授課標(biāo)題：任務(wù)4.1訪問控制列表ACL授課班級課時(shí)授課時(shí)間授課地點(diǎn)教學(xué)目標(biāo)能力（技能）目標(biāo)知識目標(biāo)素質(zhì)目標(biāo)能夠通過ACL包過濾配置滿足網(wǎng)絡(luò)訪問安全的需求了解ACL定義及應(yīng)用掌握ACL包過濾工作原理掌握ACL包過濾配置方法培養(yǎng)學(xué)生分析判斷的能力培養(yǎng)學(xué)生邏輯思維的能力培養(yǎng)學(xué)生團(tuán)結(jié)協(xié)作的能力英語詞匯課前訓(xùn)練英語詞匯：rule規(guī)則、basic基本、advanced高級、packet-filter包過濾、inbound入站方向、outbound出站方向課前準(zhǔn)備：教學(xué)課件、音視頻資料、相關(guān)實(shí)驗(yàn)軟件教學(xué)重、難點(diǎn)教學(xué)重點(diǎn)：ACL包過濾工作原理、配置方法教學(xué)難點(diǎn)：ACL包過濾工作原理能力訓(xùn)練任務(wù)描述及器材準(zhǔn)備小李剛剛大學(xué)畢業(yè)，應(yīng)聘到一家網(wǎng)絡(luò)服務(wù)公司做網(wǎng)絡(luò)運(yùn)維工程師，負(fù)責(zé)企事業(yè)單位網(wǎng)絡(luò)設(shè)備運(yùn)維的外包服務(wù)。負(fù)責(zé)企事業(yè)單位中網(wǎng)絡(luò)及其外部網(wǎng)絡(luò)設(shè)備的維護(hù)、管理、故障排除等日常工作，確保服務(wù)的單位網(wǎng)絡(luò)日常的正常運(yùn)作。任務(wù)描述：訪問控制列表ACL器材準(zhǔn)備：HCL模擬軟件等授課步驟教學(xué)內(nèi)容教學(xué)方法教學(xué)手段學(xué)生活動(dòng)時(shí)間安排告知（教學(xué)目的）本任務(wù)是學(xué)習(xí)ACL訪問控制列表的配置教師講授演示課件演示學(xué)生觀看2分鐘教學(xué)內(nèi)容引入或演示要增強(qiáng)網(wǎng)絡(luò)安全性，網(wǎng)絡(luò)設(shè)備需要具備控制某些訪問或某些數(shù)據(jù)的能力。ACL包過濾是一種被廣泛使用的網(wǎng)絡(luò)安全技術(shù)。它使用ACL來實(shí)現(xiàn)數(shù)據(jù)識別，并決定是轉(zhuǎn)發(fā)還是丟棄這些數(shù)據(jù)包。由ACL定義的報(bào)文匹配規(guī)則，還可以被其它需要對數(shù)據(jù)進(jìn)行區(qū)分的場合引用。教師講授演示課件演示操作演示學(xué)生觀看3分鐘任務(wù)一ACL概述ACL（AccessControlList，訪問控制列表）是用來實(shí)現(xiàn)數(shù)據(jù)包識別功能的ACL可以應(yīng)用于諸多方面：包過濾防火墻功能NAT（NetworkAddressTranslation，網(wǎng)絡(luò)地址轉(zhuǎn)換）QoS（QualityofService，服務(wù)質(zhì)量）的數(shù)據(jù)分類路由策略和過濾按需撥號二、ACL包過濾原理ACL的包過濾技術(shù)對進(jìn)出的數(shù)據(jù)包逐個(gè)過濾，丟棄或允許通過ACL應(yīng)用于接口上，每個(gè)接口的出入雙向分別過濾僅當(dāng)數(shù)據(jù)包經(jīng)過一個(gè)接口時(shí)，才能被此接口的此方向的ACL過濾入站包過濾工作流程出站包過濾工作流程通配符掩碼通配符掩碼和IP地址結(jié)合使用，以描述一個(gè)地址范圍通配符掩碼和子網(wǎng)掩碼相似，但含義不同0表示對應(yīng)位須比較1表示對應(yīng)位不比較三、ACL分類ACL的標(biāo)識利用數(shù)字序號標(biāo)識訪問控制列表可以給訪問控制列表指定名稱，便于維護(hù)基本ACL基本訪問控制列表只根據(jù)報(bào)文的源IP地址信息制定規(guī)則高級ACL高級訪問控制列表根據(jù)報(bào)文的源IP地址、目的IP地址、IP承載的協(xié)議類型、協(xié)議特性等三、四層信息制定規(guī)則二層ACL二層ACL根據(jù)報(bào)文的源MAC地址、目的MAC地址、802.1p優(yōu)先級、二層協(xié)議類型等二層信息制定匹配規(guī)則四、配置ACL包過濾ACL包過濾配置任務(wù)1.設(shè)置包過濾功能的默認(rèn)過濾規(guī)則（默認(rèn)動(dòng)作是permit）2.根據(jù)需要選擇合適的ACL分類3.創(chuàng)建正確的規(guī)則：設(shè)置匹配條件設(shè)置合適的動(dòng)作（Permit/Deny)4.在路由器的接口上應(yīng)用ACL，并指明過濾報(bào)文的方向（入站/出站）設(shè)置包過濾規(guī)則過濾功能默認(rèn)開啟設(shè)置包過濾的默認(rèn)過濾方式系統(tǒng)默認(rèn)的過濾方式是permit，即允許未匹配上ACL規(guī)則的報(bào)文通過可以配置包過濾的缺省動(dòng)作為deny[H3C]packet-filterdefaultdeny配置基本ACL配置基本ACL，并指定ACL序號，基本IPv4ACL的序號取值范圍為2000～2999[H3C]aclbasicacl-number定義規(guī)則制定要匹配的源IP地址范圍指定動(dòng)作是permit或deny[H3C-acl-basic-2000]rule[rule-id]{deny|permit}[counting|fragment|logging|source{sour-addrsour-wildcard|any}|time-rangetime-range-name]在接口上應(yīng)用ACL將ACL應(yīng)用到接口上，配置的ACL包過濾才能生效指明在接口上應(yīng)用的方向是Outbound（數(shù)據(jù)離開路由器的方向）還是Inbound（數(shù)據(jù)進(jìn)入路由器的方向）[H3C-Serial2/0]packet-filter{acl-number|nameacl-name}{inbound|outbound}教師演示操作演示學(xué)生觀看40分鐘訓(xùn)練一實(shí)驗(yàn)4.1.1基本ACL驗(yàn)證實(shí)驗(yàn)4.1.2基本ACL應(yīng)用學(xué)生操作學(xué)生操作教師輔導(dǎo)實(shí)際操作45分鐘任務(wù)二配置高級ACL配置高級IPv4ACL，并指定ACL序號高級IPv4ACL的序號取值范圍為3000～3999[H3C]acladvancedacl-number定義規(guī)則需要配置規(guī)則來匹配源IP地址、目的IP地址、IP承載的協(xié)議類型、協(xié)議端口號等信息指定動(dòng)作是permit或deny[H3C-acl-adv-3000]rule[rule-id]{deny|permit}protocol[destination{dest-addrdest-wildcard|any}|destination-portoperatorport1[port2]established|fragment|source{sour-addrsour-wildcard|any}|source-portoperatorport1[port2]|time-rangetime-range-name]查看包過濾的統(tǒng)計(jì)信息displaypacket-filterstatistics{interface[interface-typeinterface-number]{inbound|outbound}{acl-number|nameacl-name}}五、ACL包過濾的注意事項(xiàng)ACL規(guī)則的匹配順序匹配順序指ACL中規(guī)則的優(yōu)先級ACL支持兩種匹配順序：配置順序（config）：按照用戶配置規(guī)則的先后順序進(jìn)行規(guī)則匹配自動(dòng)排序（auto）：按照“深度優(yōu)先”的順序進(jìn)行規(guī)則匹配，即地址范圍小的規(guī)則被優(yōu)先進(jìn)行匹配配置ACL的匹配順序：[H3C]aclnumberacl-number[match-order{auto|config}]在網(wǎng)絡(luò)中的正確位置配置ACL包過濾盡可能在靠近數(shù)據(jù)源的路由器接口上配置ACL，以減少不必要的流量轉(zhuǎn)發(fā)高級ACL應(yīng)該在靠近被過濾源的接口上應(yīng)用ACL，以盡早阻止不必要的流量進(jìn)入網(wǎng)絡(luò)基本ACL過于靠近被過濾源的基本ACL可能阻止該源訪問合法目的應(yīng)在不影響其他合法訪問的前提下，盡可能使ACL靠近被過濾的源ACL包過濾的局限性ACL包過濾是根據(jù)數(shù)據(jù)包頭中的二、三、四層信息來進(jìn)行報(bào)文過濾的，對應(yīng)用層的信息無法識別無法根據(jù)用戶名來決定數(shù)據(jù)是否通過無法給不同的用戶授予不同的權(quán)限級別ACL包過濾防火墻是靜態(tài)防火墻，無法對應(yīng)用層的協(xié)議進(jìn)行動(dòng)態(tài)檢測教師演示操作演示學(xué)生觀看30分鐘訓(xùn)練二實(shí)驗(yàn)4.1.3高級ACL驗(yàn)證實(shí)驗(yàn)4.1.4高級ACL應(yīng)用學(xué)生操作學(xué)生操作教師輔導(dǎo)實(shí)際操作55分鐘任務(wù)考核評價(jià)標(biāo)準(zhǔn)根據(jù)任務(wù)實(shí)驗(yàn)要求評價(jià)學(xué)生操作學(xué)生操作教師輔導(dǎo)網(wǎng)絡(luò)作業(yè)2分鐘教學(xué)內(nèi)容總結(jié)、歸納本任務(wù)學(xué)習(xí)了訪問控制列表ACL的配置教師講授演示課件演示操作演示學(xué)生觀看3分鐘課后作業(yè)將任務(wù)過程截圖或拍攝上傳云班課實(shí)驗(yàn)4.1.1基本ACL驗(yàn)證實(shí)驗(yàn)4.1.2基本ACL應(yīng)用實(shí)驗(yàn)