
它后面紧跟这start和end两个关键字。
在这两个关键字后面的时间要以24小时制、hh:mm（小时：分钟）表示，日期要按照日/月/年来表示。
可以看到，他们两个可以都省略。
如果省略start及其后面的时间，那表示与之相联系的permit 或deny语句立即生效，并一直作用到end处的时间为止；若省略如果省略end及其后面的时间，那表示与之相联系的permit 或deny语句在start处表示的时间开始生效，并且永远发生作用，当然把访问列表删除了的话就不会起作用了。
怎么样，看明白了吗？上面讲的就是命令和基本参数为了便于理解，我们看两个例子。
1、如果要表示每天的早8点到晚8点就可以用这样的语句：absolute start 8:00 end 20:002、再如，我们要使一个访问列表从2000年12月1日早5点开始起作用，直到2000年12月31日晚24点停止作用，语句如下：absolute start 5:00 1 December 2000 end 24:00 31 December 2000这样一来，我们就可以用这种基于时间的访问列表来实现，而不用半夜跑到办公室去删除那个访问列表了。
思科ppt
1
8
RJ-45 连接器
© 2006 Cisco Systems, Inc. All rights reserved.
ICND v2.3—21
UTP实现直连线
直连10BaseT/ 100BaseT
8 1 8
直连线
集线器/交换机
服务器/路由器
1
针 1 2 3 4 5 6 7 8
线 RD+ RDTD+ NC NC TDNC NC
ICND v2.3—12
Cisco的交换机
Catalyst 3750 系列
Catalyst 3550系列
© 2006 Cisco Systems, Inc. All rights reserved.
ICND v2.3—13
Cisco的交换机
Catalyst 4500/6500 系列
© 2006 Cisco Systems, Inc. All rights reserved.
ICND v2.3—10
Cisco路由器
Cisco 7200 系列
Cisco 12000 系列
© 2006 Cisco Systems, Inc. All rights reserved.
ICND v2.3—11
Cisco的交换机
Catalyst 2900 系列
© 2006 Cisco Systems, Inc. All rights reserved.
ICND v2.3—2
网络技术基础
© 2006 Cisco Systems, Inc. All rights reserved.
ICND v2.3—3
课程目标
了解互联网的基本框架 理解一些网络的基本术语
Cisco课件第6课
最后将ACL关联到端口E0和E1。
access-list 1 permit 172.16.0.0 0.0.255.255 (implicit deny all - not visible in the list) (access-list 1 deny 0.0.0.0 255.255.255.255) interface ethernet 0 ip access-group 1 out interface ethernet 1 ip access-group 1 out
2.1ACL指令
一个ACL就是一组指令，规定数据报如何： 进入路由器的某个端口 在路由器内的转送 离开路由器的某个端口
ACL允许控制哪些客户端可以访问的网络。在ACL中的条件 可以是： 筛选某些主机允许或者禁止访问的部分网络 允许或者禁止用户访问某一类协议，如FTP，HTTP等。
2.2ACL的工作流程
ACL可以用作控制和过滤流经路由器端口的数据报的工具
1.4 ACL指令的配置原则
ACL中的指令以按顺序执行的 先满足条件则之后的指令不执行
配置ACL指令时，要先配置最严格的条件、之后较松的条 件
对于某些协议，可以创建多个ACL： 一个用于过滤进入端口的数据流inbound， 一个用于过滤流出端口的数据流outbound
最后将ACL关联到端口E0。
access-list 1 deny 172.16.4.13 0.0.0.0 access-list 1 permit 0.0.0.0 255.255.255.255 (implicit deny all) (access-list 1 deny 0.0.0.0 255.255.255.255)