主講人：授課班級(jí)：時(shí)間：1首頁(yè)任務(wù)一任務(wù)二項(xiàng)目四 網(wǎng)絡(luò)的安全配置項(xiàng)目說(shuō)明對(duì)于許多網(wǎng)絡(luò)管理員來(lái)說(shuō)，配置路由器的訪問(wèn)控制列表是一種經(jīng)常性的工作。可以說(shuō)，路由器的訪問(wèn)控制列表是網(wǎng)絡(luò)安全保障的第一道關(guān)卡。訪問(wèn)列表提供了一種機(jī)制，它可以控制和過(guò)濾通過(guò)路由器的不同接口去往不同方向的信息流。這種機(jī)制允許用戶(hù)使用訪問(wèn)列表來(lái)管理信息流，以制定公司內(nèi)部網(wǎng)絡(luò)的相關(guān)策略。這些策略可以描述安全功能，并且反映流量的優(yōu)先級(jí)別。例如，某個(gè)組織可能希望允許或拒絕Internet對(duì)內(nèi)部Web服務(wù)器的訪問(wèn)，或者允許內(nèi)部局域網(wǎng)上一個(gè)或多個(gè)工作站能夠?qū)?shù)據(jù)流發(fā)到廣域網(wǎng)上。這些功能都可以通過(guò)訪問(wèn)列表來(lái)達(dá)到目的。技能目標(biāo)任務(wù)一IP訪問(wèn)列表

任務(wù)二網(wǎng)絡(luò)地址轉(zhuǎn)換2首頁(yè)任務(wù)一任務(wù)二任務(wù)一

IP訪問(wèn)列表任務(wù)描述IP

ACL（IP訪問(wèn)控制列表或IP訪問(wèn)列表）是實(shí)現(xiàn)對(duì)流經(jīng)路由器或交換機(jī)的數(shù)據(jù)包根據(jù)一定的規(guī)則進(jìn)行過(guò)濾，從而提高網(wǎng)絡(luò)可管理性和安全性。主要分為標(biāo)準(zhǔn)

IP訪問(wèn)列表和擴(kuò)展IP訪問(wèn)列表兩種。其中，標(biāo)準(zhǔn)IP訪問(wèn)列表可以根據(jù)數(shù)據(jù)包的源IP地址定義規(guī)則，進(jìn)行數(shù)據(jù)包的過(guò)濾；擴(kuò)展IP訪問(wèn)列表可以根據(jù)數(shù)據(jù)包的源

IP、目的IP、源端口、目的端口、協(xié)議來(lái)定義規(guī)則，進(jìn)行數(shù)據(jù)包的過(guò)濾。IPACL是基于接口進(jìn)行規(guī)則的應(yīng)用，分為入棧應(yīng)用和出棧應(yīng)用。入棧應(yīng)用是指由外部經(jīng)該接口進(jìn)入路由器的數(shù)據(jù)包進(jìn)行過(guò)濾；出棧應(yīng)用是指路由器從該接口向外轉(zhuǎn)發(fā)數(shù)據(jù)時(shí)進(jìn)行數(shù)據(jù)包的過(guò)濾。IPACL的配置有兩種方式：按照編號(hào)的訪問(wèn)列表；按照命名的訪問(wèn)列表。標(biāo)準(zhǔn)IP訪問(wèn)列表的編號(hào)范圍是1～99、1300～1999；擴(kuò)展IP訪問(wèn)列表的編號(hào)范圍是100～199、2000～2699。本任務(wù)分以下3個(gè)訓(xùn)練進(jìn)行學(xué)習(xí)。訓(xùn)練1

標(biāo)準(zhǔn)訪問(wèn)控制列表的配置。

訓(xùn)練2

擴(kuò)展訪問(wèn)控制列表的配置。

訓(xùn)練3

專(zhuān)家級(jí)訪問(wèn)控制列表的配置。3首頁(yè)任務(wù)一任務(wù)二訓(xùn)練1

標(biāo)準(zhǔn)訪問(wèn)控制列表的配置訓(xùn)練描述你是一個(gè)公司的網(wǎng)絡(luò)管理員，公司的經(jīng)理部、財(cái)務(wù)部和銷(xiāo)售部分屬

不同的3個(gè)網(wǎng)段，3部門(mén)之間用路由器進(jìn)行信息傳遞，為了安全起見(jiàn)，公司領(lǐng)導(dǎo)要求銷(xiāo)售部門(mén)不能對(duì)財(cái)務(wù)部進(jìn)行訪問(wèn)，但經(jīng)理部可以對(duì)財(cái)

務(wù)部進(jìn)行訪問(wèn)。下面用一個(gè)訓(xùn)練來(lái)學(xué)習(xí)路由器標(biāo)準(zhǔn)訪問(wèn)控制列表的配置方法，實(shí)驗(yàn)拓?fù)淙鐖D所示。其中，PC1代表經(jīng)理部的主機(jī)；PC2代表銷(xiāo)售部的主機(jī)；PC3代表財(cái)務(wù)部的主機(jī)。4首頁(yè)任務(wù)一任務(wù)二訓(xùn)練1

標(biāo)準(zhǔn)訪問(wèn)控制列表的配置訓(xùn)練要求添加3臺(tái)計(jì)算機(jī)分別命名為PC1、PC2、PC3，根據(jù)實(shí)驗(yàn)拓?fù)鋱D配置IP地址；添加2臺(tái)路由，分別命名為Router1和Router2，為它們添加WIC-1T模塊，使用DCE串口線互聯(lián)；使用靜態(tài)路由實(shí)現(xiàn)全網(wǎng)互通；在Router2上配置標(biāo)準(zhǔn)訪問(wèn)控制列表限制PC2所在的網(wǎng)絡(luò)不能訪問(wèn)PC3所在的網(wǎng)絡(luò)，但允許PC1所在的網(wǎng)絡(luò)訪問(wèn)PC3所在的網(wǎng)絡(luò)。訓(xùn)練分析根據(jù)實(shí)驗(yàn)拓?fù)鋱D為所有的計(jì)算機(jī)設(shè)置IP、掩碼和網(wǎng)關(guān)，使用正確的線纜連接所有的設(shè)備；兩個(gè)路由器之間使用默認(rèn)的廣域網(wǎng)HDLC協(xié)議封裝。5首頁(yè)任務(wù)一任務(wù)二訓(xùn)練1

標(biāo)準(zhǔn)訪問(wèn)控制列表的配置訓(xùn)練步驟Router1基本配置6首頁(yè)任務(wù)一任務(wù)二訓(xùn)練1

標(biāo)準(zhǔn)訪問(wèn)控制列表的配置訓(xùn)練步驟Router2基本配置7首頁(yè)任務(wù)一任務(wù)二訓(xùn)練1

標(biāo)準(zhǔn)訪問(wèn)控制列表的配置訓(xùn)練步驟配置靜態(tài)路由實(shí)現(xiàn)全網(wǎng)互通8首頁(yè)任務(wù)一任務(wù)二訓(xùn)練1

標(biāo)準(zhǔn)訪問(wèn)控制列表的配置訓(xùn)練步驟配置標(biāo)準(zhǔn)IP訪問(wèn)控制列表9首頁(yè)任務(wù)一任務(wù)二訓(xùn)練1

標(biāo)準(zhǔn)訪問(wèn)控制列表的配置訓(xùn)練步驟應(yīng)用訪問(wèn)控制列表在接口上10首頁(yè)任務(wù)一訓(xùn)練1

標(biāo)準(zhǔn)訪問(wèn)控制列表的配置訓(xùn)練測(cè)試在PC1上測(cè)試PC3，結(jié)果是通的。

在PC2上測(cè)試PC3，結(jié)果是不通的。任務(wù)二訓(xùn)練小結(jié)注意在訪問(wèn)控制列表的網(wǎng)絡(luò)掩碼是反掩碼。標(biāo)準(zhǔn)控制列表要應(yīng)用在盡量靠近目的地址的接口。11首頁(yè)任務(wù)一任務(wù)二訓(xùn)練2

擴(kuò)展訪問(wèn)控制列表的配置訓(xùn)練描述你是學(xué)校的網(wǎng)絡(luò)管理員，在3560-24PS交換機(jī)上連著學(xué)校提供的

Web和FTP的服務(wù)器，另外還連接著學(xué)生宿舍樓和教工宿舍樓，學(xué)校規(guī)定學(xué)生只能對(duì)服務(wù)器進(jìn)行FTP訪問(wèn)，不能進(jìn)行Web訪問(wèn)，教工則沒(méi)有此限制。實(shí)驗(yàn)拓?fù)淙鐖D所示。12首頁(yè)任務(wù)一任務(wù)二訓(xùn)練2

擴(kuò)展訪問(wèn)控制列表的配置訓(xùn)練要求添加2臺(tái)計(jì)算機(jī)和1臺(tái)服務(wù)器，1臺(tái)PC代表學(xué)生宿舍樓的計(jì)算機(jī)，一臺(tái)PC代表教師所用的計(jì)算機(jī)，服務(wù)器為學(xué)校的Web、FTP服務(wù)器。添加1臺(tái)3560交換機(jī)，在交換機(jī)上劃分3個(gè)Vlan，分別為Vlan10、Vlan20、Vlan30，開(kāi)啟三層路由功能實(shí)現(xiàn)全網(wǎng)互通。在交換機(jī)上配置擴(kuò)展訪問(wèn)控制列表限制學(xué)生機(jī)只能訪問(wèn)服務(wù)器上的FTP服務(wù)，而不能使用Web服務(wù)，但教師機(jī)不受限制。訓(xùn)練分析本任務(wù)只是要求限制學(xué)生機(jī)對(duì)校服務(wù)器的Web服務(wù)，此限制只是根據(jù)服務(wù)器提供的某種服務(wù)進(jìn)行控制，是基于服務(wù)端口進(jìn)行控制的，因此不能使用標(biāo)準(zhǔn)訪問(wèn)列表來(lái)實(shí)現(xiàn)。13首頁(yè)任務(wù)一任務(wù)二訓(xùn)練2

擴(kuò)展訪問(wèn)控制列表的配置訓(xùn)練步驟交換機(jī)的基本配置14首頁(yè)任務(wù)一任務(wù)二訓(xùn)練2

擴(kuò)展訪問(wèn)控制列表的配置訓(xùn)練步驟配置命名擴(kuò)展IP訪問(wèn)控制列表15首頁(yè)任務(wù)一任務(wù)二訓(xùn)練2

擴(kuò)展訪問(wèn)控制列表的配置訓(xùn)練步驟查看配置把訪問(wèn)控制列表在接口下應(yīng)用16首頁(yè)任務(wù)一訓(xùn)練2

擴(kuò)展訪問(wèn)控制列表的配置訓(xùn)練測(cè)試分別在學(xué)生機(jī)所在的網(wǎng)段和教師機(jī)所在的網(wǎng)段使用1臺(tái)主機(jī)，訪問(wèn)

Web服務(wù)器。測(cè)試發(fā)現(xiàn)，學(xué)生網(wǎng)段不能訪問(wèn)網(wǎng)頁(yè)，教學(xué)宿舍網(wǎng)段可以訪問(wèn)網(wǎng)頁(yè)。任務(wù)二訓(xùn)練小結(jié)訪問(wèn)控制列表要在接口下應(yīng)用。要注意deny某個(gè)網(wǎng)段后要permit其他網(wǎng)段。17首頁(yè)任務(wù)一任務(wù)二訓(xùn)練3

專(zhuān)家級(jí)訪問(wèn)控制列表的配置訓(xùn)練描述你是某公司的網(wǎng)絡(luò)管理員，最近你懷疑有人可能利用一些工具進(jìn)行網(wǎng)絡(luò)攻擊和訪問(wèn)。為了提高網(wǎng)絡(luò)訪問(wèn)的安全性，你需要利用專(zhuān)家級(jí)的訪問(wèn)列表，根據(jù)用戶(hù)的IP地址和MAC地址進(jìn)行網(wǎng)絡(luò)訪問(wèn)的控制。實(shí)驗(yàn)拓?fù)淙鐖D所示。18首頁(yè)任務(wù)一任務(wù)二訓(xùn)練3

專(zhuān)家級(jí)訪問(wèn)控制列表的配置訓(xùn)練要求添加2臺(tái)計(jì)算機(jī)和1臺(tái)服務(wù)器，2臺(tái)PC代表公司內(nèi)部的計(jì)算機(jī)，服務(wù)器為公司的Web和FTP服務(wù)器。添加1臺(tái)3560交換機(jī)和1臺(tái)2811路由器。在交換機(jī)上配置限制PC1不能訪問(wèn)服務(wù)器任何服務(wù)，但PC2不受限制。訓(xùn)練分析專(zhuān)家級(jí)訪問(wèn)控制列表可以利用MAC地址、IP地址、Vlan號(hào)、傳輸端口號(hào)、協(xié)議類(lèi)型、時(shí)間ACL等元素進(jìn)行靈活組合，定義規(guī)則。從而更加靈活地控制網(wǎng)絡(luò)的流量，保證網(wǎng)絡(luò)的安全運(yùn)行。本訓(xùn)練中限制

PC1不能訪問(wèn)服務(wù)器，但能訪問(wèn)其他計(jì)算機(jī)或服務(wù)。19首頁(yè)任務(wù)一任務(wù)二訓(xùn)練3

專(zhuān)家級(jí)訪問(wèn)控制列表的配置訓(xùn)練步驟路由器基本配置驗(yàn)證路由器配置20首頁(yè)任務(wù)一任務(wù)二訓(xùn)練3

專(zhuān)家級(jí)訪問(wèn)控制列表的配置訓(xùn)練步驟在交換機(jī)上配置專(zhuān)家級(jí)訪問(wèn)控制列表驗(yàn)證訪問(wèn)列表配置在接口上應(yīng)用專(zhuān)家級(jí)訪問(wèn)控制列表21首頁(yè)任務(wù)一訓(xùn)練3

專(zhuān)家級(jí)訪問(wèn)控制列表的配置訓(xùn)練測(cè)試PC1可ping通PC2，但不能訪問(wèn)服務(wù)器。

PC2可ping通PC1，也能訪問(wèn)服務(wù)器。任務(wù)二訓(xùn)練小結(jié)專(zhuān)家級(jí)訪問(wèn)列表用于過(guò)濾二層和三層、四層數(shù)據(jù)流。專(zhuān)家級(jí)訪問(wèn)列表可以使用源MAC地址、目的MAC地址、以太網(wǎng)類(lèi)型、源IP、目的IP以及可選的協(xié)議類(lèi)型信息作為匹配的條件。22首頁(yè)任務(wù)一任務(wù)二任務(wù)二 網(wǎng)絡(luò)地址轉(zhuǎn)換任務(wù)描述NAT（NetworkAddressTranslation，網(wǎng)絡(luò)地址轉(zhuǎn)換）的功能是將企業(yè)內(nèi)部自行定義的私有IP地址轉(zhuǎn)換為Internet公網(wǎng)上可識(shí)別的合法IP地址。由于現(xiàn)行IP地址標(biāo)準(zhǔn)——IPv4的限制，Internet面臨著IP地址空間短缺的問(wèn)題，從ISP申請(qǐng)并給企業(yè)的每位員工分配一個(gè)合法IP地址是不現(xiàn)實(shí)的。NAT技術(shù)能較好地解決現(xiàn)階段IP

v4地址短缺的問(wèn)題。NAT是指將網(wǎng)絡(luò)地址從一個(gè)地址空間轉(zhuǎn)換為另一個(gè)地址空間的行為。NAT將網(wǎng)絡(luò)劃分為內(nèi)部網(wǎng)絡(luò)（Inside）和外部網(wǎng)絡(luò)（Outside）兩部分。局域網(wǎng)主機(jī)利用NAT訪問(wèn)網(wǎng)絡(luò)時(shí)，是將局域網(wǎng)內(nèi)部的本地地址轉(zhuǎn)換為了全局地址（互聯(lián)網(wǎng)合法IP地址）后轉(zhuǎn)發(fā)數(shù)據(jù)包。NAT主要分為兩種類(lèi)型：NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換）和NAPT（網(wǎng)絡(luò)地址端口轉(zhuǎn)換）。因此本任務(wù)分以下兩個(gè)訓(xùn)練進(jìn)行學(xué)習(xí)。訓(xùn)練1

利用動(dòng)態(tài)NAPT實(shí)現(xiàn)局域網(wǎng)訪問(wèn)因特網(wǎng)。訓(xùn)練2

利用NAT實(shí)現(xiàn)外網(wǎng)主機(jī)訪問(wèn)內(nèi)網(wǎng)服務(wù)器。23首頁(yè)任務(wù)一任務(wù)二訓(xùn)練1

利用動(dòng)態(tài)NAPT實(shí)現(xiàn)局域網(wǎng)訪問(wèn)因特網(wǎng)訓(xùn)練描述你是某公司的網(wǎng)絡(luò)管理員，公司只向ISP申請(qǐng)了一個(gè)公網(wǎng)IP地址，希望全公司的主機(jī)都能訪問(wèn)外網(wǎng)，請(qǐng)你實(shí)現(xiàn)。實(shí)驗(yàn)拓?fù)淙鐖D所示：24首頁(yè)任務(wù)一任務(wù)二訓(xùn)練1

利用動(dòng)態(tài)NAPT實(shí)現(xiàn)局域網(wǎng)訪問(wèn)因特網(wǎng)訓(xùn)練要求添加1臺(tái)計(jì)算機(jī)代表公司內(nèi)部的計(jì)算機(jī)，1臺(tái)服務(wù)器代表公網(wǎng)上的一臺(tái)Web服務(wù)器。添加2臺(tái)2811路由器使用DCE串口線互聯(lián)模擬與公網(wǎng)互聯(lián)。在Lan-router上進(jìn)行NAPT配置，實(shí)現(xiàn)內(nèi)網(wǎng)的計(jì)算機(jī)能通過(guò)公網(wǎng)地址訪問(wèn)因特網(wǎng)上的服務(wù)器。訓(xùn)練分析公司通過(guò)路由器與外網(wǎng)互聯(lián)，公司只有一個(gè)公網(wǎng)地址，那就是與公網(wǎng)直連的路由器端口的IP，即，要實(shí)現(xiàn)內(nèi)網(wǎng)訪問(wèn)因特網(wǎng)，只能在內(nèi)網(wǎng)路由器上進(jìn)行NAPT配置才能實(shí)現(xiàn)。25首頁(yè)任務(wù)一任務(wù)二訓(xùn)練1

利用動(dòng)態(tài)NAPT實(shí)現(xiàn)局域網(wǎng)訪問(wèn)因特網(wǎng)訓(xùn)練步驟配置內(nèi)網(wǎng)路由器26首頁(yè)任務(wù)一任務(wù)二訓(xùn)練1

利用動(dòng)態(tài)NAPT實(shí)現(xiàn)局域網(wǎng)訪問(wèn)因特網(wǎng)訓(xùn)練步驟配置因特網(wǎng)路由器27首頁(yè)任務(wù)一任務(wù)二訓(xùn)練1

利用動(dòng)態(tài)NAPT實(shí)現(xiàn)局域網(wǎng)訪問(wèn)因特網(wǎng)訓(xùn)練步驟在內(nèi)網(wǎng)路由器上配置默認(rèn)路由并驗(yàn)證28首頁(yè)任務(wù)一任務(wù)二訓(xùn)練1

利用動(dòng)態(tài)NAPT實(shí)現(xiàn)局域網(wǎng)訪問(wèn)因特網(wǎng)訓(xùn)練步驟內(nèi)網(wǎng)路由器上配置動(dòng)態(tài)NAPT映射29首頁(yè)任務(wù)一任務(wù)二訓(xùn)練1

利用動(dòng)態(tài)NAPT實(shí)現(xiàn)局域網(wǎng)訪問(wèn)因特網(wǎng)訓(xùn)練測(cè)試在主機(jī)0上測(cè)試訪問(wèn)/index.html。在路由器lan-router查看NAPT映射關(guān)系：lan-router#show

ip

nat

translationsPro

Insideglobal Inside

local Outside

local

Outsideglobal

tcp

:1025

5:1025

:80:80訓(xùn)練小結(jié)不要把Inside和Outside應(yīng)用的接口弄錯(cuò)。要加上能使數(shù)據(jù)包向外轉(zhuǎn)發(fā)的路由，比如默認(rèn)路由。盡量不要用廣域網(wǎng)接口地址作為映射的全局地址，本例子中特定僅有一個(gè)公網(wǎng)地址，實(shí)際工作中不推薦。30首頁(yè)任務(wù)一任務(wù)二訓(xùn)練2

利用NAT實(shí)現(xiàn)外網(wǎng)主機(jī)訪問(wèn)內(nèi)網(wǎng)服務(wù)器訓(xùn)練描述你是某公司的網(wǎng)絡(luò)管理員，公司只向ISP申請(qǐng)了一個(gè)公網(wǎng)IP地址，現(xiàn)公司的網(wǎng)站在內(nèi)網(wǎng)，要求在因特網(wǎng)也可以訪問(wèn)公司網(wǎng)站，請(qǐng)你實(shí)現(xiàn)。網(wǎng)絡(luò)拓?fù)鋱D如圖所示，其中，是Web服務(wù)器的IP地址。31首頁(yè)任務(wù)一任務(wù)二訓(xùn)練2

利用NAT實(shí)現(xiàn)外網(wǎng)主機(jī)訪問(wèn)內(nèi)網(wǎng)服務(wù)器訓(xùn)練要求添加1臺(tái)計(jì)算機(jī)代表因特網(wǎng)上的計(jì)算機(jī)，1臺(tái)服務(wù)器代表公司內(nèi)部的一臺(tái)Web服務(wù)器。添加2臺(tái)2811路由器使用DCE串口線互聯(lián)，模擬與公網(wǎng)互聯(lián)。在Lan-router上進(jìn)行NAT配置，實(shí)現(xiàn)公網(wǎng)的計(jì)算機(jī)能訪問(wèn)內(nèi)網(wǎng)服務(wù)器上的Web服務(wù)。訓(xùn)練分析公司通過(guò)路由器與外網(wǎng)互聯(lián)，公司只有一個(gè)公網(wǎng)地址，那就是與公網(wǎng)直連的路由器端口的IP，即。公網(wǎng)的計(jì)算機(jī)是不能直接訪問(wèn)內(nèi)網(wǎng)計(jì)算機(jī)的，要實(shí)現(xiàn)內(nèi)網(wǎng)服務(wù)器上的服務(wù)被外網(wǎng)訪問(wèn)，則要將內(nèi)網(wǎng)服務(wù)器的IP映射到公網(wǎng)的IP上，因特網(wǎng)上的計(jì)算機(jī)通過(guò)公網(wǎng)IP訪問(wèn)到內(nèi)網(wǎng)服務(wù)器上的Web服務(wù)。32首頁(yè)任務(wù)一任務(wù)二訓(xùn)練2

利用NAT實(shí)現(xiàn)外網(wǎng)主機(jī)訪問(wèn)內(nèi)網(wǎng)服務(wù)器訓(xùn)練步驟內(nèi)網(wǎng)路由器的基本配置33首頁(yè)任務(wù)一任務(wù)二訓(xùn)練2

利用NAT實(shí)現(xiàn)外網(wǎng)主機(jī)訪問(wèn)內(nèi)網(wǎng)服務(wù)器訓(xùn)練步驟公網(wǎng)路由器的基本配置在Lan-router上配置默認(rèn)路由34首頁(yè)任務(wù)一任務(wù)二訓(xùn)練2

利用NAT實(shí)現(xiàn)外網(wǎng)主機(jī)訪問(wèn)內(nèi)網(wǎng)服務(wù)器訓(xùn)練步驟配置靜態(tài)NAT映射35首頁(yè)任務(wù)一任務(wù)二訓(xùn)練2

利用NAT實(shí)現(xiàn)外網(wǎng)主機(jī)訪問(wèn)內(nèi)網(wǎng)服務(wù)器訓(xùn)練測(cè)試在主機(jī)0