分享从零开始学习网络设备配置--任务6.3 使用基本ACL限制网络访问

任务描述

某公司构建了互联互通的办公网,为保护公司内网用户数据的安全,该公司实施内网安全防范措施。公司分为经理部、财务部和销售部,分属3个不同的网段,3个部门之间用路由器进行信息传递。为了安全起见,公司领导要求管理员对网络的数据流量进行控制,使销售部不能对财务部进行访问,但经理部可以对财务部进行访问。 公司的财务部门涉及企业许多重要的财务信息和数据,因此保障公司管理部门的安全访问,减少普通部门对财务部的访问很有必要,这样可以尽可能地减少网络安全隐患。 在路由器上应用标准访问控制列表,对访问销售部的数据流量进行限制,禁止技术部访问销售部的数据流量通过,但对财务部的访问不做限制,从而达到保护销售数据主机安全的目的。

任务要求

(1)使用基本ACL限制网络访问,网络拓扑图如图

(2)路由器的端口IP地址设置如表

(3)计算机的IP地址、子网掩码和默认网关如表

(4)使用静态路由协议实现全网互通。

(5)配置基本访问控制列表,限制技术部PC1所在的网络可以访问财务部PC2的网络、不能访问销售部PC3所在的网络,但允许财务部PC2所在的网络访问销售部PC3所在的网络。

知识准备

1.ACL的基本概念

访问控制列表(Access Control List,ACL)是由一系列规则组成的集合,ACL通过这些规则对报文进行分类,从而使设备可以对不同类型的报文进行不同的处理。 一个ACL通常由若干条"deny | permit"语句组成,每条语句就是该ACL 的一条规则,每条语句中的"deny | permit"就是与这条规则相对应的处理动作。处理动作"permit"的含义是"允许",处理动作"deny"的含义是"拒绝"。特别需要说明的是,ACL 技术总是与其他技术结合使用的,因此,所结合的技术不同,"permit"及"deny"的内涵及作用也不同。例如,当 ACL 技术与流量过滤技术结合使用时,"permit"就是"允许通行"的意思,"deny"就是"拒绝通行"的意思。 ACL 是一种应用非常广泛的网络安全技术,配置了ACL的网络设备的工作过程可以分为以下两个步骤。

(1)根据事先设定好的报文匹配规则对经过该设备的报文进行匹配。

(2)对匹配的报文执行事先设定好的处理动作。

2.ACL的规则原理

ACL负责管理用户配置的所有规则,并提供报文匹配规则的算法。ACL 规则管理的基本思想如下。

(1)每个ACL作为一个规则组存在,一般可以包含多条规则。

(2)ACL中的各条规则都通过规则ID来标识,规则ID可以自行设置,也可以由系统根据步长自动生成,即设备会在创建ACL 的过程中自动为每一条规则分配一个 ID。

(3)默认情况下,ACL 中的所有规则均按照规则ID从小到大的顺序与规则进行匹配。

(4)规则ID之间会留下一定的间隔。如果不指定规则ID,则具体间隔大小由"ACL 的步长"来设定。例如,将规则编号的步长设定为10(注意,规则编号步长的默认值为5),则规则编号将按照10、20、30、40......的规律自动进行分配。如果将规则编号的步长设定为2,则规则编号将按照2、4、6、8......的规律自动进行分配。步长的大小反映了相邻规则编号之间的间隔大小。间隔的作用是方便在两个相邻的规则之间插入新的规则。

3.ACL的规则匹配

配置了ACL的设备在接收到一个报文之后,会将该报文与ACL 中的规则逐条进行匹配。如果无法匹配当前规则,则会继续尝试匹配下一条规则。一旦报文匹配上了某条规则,设备就会对该报文执行这条规则中定义的处理动作( permit 或 deny ),并且不再继续尝试与后续规则进行匹配。如果报文无法匹配 ACL 中的任何一条规则,则设备会对该报文执行"permit"动作。

4.ACL的分类

根据ACL具有的特性的不同,可以将ACL分成不同的类型,分别是基本ACL、高级ACL、二层ACL、用户自定义ACL。其中,应用最为广泛的是基本ACL和高级ACL。 基本ACL只能基于IP报文的源地址、报文分片标记和时间段信息来定义规则,编号范围为2000~2999。

任务实施

1.根据如图6.3.1所示的网络拓扑图,连线全部使用直通线、开启所有设备电源和为每一台计算机设置好相应的IP地址、子网掩码和默认网关。

2.路由器R1的基本配置。

3.路由器R2的基本配置。

4.配置静态路由实现全网互通。

(1)在路由器R1上配置。

(2)在路由器R2上配置。

5.配置基本访问控制列表和查看访问控制列表信息。

6.应用访问控制列表在端口上。

任务实施

1.在PC1上ping PC3,结果是不通的;在PC1上ping PC2,结果是通的,如图

2.在PC2上ping PC3,结果是通的,如图

3.查看访问控制列表的应用状态。

任务小结

(1)注意在访问控制列表的网络掩码是反掩码。

(2)访问控制列表要在端口下应用才生效。

(3)基本访问控制列表要应用在尽量靠近目的地址的端口。

相关推荐
Koi慢热11 分钟前
路由基础(全)
linux·网络·网络协议·安全
CV学术叫叫兽19 分钟前
一站式学习:害虫识别与分类图像分割
学习·分类·数据挖掘
我们的五年30 分钟前
【Linux课程学习】:进程程序替换,execl,execv,execlp,execvp,execve,execle,execvpe函数
linux·c++·学习
一棵开花的树,枝芽无限靠近你1 小时前
【PPTist】添加PPT模版
前端·学习·编辑器·html
VertexGeek1 小时前
Rust学习(八):异常处理和宏编程:
学习·算法·rust
二进制_博客2 小时前
Flink学习连载文章4-flink中的各种转换操作
大数据·学习·flink
hzyyyyyyyu2 小时前
内网安全隧道搭建-ngrok-frp-nps-sapp
服务器·网络·安全
codebolt2 小时前
ADS学习记录
学习
刽子手发艺2 小时前
WebSocket详解、WebSocket入门案例
网络·websocket·网络协议