專家級(jí)訪問列表.doc

專家級(jí)訪問列表【實(shí)驗(yàn)名稱】專家級(jí)訪問控制列表。【實(shí)驗(yàn)?zāi)康摹空莆珍J捷網(wǎng)絡(luò)的專家級(jí)訪問列表的規(guī)則及配置?！颈尘懊枋觥磕闶悄彻镜木W(wǎng)管，最近你懷疑有人可能利用一些工具進(jìn)行網(wǎng)絡(luò)攻擊和訪問。為了提高網(wǎng)絡(luò)訪問的安全性，你需要利用專家級(jí)的訪問列表，根據(jù)用戶的IP地址和MAC地址進(jìn)行網(wǎng)絡(luò)訪問的控制。本實(shí)驗(yàn)以1臺(tái)S2126G交換機(jī)和1臺(tái)R1762路由器為例。PC1和PC2的IP地址分別為172.16.1.1/24和172.16.1.3/24，缺省網(wǎng)關(guān)為172.16.1.2/24，服務(wù)器（Server）的IP地址和缺省網(wǎng)關(guān)分別為160.16.1.1/24和160.16.1.2/24，路由器的接口F1/0和F1/1的IP地址分別為 172.16.1.2/24和160.16.1.2/24。【技術(shù)原理】專家級(jí)訪問控制列表可以利用MAC地址、IP地址、VLAN號(hào)、傳輸端口號(hào)、協(xié)議類型、時(shí)間ACL等元素進(jìn)行靈活組合，定義規(guī)則。從而更加靈活的控制網(wǎng)絡(luò)的流量，保證網(wǎng)絡(luò)的安全運(yùn)行?！緦?shí)現(xiàn)功能】基于時(shí)間對(duì)網(wǎng)絡(luò)訪問進(jìn)行控制，提高網(wǎng)絡(luò)的使用效率和安全性?！緦?shí)驗(yàn)設(shè)備】S2126G交換機(jī)（1臺(tái)）、R1762路由器（1臺(tái)）、直連線或交叉線（2條）【實(shí)驗(yàn)拓?fù)洹繄D 1注意：連接線纜時(shí)，注意交換機(jī)上的3個(gè)接口保證在同一個(gè)VLAN內(nèi)，如交換機(jī)原來有配置，清空原有配置?！緦?shí)驗(yàn)步驟】步驟1. 基本配置。Router#configure terminalRouter(config)#interface fastethernet 1/0Router(config-if)#ip address 172.16.1.2 255.255.255.0Router(config-if)#no shutdownRouter(config-if)#exitRouter(config)#interface fastethernet 1/1Router(config-if)#ip address 160.16.1.2 255.255.255.0Router(config-if)#no shutdownRouter(config-if)#exitRouter(config)# 驗(yàn)證配置：查看路由器接口的狀態(tài)。Router#show ip interface briefInterface IP-Address(Pri) OK? Statusserial 1/2 no address YES DOWNserial 1/3 no address YES DOWNFastEthernet 1/0 172.16.1.2/24 YES UPFastEthernet 1/1 160.16.1.2/24 YES UPNull 0 no address YES UP步驟2. 在S2126G上配置專家級(jí)訪問控制列表。Switch(config)# expert access-list extended test1 !定義專家級(jí)訪問列表e1Switch(config-ext-nacl)# deny ip host 172.16.1.1 host 00e0.9823.9526 host160.16.1.1 any ! 禁止IP地址及MAC地址為172.16.1.1和00e0.9823.9526的主機(jī) !訪問IP地址為60.16.1.1 的主機(jī)Switch(config-ext-nacl)# permit any any any any驗(yàn)證測試：驗(yàn)證訪問列表配置。Switch # show access-lists test1 !顯示專家級(jí)訪問列表test1Expert access list: test1 deny ip host 172.16.1.1 host 00e0.9823.9526 host 160.16.1.1 any permit ip any any any any步驟3. 在接口上應(yīng)用專家級(jí)訪問列控制列表。Switch (config)# interface fastethernet 0/1 !進(jìn)入接口F0/1配置模式Switch (config-if)# expert access-group test1 in ! 在接口F0/1的入方向上應(yīng)用專家級(jí)訪問列表test1驗(yàn)證測試：驗(yàn)證接口上應(yīng)用的訪問列表。switch# show access-groupInterface inbound access-list outbound access-list- - -Fa0/1 test1步驟4. 驗(yàn)證測試訪問控制列表的結(jié)果。R PC1測試C:ping 160.16.1.1 !驗(yàn)證PC1不能訪問服務(wù)器160.16.1.1圖 2C:ping 172.16.1.3 !驗(yàn)證PC1能訪問PC2 (172.16.1.3 )圖 3R PC2測試C:ping 160.16.1.1 !驗(yàn)證PC2能訪問服務(wù)器160.16.1.1圖 4【注意事項(xiàng)】1、 專家級(jí)訪問列表用于過濾二層和三層、四層數(shù)據(jù)流；2、 專家級(jí)訪問列表可以使用源MAC地址、目的MAC地址、以太網(wǎng)類型、源IP、目的IP、及可選的協(xié)議類型信息作為匹配的條件。【參考配置】Switch#show running-config ! 顯示交換機(jī)的全部配置Building configuration.Current configuration : 437 bytes!version 1.0!hostname SwitchA!expert access-list extended e1 deny ip host 172.16.1.1