网络设备配置与调试项目实训-项目8.3-扩展ACL配置课件.ppt

1、项目八 局域网安全与管理 模块8.3 扩展ACL配置模块8.3 扩展ACL配置内容简介内容简介o 描述描述扩展扩展ACL的相关知识和技能训练，重的相关知识和技能训练，重点是扩展点是扩展ACL主要功能及应用配置等主要功能及应用配置等。23知识目标、技能点知识目标、技能点o 能够描述能够描述扩展扩展ACL定义及应用定义及应用；o 掌握掌握扩展扩展ACL配置技能。配置技能。模块8.3 扩展ACL配置48.3.1 问题提出问题提出 在进行工作组之间流量控制过程中，有时在进行工作组之间流量控制过程中，有时只根据数据包源只根据数据包源IP实施流量控制不能完实施流量控制不能完全满足需求全满足需求。常常需要对

2、流量进行更加常常需要对流量进行更加细致的控制，对从某特定源地址发出、细致的控制，对从某特定源地址发出、到达某特定目标地址的某类数据包进行到达某特定目标地址的某类数据包进行具体流量过滤。具体流量过滤。模块8.3 扩展ACL配置8.3.2 相关知识相关知识1扩展扩展ACL概述概述 1）扩展）扩展ACL定义定义 扩展扩展ACL是指根据数据包中的源是指根据数据包中的源IP地址地址、目的、目的IP地址、协议及端口号来定义一地址、协议及端口号来定义一系列规则来过滤数据包的系列规则来过滤数据包的ACL。5模块8.3 扩展ACL配置6模块8.3 扩展ACL配置7模块8.3 扩展ACL配置2）扩展）扩展ACL规

3、则规则 （1）依据源）依据源IP地址、目的地址、目的IP地址、协议地址、协议及端口号进行过滤及端口号进行过滤；（2）从上至下的检测顺序）从上至下的检测顺序；（3）最后隐藏一条拒绝所有数据报的语）最后隐藏一条拒绝所有数据报的语句句。8模块8.3 扩展ACL配置9模块8.3 扩展ACL配置2扩展扩展ACL配置配置（1）创建编号扩展）创建编号扩展ACLListnumber：访问列表序号，访问列表序号，100199，2 0002 699；Protocol：0255之间的任一协议号，之间的任一协议号，如如IP、TCP和和UDP等等；Permit：允许满足条件的数据包通过；允许满足条件的数据包通过；Den

4、y：禁止满足条件的数据包通过；禁止满足条件的数据包通过；Source：数据包的源数据包的源IP地址；地址；10模块8.3 扩展ACL配置source-wildcard-mask：源地址通配源地址通配屏蔽码，屏蔽码，“1”表示不检查位，表示不检查位，“0”表表示必须匹配位；示必须匹配位；Destination：数据包的目的数据包的目的IP地址；地址；destination-wildcard-mask：目的地目的地址通配屏蔽码，址通配屏蔽码，“1”表示不检查位，表示不检查位，“0”表示必须匹配位；表示必须匹配位；11模块8.3 扩展ACL配置Operator：操作符（操作符（lt-小于，小于，eq

5、-等于，等于，gt-大于，大于，neg-不等于，不等于，range-包含）包含）；Port：端口号，用于指定端口范围，默认端口号，用于指定端口范围，默认为全部端口号为全部端口号065 535，只有，只有TCP和和UDP协议指定端口范围需要两个端口号协议指定端口范围需要两个端口号码，其他的操作符只要一个端口号。码，其他的操作符只要一个端口号。12模块8.3 扩展ACL配置13模块8.3 扩展ACL配置用用ruijie(config)#no access-list access-list number命令可以删除指命令可以删除指定的访问控制列表，如要删除定的访问控制列表，如要删除ACL101，则使

6、用命令则使用命令ruijie(config)#no access-list access-list 101。14模块8.3 扩展ACL配置例例1：允许地址为：允许地址为192.168.1.10的主机的主机访问地址为访问地址为172.16.1.10网站信息通过，网站信息通过，拒绝其他数据包通过。拒绝其他数据包通过。ruijie(config)#access-list 101 permit tcp host 192.168.1.10 host 172.16.1.10 eq 80ruijie(config)#15例例2：拒绝：拒绝192.168.1.0网络的主机访问网络的主机访问192.168.2.

7、0网络的主机，允许其他网络网络的主机，允许其他网络之间访问。之间访问。ruijie(config)#access-list 110 deny ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255ruijie(config)#access-list 110 permit ip any any模块8.3 扩展ACL配置16例例3：删除已定义的：删除已定义的ACL110ruijie(config)#no access-list 110模块8.3 扩展ACL配置17模块8.3 扩展ACL配置（2）应用编号扩展）应用编号扩展ACL用no ip access-gro

8、up access-list-number in|out命令取消访问列表与端口的关联。18例例1：在路由器的：在路由器的Fastethernet 0/1端端口上应用访问控制列表口上应用访问控制列表101，对进入的数，对进入的数据包进行过滤。据包进行过滤。ruijie(config)#interface fastethernet 0/1ruijie(config-if)#ip access-group 101 in模块8.3 扩展ACL配置19模块8.3 扩展ACL配置例例2：删除在：删除在Fa0/1端口的端口的ACL应用应用ruijie(config)#interface fastethern

9、et 0/1ruijie(config-if)#no ip access-group 101 in20模块8.3 扩展ACL配置（3）查看编号扩展）查看编号扩展ACL信息信息（4）应用实例）应用实例 在在下下图所示网络中，在路由器图所示网络中，在路由器Fa0/1输输入方向上，配置编号扩展入方向上，配置编号扩展ACL，允许，允许HostD访问访问HostA及及HostB访问，但访问，但不允许访问不允许访问HostC。21模块8.3 扩展ACL配置22模块8.3 扩展ACL配置第第1步：定义步：定义ACL规则规则ruijie(config)#access-list 101 pernit ip ho

10、st 200.1.1.10 host 192.168.1.10ruijie(config)#access-list 101 pernit ip host 200.1.1.10 host 192.168.1.1123模块8.3 扩展ACL配置第第2步：将定义的步：将定义的ACL规则应用到规则应用到Fa0/1端口输入方向上端口输入方向上ruijie(config)#interface fastehernet 0/1ruijie(config-if)#ip address 200.1.1.1 255.255.255.0ruijie(config-if)#ip access-group 101 in24模块8.3 扩展ACL配置第第3步：验证步：验证ACL功能功能分别在主机分别在主机HostD 上上ping 192.168.1.10、ping 192.168.1.11、ping 192.168.1.100，观察是否能够，观察是否能够ping通。通。25模块8.3 扩展ACL配置26结束模块8.3 扩展ACL配置