實驗防火墻訪問控制列表配置實驗第一頁，共二十九頁，2022年，8月28日學(xué)習(xí)目標(biāo)掌握一般防火墻技術(shù)掌握地址轉(zhuǎn)換技術(shù)學(xué)習(xí)完本課程，您應(yīng)該能夠：第二頁，共二十九頁，2022年，8月28日課程內(nèi)容

第一節(jié)防火墻第二節(jié)地址轉(zhuǎn)換第三頁，共二十九頁，2022年，8月28日防火墻示意圖對路由器需要轉(zhuǎn)發(fā)的數(shù)據(jù)包，先獲取包頭信息，然后和設(shè)定的規(guī)則進行比較，根據(jù)比較的結(jié)果對數(shù)據(jù)包進行轉(zhuǎn)發(fā)或者丟棄。而實現(xiàn)包過濾的核心技術(shù)是訪問控制列表。未授權(quán)用戶公司總部內(nèi)部網(wǎng)絡(luò)辦事處第四頁，共二十九頁，2022年，8月28日路由器實現(xiàn)防火墻功能IP報文轉(zhuǎn)發(fā)機制IPPacketIPPacket網(wǎng)絡(luò)層數(shù)據(jù)鏈路層規(guī)則查找機制輸入報文規(guī)則庫手工配置規(guī)則生成機制手工配置規(guī)則生成機制規(guī)則查找機制輸出報文規(guī)則庫由規(guī)則決定報文轉(zhuǎn)發(fā)動作：丟棄或轉(zhuǎn)發(fā)由規(guī)則決定報文轉(zhuǎn)發(fā)動作：丟棄或轉(zhuǎn)發(fā)第五頁，共二十九頁，2022年，8月28日訪問控制列表的作用訪問控制列表可以用于防火墻；訪問控制列表可用于QoS（QualityofService），對數(shù)據(jù)流量進行控制；在DCC中，訪問控制列表還可用來規(guī)定觸發(fā)撥號的條件；訪問控制列表還可以用于地址轉(zhuǎn)換；在配置路由策略時，可以利用訪問控制列表來作路由信息的過濾。第六頁，共二十九頁，2022年，8月28日ACL的機理一個IP數(shù)據(jù)包如下圖所示（圖中IP所承載的上層協(xié)議為TCP）：IP報頭TCP報頭數(shù)據(jù)協(xié)議號源地址目的地址源端口目的端口對于TCP來說，這5個元素組成了一個TCP相關(guān)，訪問控制列表就是利用這些元素定義的規(guī)則第七頁，共二十九頁，2022年，8月28日訪問控制列表的分類按照訪問控制列表的用途可以分為四類:基本的訪問控制列表（basicacl）高級的訪問控制列表（advancedacl）基于接口的訪問控制列表（interface-basedacl）基于MAC的訪問控制列表（mac-basedacl）第八頁，共二十九頁，2022年，8月28日訪問控制列表的標(biāo)識利用數(shù)字標(biāo)識訪問控制列表利用數(shù)字范圍標(biāo)識訪問控制列表的種類列表的種類數(shù)字標(biāo)識的范圍基于接口的訪問控制列表1000～1999基本的訪問控制列表2000～2999高級的訪問控制列表3000～3999基于MAC地址訪問控制列表4000～4999第九頁，共二十九頁，2022年，8月28日基本訪問控制列表基本訪問控制列表只使用源地址描述數(shù)據(jù)，表明是允許還是拒絕。從/24來的數(shù)據(jù)包可以通過！從/24來的數(shù)據(jù)包不能通過！路由器第十頁，共二十九頁，2022年，8月28日基本訪問控制列表的配置配置基本訪問列表的命令格式如下：acl

number

acl-number[match-order{config|auto}]rule[rule-id]{permit|deny}[sourcesour-addrsour-wildcard|any][time-range

time-name][logging][fragment][vpn-instance

vpn-instanc-name]怎樣利用IP地址和

反掩碼wildcard-mask

來表示一個網(wǎng)段?第十一頁，共二十九頁，2022年，8月28日反掩碼的使用反掩碼和子網(wǎng)掩碼相似，但寫法不同：0表示需要比較1表示忽略比較反掩碼和IP地址結(jié)合使用，可以描述一個地址范圍。000255只比較前24位003255只比較前22位0255255255只比較前8位第十二頁，共二十九頁，2022年，8月28日高級訪問控制列表高級訪問控制列表使用除源地址外更多的信息描述數(shù)據(jù)包，表明是允許還是拒絕。從/24來的,到0的，使用TCP協(xié)議，利用HTTP訪問的數(shù)據(jù)包可以通過！路由器第十三頁，共二十九頁，2022年，8月28日高級訪問控制列表的配置高級訪問控制列表規(guī)則的配置命令：rule[rule-id]{permit|deny}protocol[source

sour-addrsour-wildcard|any][destination

dest-addrdest-mask|any][soucre-portoperatorport1[port2]][destination-portoperatorport1[port2]][icmp-type{icmp-message|icmp-type

icmp-code}][precedence

precedence][tos

tos][time-range

time-name][logging][fragment][vpn-instance

vpn-instanc-name]第十四頁，共二十九頁，2022年，8月28日高級訪問控制列表操作符操作符及語法意義eqportnumber等于端口號portnumbergtportnumber

大于端口號portnumberltportnumber

小于端口號portnumberneqportnumber不等于端口號portnumber

rangeportnumber1portnumber2介于端口號portnumber1

和portnumber2之間第十五頁，共二十九頁，2022年，8月28日高級訪問控制列表舉例ruledenyicmpsource55destinationanyicmp-typehost-redirect

ruledenytcpsource55destination55destination-porteqwwwlogging

/16ICMP主機重定向報文TCP報文/16/24WWW端口第十六頁，共二十九頁，2022年，8月28日基于接口的訪問控制列表基于接口的訪問控制列表的配置aclnumberacl-number[match-order{config|auto}]rule{permit|deny}[interface

interface-name][time-range

time-name][logging]undorule

rule-id第十七頁，共二十九頁，2022年，8月28日訪問控制列表的使用防火墻配置常見步驟：啟用防火墻定義訪問控制列表將訪問控制列表應(yīng)用到接口上公司總部網(wǎng)絡(luò)啟用防火墻將訪問控制列表應(yīng)用到接口上第十八頁，共二十九頁，2022年，8月28日防火墻的屬性配置命令打開或者關(guān)閉防火墻firewall{enable|disable}設(shè)置防火墻的缺省過濾模式firewalldefault{permit|deny}顯示防火墻的統(tǒng)計信息displayfirewall-statistics{all|interface

interface-name|fragments-inspect}

打開防火墻包過濾調(diào)試信息開關(guān)debuggingfirewall

{all|icmp|tcp|udp|others}[interfaceinterface-name

]第十九頁，共二十九頁，2022年，8月28日訪問控制列表的顯示訪問控制列表的顯示與調(diào)試display

acl{all|acl-number}reset

acl

counter{all|acl-number}第二十頁，共二十九頁，2022年，8月28日在接口上應(yīng)用訪問控制列表將訪問控制列表應(yīng)用到接口上指明在接口上是OUT還是IN方向在接口視圖下配置：firewall

packet-filter

acl-number{inbound|outbound}[match-fragments{normally|exactly}]Ethernet0/0訪問控制列表3000作用在Ethernet0/0接口在out方向有效Serial0/0訪問控制列表2000作用在Serial0/0接口上在in方向上有效第二十一頁，共二十九頁，2022年，8月28日基于時間段的包過濾“特殊時間段內(nèi)應(yīng)用特殊的規(guī)則”上班時間（上午8：00－下午5：00）只能訪問特定的站點；其余時間可以訪問其他站點第二十二頁，共二十九頁，2022年，8月28日時間段的配置命令timerange命令time-rangetime-name[start-timetoend-time][days][

fromtime1date1][totime2date2]顯示timerange命令displaytime-range{all|time-name}第二十三頁，共二十九頁，2022年，8月28日訪問控制列表的組合一條訪問列表可以由多條規(guī)則組成，對于這些規(guī)則，有兩種匹配順序：auto和config。規(guī)則沖突時，若匹配順序為auto（深度優(yōu)先），描述的地址范圍越小的規(guī)則，將會優(yōu)先考慮。深度的判斷要依靠通配比較位和IP地址結(jié)合比較ruledenysource55rulepermitsource55兩條規(guī)則結(jié)合則表示禁止一個大網(wǎng)段（）上的主機但允許其中的一小部分主機（）的訪問規(guī)則沖突時，若匹配順序為config，先配置的規(guī)則會被優(yōu)先考慮。第二十四頁，共二十九頁，2022年，8月28日實驗命令A(yù)路由器：第一步：配置rip路由[Quidway]inte0/0[Quidway]ints3/0[Quidway]rip[Quidway]network[Quidway]network第二步：配置ACL[Quidway]firewallenable [Quidway]firewalldefaultpermit[Quidway]aclnumber3000match-orderauto[Quidway-acl-adv-3000]rule0denyipsourceanydestinationany第二十五頁，共二十九頁，2022年，8月28日[Quidway-acl-adv-3000]rule1permitipsource0destinationany[Quidway-acl-adv-3000]rule2permitipsource0destinationany[Quidway]inte0/0[Quidway-Ethernet0/0]firewallpacket-filter3000inbound第三步：驗證主機配置IP地址等，用Ping命令測試連接對面的主機第一次：第二次：第二十六頁，共二十九頁，2022年，8月28日B路由器：第一步：配置rip路由[Quidway]inte0/0[Quidway]ints3/0[Quidway]rip第二步：配置ACL[Quidway]firewallenable [Quidway]firewalldefaultpermit[Quidway]aclnumber3000match-orderauto[Quidway-acl-adv-3000]rule0denyipsourceanydestinationany第二十七頁，共二十九頁，2022年，8月28日[Quidway-acl-adv-3000]rule1permitipsource0destinationany