任务13 ：配置编号扩展访问控制列表(ACL)

任务13 配置编号扩展访问控制列表（ACL）
一、【技术原理】
命名扩展访问列表可以利用MAC地址、IP地址、VLAN号、传输端口号、协议类型、时间ACL等元素进行灵活组合，定义规则。

从而更加灵活的控制网络流量，保证网络的安全运行。

扩展访问列表的格式：access-list ACL号[permit|deny] [协议] [定义过滤源主机范围] [定义过滤源端口] [定义过滤目的主机访问] [定义过滤目的端口]。

二、【任务描述】
学校规定每年新入学的学生所在网段，可以访问学校的校园网WWW网页，不可以访问学校的FTP服务器。

假设你是学校网络中心的网络管理员，现要你在路由器上作适当配置，以满足上述要求。

三、【任务实现】
1、规划拓扑结构
2、配置过程
1、用Packet Tra cer实现扩展ACL的配置（仿真实验）
1) 实验过程：拓扑规划、端口连线、地址分配、参数配置、连通测试、结果分析。

2）实验教学要求所需的最简设备：路由器（1台）、Web、FTP服务器（1台）、交叉线（2条）。

2、配置端口IP地址
按网络拓扑图，配置计算机A的IP地址（192.168.1.2）、缺省网关（192.168.1.1），服务器S的IP地址（192.168.2.2）、缺省网关（192.168.2.1），路由器R1的F0/0（192.168.1.1）、F0/1（192.168.2.1）的IP地址。

3、安装FTP服务器
添加用户及密码：
用户名（UserName）：abc
密码（Password）：123
权限：Write，Read，Delete，Rename，List（RWDNL）
图1 配置FTP服务器
4、测试计算机A（配置访问控制列表之前）
1）计算机A与服务器S的连通性
PC>ping 192.168.2.2
Pinging 192.168.2.2 with 32 bytes of data:
Request timed out.
Reply from 192.168.2.2: bytes=32 time=62ms TTL=127
Reply from 192.168.2.2: bytes=32 time=63ms TTL=127
Reply from 192.168.2.2: bytes=32 time=63ms TTL=127
Ping statistics for 192.168.2.2:
Packets: Sent = 4, Received = 3, Lost = 1 (25% loss), Approximate round trip times in milli-seconds:
Minimum = 62ms, Maximum = 63ms, Average = 62ms
2）访问FTP服务器
PC>ftp 192.168.2.2
图2 登录FTP服务器3）访问Web服务器
图3 访问Web服务器
5、配置路由器：
Router>enable
Router#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
！在配置过程中，可以通过“？”查询语法结构和可选参数
Router(config)#access-list 101 permit ?
ahp Authentication Header Protocol
eigrp Cisco's EIGRP routing protocol
esp Encapsulation Security Payload
gre Cisco's GRE tunneling
icmp Internet Control Message Protocol
ip Any Internet Protocol
ospf OSPF routing protocol
tcp Transmission Control Protocol
udp User Datagram Protocol
Router(config)#access-list 101 permit tcp ?
A.B.C.D Source address
any Any source host
host A single source host
Router(config)#access-list 101 permit tcp 192.168.1.0 0.0.0.255 ?
A.B.C.D Destination address
any Any destination host
eq Match only packets on a given port number
gt Match only packets with a greater port number
host A single destination host
lt Match only packets with a lower port number
neq Match only packets not on a given port number
range Match only packets in the range of port numbers
Router(config)#access-list 101 permit tcp 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 ?
dscp Match packets with given dscp value
eq Match only packets on a given port number
established established
gt Match only packets with a greater port number
lt Match only packets with a lower port number
neq Match only packets not on a given port number
precedence Match packets with given precedence value
range Match only packets in the range of port numbers
<cr>
Router(config)#access-list 101 permit tcp 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 eq ?
<0-65535> Port number
ftp File Transfer Protocol (21)
pop3 Post Office Protocol v3 (110)
smtp Simple Mail Transport Protocol (25)
telnet Telnet (23)
www World Wide Web (HTTP, 80)
Router(config)#access-list 101 permit tcp 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 eq www Router(config)#
Router(config)#interface FastEthernet0/1
Router(config-if)#ip access-group 101 ?
in inbound packets
out outbound packets
Router(config-if)#ip access-group 101 out
Router(config-if)#exit
6、再一次测试计算机A（配置访问控制列表之后）
1）计算机A与服务器S的连通性
PC>ping 192.168.2.2
2）访问FTP服务器
PC>ftp 192.168.2.2
如图4 配置ACL之后的测试。

图4 配置ACL之后的测试
3）访问Web服务器
配置访问控制列表之后与配置访问控制列表之前相同（如图3访问Web服务器）。

【结果分析】
1、配置访问控制列表之前
1）报文的捕获/转发（点击，链接AVI视频）
图5 报文的捕获/转发
2）报文的事件列表
图6 报文的事件列表
2、配置访问控制列表之后（由学生自己在实验练习中完成对比分析）
1）报文的捕获/转发
2）报文的事件列表
四、【注意事项】
1、扩展ACL比标准ACL具有更多的匹配项，功能更加强大和细化，可以针对包括协议类型、源地址、目的地址、源端口、目的端口和TCP连线建立等进行过滤，表号范围100~199。

2、尽量考虑将扩展的访问控制列表放在靠近过滤源的位置上，这样创建的过滤器就不会反过来影响其他接口上的数据流。

另外，尽量使标准的访问控制列表靠近目的，由于标准访问控制列表只使用源地址，如果将其靠近源会阻止数据包流向其他端口。

五、【课堂小结】
访问控制列表简称为ACL，它使用包过滤技术，在路由器上读取第3层及第4层包头中的信息，如源地址、目的地址、源端口和目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的，提高网络可管理性和安全性。

ACL分为很多种，不同场合应用不同种类的ACL。

六、【课程练习】（在仿真环境下或真实环境下完成任务13）。