分享从零开始学习网络设备配置--任务6.3 使用基本ACL限制网络访问

任务描述

某公司构建了互联互通的办公网,为保护公司内网用户数据的安全,该公司实施内网安全防范措施。公司分为经理部、财务部和销售部,分属3个不同的网段,3个部门之间用路由器进行信息传递。为了安全起见,公司领导要求管理员对网络的数据流量进行控制,使销售部不能对财务部进行访问,但经理部可以对财务部进行访问。 公司的财务部门涉及企业许多重要的财务信息和数据,因此保障公司管理部门的安全访问,减少普通部门对财务部的访问很有必要,这样可以尽可能地减少网络安全隐患。 在路由器上应用标准访问控制列表,对访问销售部的数据流量进行限制,禁止技术部访问销售部的数据流量通过,但对财务部的访问不做限制,从而达到保护销售数据主机安全的目的。

任务要求

(1)使用基本ACL限制网络访问,网络拓扑图如图

(2)路由器的端口IP地址设置如表

(3)计算机的IP地址、子网掩码和默认网关如表

(4)使用静态路由协议实现全网互通。

(5)配置基本访问控制列表,限制技术部PC1所在的网络可以访问财务部PC2的网络、不能访问销售部PC3所在的网络,但允许财务部PC2所在的网络访问销售部PC3所在的网络。

知识准备

1.ACL的基本概念

访问控制列表(Access Control List,ACL)是由一系列规则组成的集合,ACL通过这些规则对报文进行分类,从而使设备可以对不同类型的报文进行不同的处理。 一个ACL通常由若干条"deny | permit"语句组成,每条语句就是该ACL 的一条规则,每条语句中的"deny | permit"就是与这条规则相对应的处理动作。处理动作"permit"的含义是"允许",处理动作"deny"的含义是"拒绝"。特别需要说明的是,ACL 技术总是与其他技术结合使用的,因此,所结合的技术不同,"permit"及"deny"的内涵及作用也不同。例如,当 ACL 技术与流量过滤技术结合使用时,"permit"就是"允许通行"的意思,"deny"就是"拒绝通行"的意思。 ACL 是一种应用非常广泛的网络安全技术,配置了ACL的网络设备的工作过程可以分为以下两个步骤。

(1)根据事先设定好的报文匹配规则对经过该设备的报文进行匹配。

(2)对匹配的报文执行事先设定好的处理动作。

2.ACL的规则原理

ACL负责管理用户配置的所有规则,并提供报文匹配规则的算法。ACL 规则管理的基本思想如下。

(1)每个ACL作为一个规则组存在,一般可以包含多条规则。

(2)ACL中的各条规则都通过规则ID来标识,规则ID可以自行设置,也可以由系统根据步长自动生成,即设备会在创建ACL 的过程中自动为每一条规则分配一个 ID。

(3)默认情况下,ACL 中的所有规则均按照规则ID从小到大的顺序与规则进行匹配。

(4)规则ID之间会留下一定的间隔。如果不指定规则ID,则具体间隔大小由"ACL 的步长"来设定。例如,将规则编号的步长设定为10(注意,规则编号步长的默认值为5),则规则编号将按照10、20、30、40......的规律自动进行分配。如果将规则编号的步长设定为2,则规则编号将按照2、4、6、8......的规律自动进行分配。步长的大小反映了相邻规则编号之间的间隔大小。间隔的作用是方便在两个相邻的规则之间插入新的规则。

3.ACL的规则匹配

配置了ACL的设备在接收到一个报文之后,会将该报文与ACL 中的规则逐条进行匹配。如果无法匹配当前规则,则会继续尝试匹配下一条规则。一旦报文匹配上了某条规则,设备就会对该报文执行这条规则中定义的处理动作( permit 或 deny ),并且不再继续尝试与后续规则进行匹配。如果报文无法匹配 ACL 中的任何一条规则,则设备会对该报文执行"permit"动作。

4.ACL的分类

根据ACL具有的特性的不同,可以将ACL分成不同的类型,分别是基本ACL、高级ACL、二层ACL、用户自定义ACL。其中,应用最为广泛的是基本ACL和高级ACL。 基本ACL只能基于IP报文的源地址、报文分片标记和时间段信息来定义规则,编号范围为2000~2999。

任务实施

1.根据如图6.3.1所示的网络拓扑图,连线全部使用直通线、开启所有设备电源和为每一台计算机设置好相应的IP地址、子网掩码和默认网关。

2.路由器R1的基本配置。

3.路由器R2的基本配置。

4.配置静态路由实现全网互通。

(1)在路由器R1上配置。

(2)在路由器R2上配置。

5.配置基本访问控制列表和查看访问控制列表信息。

6.应用访问控制列表在端口上。

任务实施

1.在PC1上ping PC3,结果是不通的;在PC1上ping PC2,结果是通的,如图

2.在PC2上ping PC3,结果是通的,如图

3.查看访问控制列表的应用状态。

任务小结

(1)注意在访问控制列表的网络掩码是反掩码。

(2)访问控制列表要在端口下应用才生效。

(3)基本访问控制列表要应用在尽量靠近目的地址的端口。

相关推荐
dsywws3 分钟前
Linux学习笔记之时间日期和查找和解压缩指令
linux·笔记·学习
道法自然04024 分钟前
Ethernet 系列(8)-- 基础学习::ARP
网络·学习·智能路由器
爱吃生蚝的于勒10 分钟前
深入学习指针(5)!!!!!!!!!!!!!!!
c语言·开发语言·数据结构·学习·计算机网络·算法
EasyCVR1 小时前
萤石设备视频接入平台EasyCVR多品牌摄像机视频平台海康ehome平台(ISUP)接入EasyCVR不在线如何排查?
运维·服务器·网络·人工智能·ffmpeg·音视频
明月看潮生2 小时前
青少年编程与数学 02-003 Go语言网络编程 15课题、Go语言URL编程
开发语言·网络·青少年编程·golang·编程与数学
cuisidong19972 小时前
5G学习笔记三之物理层、数据链路层、RRC层协议
笔记·学习·5g
南宫理的日知录2 小时前
99、Python并发编程:多线程的问题、临界资源以及同步机制
开发语言·python·学习·编程学习
龙哥说跨境3 小时前
如何利用指纹浏览器爬虫绕过Cloudflare的防护?
服务器·网络·python·网络爬虫
数据与后端架构提升之路3 小时前
从神经元到神经网络:深度学习的进化之旅
人工智能·神经网络·学习
懒大王就是我3 小时前
C语言网络编程 -- TCP/iP协议
c语言·网络·tcp/ip