實(shí)驗(yàn)二十八配置擴(kuò)展IPACL(教師用)(優(yōu).選)

1、實(shí)驗(yàn)二十八配置擴(kuò)展IP ACL 【實(shí)驗(yàn)名稱(chēng)】 配置擴(kuò)展IP ACL。 【實(shí)驗(yàn)?zāi)康摹?使用擴(kuò)展IP ACL實(shí)現(xiàn)高級(jí)的訪問(wèn)控制。 【背景描述】 某校園網(wǎng)中，宿舍網(wǎng)、教工網(wǎng)和服務(wù)器區(qū)域分別屬于不同的3個(gè)子網(wǎng)，3個(gè)子網(wǎng) 之間使用路由器進(jìn)行互聯(lián)。宿舍網(wǎng)所在的子網(wǎng)為/24,教工網(wǎng)所在的子網(wǎng) 為/24,服務(wù)器區(qū)域所在的子網(wǎng)為/24現(xiàn)在要求宿舍網(wǎng)的主機(jī)只 能訪問(wèn)服務(wù)器區(qū)域的FTP服務(wù)器，而不能訪問(wèn)WWW Server。教工網(wǎng)的主機(jī)可以同時(shí) 訪問(wèn)FTP Serve和WWW Server。此外，除了宿舍網(wǎng)和教工網(wǎng)到達(dá)服務(wù)器區(qū)域的 FTP 和WWW流量以外

2、，不允許任何其他的數(shù)據(jù)流到達(dá)服務(wù)器區(qū)域。 擴(kuò)展IP ACL可以根據(jù)配置的規(guī)則對(duì)網(wǎng)絡(luò)中的數(shù)據(jù)進(jìn)行過(guò)濾。 【實(shí)驗(yàn)】 1.1實(shí)驗(yàn)設(shè)備 1、用戶自定義2621路由器2臺(tái) 2、PC機(jī)4臺(tái)（其中兩臺(tái)需要分別安裝FTP服務(wù)和WWW服務(wù)） 1.2組網(wǎng)圖 PC3 1.3設(shè)備IP地址表 設(shè)備名 接口 IP地址 子網(wǎng)掩碼 RT1 S0/0 F0/0 F0/1 F1/1 RT2 S0/0 255

3、.255.255.0 F0/0 宿舍網(wǎng)主機(jī)PC1 教工網(wǎng)主機(jī)PC2 其他主機(jī)PC3 FTffl艮務(wù)器 WW服務(wù)器 擴(kuò)展IP ACL可以對(duì)數(shù)據(jù)包的源IP地址、目的IP地址、協(xié)議、源端口、目的端口 進(jìn)行檢查。由于擴(kuò)展IP ACL能夠提供更多對(duì)數(shù)據(jù)包的檢查項(xiàng)，所以擴(kuò)展IP ACL常用 于高級(jí)的、復(fù)雜的訪問(wèn)

4、控制。當(dāng)應(yīng)用 ACL的接口接收或發(fā)送報(bào)文時(shí)，將根據(jù)接口配 置的ACL規(guī)則對(duì)數(shù)據(jù)進(jìn)行檢查，并采取相應(yīng)的措施，允許通過(guò)或拒絕通過(guò)，從而達(dá) 到訪問(wèn)控制的目的，提高網(wǎng)絡(luò)安全性。 1.4配置步驟 第一步：RT1基本配置。 Reconfigure terminal R1 (config)#interface fastEthernet 1/0 R1 (config-if)#ip address R1 (config-if)#exit R1 (config)#interface fastEthernet 1/1 R1 (config-if)#ip addres

5、s R1 (config-if)#exit R1 (config)#interface serial 1/2 R1 (config-if)#ip address R1 (config-if)#exit 第二步：RT2基本配置。 R2#configure terminal R2 (config)#interface serial 1/2 R2 (config-if)#ip address R2 (config-if)#exit R2 (config

6、)#interface fastEthernet 1/0 R2 (config-if)#ip address R2 (config-if)#exit 第三步：在RT1 上配置靜態(tài)路由 R1 (config)#ip route serial 1/2 第四步：在RT2上配置靜態(tài)路由。 R2 (config)#ip route serial 1/2 R2 (config)#ip route serial

7、 1/2 R2 (config)#ip route serial 1/2 第五步：配置擴(kuò)展IP ACL。 對(duì)于擴(kuò)展IP ACL，由于可以對(duì)數(shù)據(jù)包中的多個(gè)元素進(jìn)行檢查，所以可以將其放 置到距離源端近的位置，在本實(shí)驗(yàn)中是RT1的S0/0接 口。 (1) 允 許來(lái)自 宿舍網(wǎng)/24 子網(wǎng) 的到達(dá)FTP Server ()的流量 R1 (con fig)#access-list 100 permit tcp 55 host 172.1642 eq ftp R1 (con fig)

8、#access-list host eq ftp-data 100 permit tcp 55 (2 )允許來(lái)自教工網(wǎng) ()的流量 /24 子 網(wǎng)的到達(dá) FTP Server R1 (con fig)#access-list host eq ftp 100 permit tcp 55 R1 (con fig)#access-list host eq ftp-data 100 permit tcp

9、55 (3)允許來(lái)自教工網(wǎng) ()的流量 /24 子 網(wǎng)的到達(dá) WWW Server R1 (con fig)#access-list host eq www 100 permit tcp 55 第六步：應(yīng)用ACL R1 (co nfig)#i nterface serial 1/2 R1 (con fig-if)#ip access-group 100 out 第七步：在主機(jī)上安裝 FTP Serve和WWW Server。 【注意事項(xiàng)】 在部署擴(kuò)展ACL時(shí)，需要將其放置到距離源端近的位置，可以防止不要的流量 在網(wǎng)絡(luò)中傳輸。 1.5驗(yàn)證配置 1、PC1訪問(wèn)WWW的截圖保存在PKT文件中。 2、PC1訪問(wèn)FTP的截圖保存在PKT文件中。 3、PC2訪問(wèn)WWW的截圖保存在 PKT文件中。