數(shù)據(jù)通信網(wǎng)絡(luò)技術(shù) 教案9 訪問控制列表

《數(shù)據(jù)通信網(wǎng)絡(luò)技術(shù) 教案9 訪問控制列表》由會(huì)員分享，可在線閱讀，更多相關(guān)《數(shù)據(jù)通信網(wǎng)絡(luò)技術(shù) 教案9 訪問控制列表（10頁珍藏版）》請?jiān)谘b配圖網(wǎng)上搜索。

1、 項(xiàng)目九訪問控制列表 【教學(xué)目標(biāo)】 1. 知識(shí)目標(biāo)： （1） 理解訪問控制列表的概念、分類、技術(shù)原理。 （2） 掌握訪問控制列表的匹配過程。 （3） 掌握標(biāo)準(zhǔn)、擴(kuò)展訪問控制列表的配置方法及應(yīng)用原則。 （4） 理解基于時(shí)間的訪問控制列表的概念。 2. 技能目標(biāo)： （1） 能夠完成標(biāo)準(zhǔn)、擴(kuò)展訪問控制列表的配置。 （2） 能夠完成基于時(shí)間的訪問控制列表的配置。 3. 素養(yǎng)目標(biāo) （1） 培養(yǎng)溝通交流及團(tuán)隊(duì)合作意識(shí) （2） 養(yǎng)成規(guī)范操作的職業(yè)習(xí)慣 （3） 培養(yǎng)精益求精的工匠精神 【教學(xué)重點(diǎn)】 標(biāo)準(zhǔn)、擴(kuò)展訪問控制列表的配置 【教學(xué)難點(diǎn)】 基于時(shí)間的訪問控制列表 【

2、教學(xué)方法】 項(xiàng)目教學(xué)法、啟發(fā)式教學(xué)法、自主探究、合作探究。 【導(dǎo)入新課】 企業(yè)網(wǎng)絡(luò)在運(yùn)行過程中，會(huì)面臨網(wǎng)內(nèi)、網(wǎng)外的很多攻擊，如病毒攻擊、惡意訪問等，如何解決 呢？通過在三層交換機(jī)或路由器上配置訪問控制列表過濾數(shù)據(jù)包，不但能夠有效抵御這些攻擊，而 且能夠控制訪問流量、提高網(wǎng)絡(luò)性能，具體如何配置，我們本次課來學(xué)習(xí)。 【教學(xué)過程】 任務(wù)一：標(biāo)準(zhǔn)訪問控制列表 拓?fù)浣Y(jié)構(gòu)：標(biāo)準(zhǔn)訪問控制列表拓?fù)浣Y(jié)構(gòu)如圖9-1所示。 Server-PT Serverl Server-PT Server2 圖9-1標(biāo)準(zhǔn)訪問控制列表拓?fù)浣Y(jié)構(gòu) 所需設(shè)備：三層交換機(jī)（型號(hào)3560） 一臺(tái)、路由器（型號(hào)

3、2621） 一臺(tái)、計(jì)算機(jī)兩臺(tái)、服務(wù)器兩 臺(tái)、直通線三根、交叉線兩根。 規(guī)劃IP地址： 計(jì)算機(jī) PC1 的 IP 地址：192. 168. 1. 1/24,網(wǎng)關(guān)：192. 168. 1.254O 服務(wù)器 Server 1 的 IP 地址:192. 168. 2. 1/24,網(wǎng)關(guān)：192. 168. 2. 254。 計(jì)算機(jī) PC2 的 IP 地址：192. 168.4. 1/24,網(wǎng)關(guān)：192. 168. 4. 254。 服務(wù)器 Server2 的 IP 地址：192. 168. 5. 1/24,網(wǎng)關(guān)：192. 168. 5. 254。 交換機(jī) SWA： Vian 10 的 IP

4、地址：192. 168. 1. 254/24。Vian 20 的 IP 地址：192. 168. 2. 254/24。 Vian 30 的 IP 地址：192. 168. 3. 1/24。 路由器 RA： fl/0 的 IP 地址：192. 168. 3. 2/24。f0/0 的 IP 地址：192. 168. 4. 254/24。 fO/1 的 IP 地址:192. 168. 5. 254/24o 設(shè)備連線： 計(jì)算機(jī)PCI-交換機(jī)SWA的fO/1端口，服務(wù)器Serverl一交換機(jī)SWA的fO/2端口。 計(jì)算機(jī)PC2—路由器RA的f0/0端口，服務(wù)器Server2一交換機(jī)RA的fO

5、/1端口。 交換機(jī)SWA的fO/24端口一路由器RA的fl/0端口。 任務(wù)要求： (1) 在三層交換機(jī)和路由器上配置OPSF路由，實(shí)現(xiàn)網(wǎng)絡(luò)連通。 (2) 利用標(biāo)準(zhǔn)訪問控制列表拒絕網(wǎng)絡(luò)192. 168. 1. 0/24訪問服務(wù)器Server2o (3) 利用標(biāo)準(zhǔn)訪問控制列表實(shí)現(xiàn)只允許計(jì)算機(jī)PC2能訪問服務(wù)器Serverlo 知識(shí)點(diǎn)鏈接： 1. 配置標(biāo)準(zhǔn)編號(hào)訪問控制列表 1) 定義標(biāo)準(zhǔn)編號(hào)訪問控制列表 定義標(biāo)準(zhǔn)編號(hào)訪問控制列表在全局模式下，配置命令如下。 Router (config) #access-l ist 編號(hào) permit I deny 源地址 通配屏蔽碼 其中，編

6、號(hào)的取值范圍為1?99之間整數(shù)值。 permit I deny表示允許還是拒絕滿足條件的數(shù)據(jù)包通過。 源地址是某一計(jì)算機(jī)地址或一組地址，使用通配屏蔽碼對源地址進(jìn)行匹配檢查。 2) 應(yīng)用標(biāo)準(zhǔn)編號(hào)訪問控制列表 在端曰(Vian)模式下，應(yīng)用命令如下。 Router (conf ig-if) #ip access-group 編號(hào) in I out 其中，編號(hào)指的是前面定義的訪問控制列表的編號(hào)，in與out表示應(yīng)用的方向。 3) 顯示標(biāo)準(zhǔn)編號(hào)訪問控制列表 配置完標(biāo)準(zhǔn)編號(hào)訪問控制列表后，要查看是否正確，可使用如下命令顯示。 Routerttshow access-lists 〃顯示所

7、有訪問控制列表 Routerttshow access-lists編號(hào) 〃顯示某一編號(hào)訪問控制列表 4) 刪除標(biāo)準(zhǔn)編號(hào)訪問控制列表 刪除標(biāo)準(zhǔn)編號(hào)訪問控制列表有兩種方法，刪除某一編號(hào)訪問控制列表和刪除某一訪問控制列表 在端口上的應(yīng)用。 (1) 刪除某一編號(hào)訪問控制列表命令。 Router (config) #no access-list 編號(hào) 使用該命令可以刪除此編號(hào)訪問控制列表中的所有語句。 (2) 刪除某一訪問控制列表在端口上的應(yīng)用命令。 Router (conf ig~if) #no ip access-group 編號(hào) in I out 刪除訪問控制列表在端口上的應(yīng)

8、用，不會(huì)刪除訪問控制列表，只會(huì)刪除與端口的關(guān)聯(lián)。 2. 配置標(biāo)準(zhǔn)命名訪問控制列表 標(biāo)準(zhǔn)命名訪問控制列表的配置過程也分為兩步，定義標(biāo)準(zhǔn)命名訪問控制列表和應(yīng)用標(biāo)準(zhǔn)命名訪 問控制列表。 1) 定義標(biāo)準(zhǔn)命名訪問控制列表命令 Router (config) #ip access-list standard 名稱 Router (conf ig-std-nacl) ttpermi t I deny 源地址 通配屏蔽碼 其中，名稱指訪問控制列表的名稱，由字符串組成，但不能出現(xiàn)空格。 2) 應(yīng)用標(biāo)準(zhǔn)命名訪問控制列表命令 應(yīng)用方法與標(biāo)準(zhǔn)編號(hào)訪問控制列表相同，在此不再贅述。 3) 顯示標(biāo)準(zhǔn)命名

9、訪問控制列表 Switchttshow access-lists 名稱 注意：編號(hào)訪問控制列表只要在端口上應(yīng)用了，就不可以再添加、刪除控制語句了，只能刪除 整個(gè)訪問控制列表。而命名訪問控制列表可以隨意添加和刪除控制語句，而無須刪除整個(gè)訪問控制 列表。 訪問控制列表可以在路由器上配置，也可以在三層交換機(jī)上配置，方法完全一樣。 任務(wù)分析： (1) 在路由器RA上配置標(biāo)準(zhǔn)編號(hào)訪問控制列表，拒絕網(wǎng)絡(luò)192. 168. 1.0/24訪問服務(wù)器Server2, 并在F0/0端口 out方向上應(yīng)用。 (2) 在三層交換機(jī)上配置標(biāo)準(zhǔn)命名訪問控制列表，允許計(jì)算機(jī)PC2訪問服務(wù)器Server 1

10、,拒絕 其他任何計(jì)算機(jī)訪問，并在Vian 20的out方向上應(yīng)用。 任務(wù)實(shí)施： 1) 繪制拓?fù)浣Y(jié)構(gòu) 繪制如圖9-1所示的拓?fù)浣Y(jié)構(gòu)，配置計(jì)算機(jī)的IP地址與網(wǎng)關(guān)。 2) 設(shè)置IP地址，配置0PSF路由 在三層交換機(jī)SWA上創(chuàng)建Vian,設(shè)置IP地址，配置OPSF路由。 3) 配置路由器RA的端口與OPSF路由 4) 連通測試 計(jì)算機(jī)PCI、PC2、Serverl和Server2之間能夠連通。 5) 拒絕網(wǎng)絡(luò)訪問服務(wù)器 6) 允許計(jì)算機(jī)訪問服務(wù)器 7) 故障診斷 如果沒有達(dá)到拒絕或允許數(shù)據(jù)包通過的目的，則可能是訪問控制列表語句錯(cuò)誤，或應(yīng)用位置、 方向錯(cuò)誤。 任務(wù)二：擴(kuò)

11、展訪問控制列表 拓?fù)浣Y(jié)構(gòu)：擴(kuò)展訪問控制列表拓?fù)浣Y(jié)構(gòu)如圖9-7所示。 , PC-PT PC2 Server-PT Serverl PC-PT PC1 3560-24PS 2621XM RA Server-PT Servwe2 圖9-7擴(kuò)展訪問控制列表拓?fù)浣Y(jié)構(gòu) 所需設(shè)備：與任務(wù)一相同。 規(guī)劃IP地址：與任務(wù)一相同。 設(shè)備連線：與任務(wù)一相同。 任務(wù)要求: (1)在三層交換機(jī)和路由器上配置OPSF路由，實(shí)現(xiàn)網(wǎng)絡(luò)連通。 (2)配置擴(kuò)展訪問控制列表禁止網(wǎng)絡(luò)192. 168. 1.0/24訪問服務(wù)器Server2 ±的WWW服務(wù)。 (3) 配置名稱為deny_ho

12、st的擴(kuò)展訪問控制列表禁止IP地址為192. 168. 4. 1/24的計(jì)算機(jī)使用 ping 命令 ping 服務(wù)器 Serverl o 知識(shí)點(diǎn)鏈接：擴(kuò)展命名訪問控制列表的配置 擴(kuò)展命名訪問控制列表的配置也分為兩步，定義訪問控制列表和應(yīng)用訪問控制列表。 1) 定義擴(kuò)展命名訪問控制列表 命令格式如下: Switch (config) #ip access-list extended 規(guī)則名稱 Switch (config-ext-nac 1)#permit I deny協(xié)議源地址通配屏蔽碼操作符源端口號(hào)目的 地址通配屏蔽碼操作符目的端口號(hào) 其中，名稱是指訪問控制列表的名稱。其他

13、參數(shù)與擴(kuò)展編號(hào)訪問控制列表命令中的一樣，在此 不再贅述。 例3：在三層交換機(jī)上配置訪問控制列表拒絕網(wǎng)絡(luò)172. 16. 3. 0/24訪問IP地址為172. 16. 4.1/24 的服務(wù)器上的WEB服務(wù)。 Switch (config)#ip access-list extended no_enter_80 Switch(config-ext-nacl)#deny tcp 172.16.3.0 0.0.0.255 host 172.16.4.1 eq www Switch(config-ext-nacl)^permit ip any any 2) 應(yīng)用擴(kuò)展命名訪問控制列表 應(yīng)用

14、擴(kuò)展命名訪問控制列表與應(yīng)用標(biāo)準(zhǔn)訪問控制列表的方法相同。 任務(wù)分析： （1） 配置擴(kuò)展訪問控制列表禁止網(wǎng)絡(luò)192. 168. 1. 0/24訪問服務(wù)器Server2上的WWW服務(wù)。 定義編號(hào)為101的擴(kuò)展訪問控制列表的第一條語句，動(dòng)作為deny,協(xié)議為tcp,源地址為 192.168.1.0/24,目地址為192.168. 5.1,目的端口號(hào)為80；第二條語句配置任何計(jì)算機(jī)可以訪問 任何計(jì)算機(jī)。 （2） 配置名稱為deny_host的擴(kuò)展訪問控制列表禁止IP地址為192. 168. 4. 1/24的計(jì)算機(jī)使用 ping 命令 ping 服務(wù)器 Serverlo 定義擴(kuò)展訪問控制

15、列表的第一條語句，拒絕協(xié)議為icmp、源地址為192. 168. 4. 1＞目地址為 192. 168.2. K訪問7端口（助記符為echo）的數(shù)據(jù)包通過，第二條語句配置任何計(jì)算機(jī)可以訪問 任何計(jì)算機(jī)。 任務(wù)實(shí)施： 1） 全網(wǎng)連通 參照任務(wù)一任務(wù)實(shí)施中的第1步~第6步進(jìn)行配置，使全網(wǎng)連通。 2） 禁止訪問服務(wù)器 禁止網(wǎng)絡(luò)192. 168. 1. 0/24訪問服務(wù)器Server2上的WWW服務(wù)。 （3） 在三層交換機(jī)上配置編號(hào)訪問控制列表。 （4） 測試。再次在計(jì)算機(jī)PC1的瀏覽器中輸入網(wǎng)址http://192.168. 5.1,點(diǎn)擊“前往”按鈕, 網(wǎng)頁顯示請求超時(shí)。在PC2

16、中測試，是正常的，說明擴(kuò)展訪問控制列表配置起作用了。 3） 禁止ping服務(wù)器 禁止IP地址為192. 168. 4. 1/24的計(jì)算機(jī)使用ping命令ping服務(wù)器Serverlo （1） 在路由器上配置命名擴(kuò)展訪問控制列表。 （2） 在計(jì)算機(jī)PC2中ping服務(wù)器Server 1的IP地址，此時(shí)顯示數(shù)據(jù)包無法到達(dá)，而其他計(jì)算 機(jī)依然可以ping通。 4） 故障診斷 如果沒有達(dá)到拒絕或允許數(shù)據(jù)包的目的，則可能是訪問控制列表語句錯(cuò)誤，或應(yīng)用的位置、方 向 任務(wù)三：基于時(shí)間的訪問控制列表 拓?fù)浣Y(jié)構(gòu)：基于時(shí)間的訪問控制列表拓?fù)浣Y(jié)構(gòu)如圖9-12所示。 PC-PT PC-PT

17、 PCA PCB 圖9-12基于時(shí)間的訪問控制列表拓?fù)浣Y(jié)構(gòu) 所需設(shè)備：三層交換機(jī)（型號(hào)3560） 一臺(tái)、計(jì)算機(jī)兩臺(tái)、服務(wù)器一臺(tái)、直通線三根。 規(guī)劃IP地址： 計(jì)算機(jī) PCA 的 IP 地址：172. 16. 1. 1/24,網(wǎng)關(guān)：172. 16. 1.254。 計(jì)算機(jī) PCB 的 IP 地址：172. 16. 2. 1/24,網(wǎng)關(guān)：172. 16. 2. 254。 服務(wù)器 Server 的 IP 地址：172. 16. 3. 1/24,網(wǎng)關(guān)：172. 16. 3. 254。 SWE： Vian 10 的 IP 地址：172. 16. 1. 254/24。Vian 20 的

18、 IP 地址：172. 16. 2. 254/24。 Vian 30 的 IP 地址：172. 16. 3. 254/24。 設(shè)備連線： 計(jì)算機(jī)PCA的f0端口一交換機(jī)SWE的fO/1,計(jì)算機(jī)PCB的f0端口一交換機(jī)SWE的fO/11。 服務(wù)器Server的f0端口一交換機(jī)SWE的gO/1端口。 任務(wù)要求： (1) 配置標(biāo)準(zhǔn)訪問控制列表，實(shí)現(xiàn)2020年5月1日至2021年5月1日之間的時(shí)間只有網(wǎng)絡(luò) 172. 16. 1. 0/24可以訪問服務(wù)器Servero (2) 配置擴(kuò)展訪問控制列表，實(shí)現(xiàn)網(wǎng)絡(luò)172. 16. 2. 0/24在周一至周五每天8:00-17:00不能訪 問服

19、務(wù)器Server的FTP服務(wù)。 知識(shí)點(diǎn)鏈接： 2.配置基于時(shí)間的訪問控制列表 配置基于時(shí)間的訪問控制列表分為兩步：第一步是定義時(shí)間范圍，第二步是關(guān)聯(lián)時(shí)間范圍。 1)定義時(shí)間范圍 時(shí)間范圍是一段絕對時(shí)間或一段周期性的時(shí)間，配置命令如下。 Router (config) #t ime-range 名稱 其中，time-range 定義時(shí)間范圍的命令，名稱指時(shí)間范圍的名稱，可以是1?32個(gè)字符，中 間不能有空格，用來標(biāo)識(shí)時(shí)間范圍，以便在訪問控制列表的語句上關(guān)聯(lián)。 例如，定義一個(gè)名稱為noftp的時(shí)間范圍。 Router (config)#time-range noftp 定義好

20、時(shí)間范圍后，就進(jìn)入了時(shí)間范圍模式，在該模式下，使用absolute命令設(shè)置絕對時(shí)間范 圍；使用periodic命令設(shè)置以星期為周期的時(shí)間范圍。 (1)設(shè)置絕對時(shí)間范圍。 absolute命令用來設(shè)置一段絕對時(shí)間的范圍，其后一般接start和end兩個(gè)關(guān)鍵字，在兩個(gè)關(guān) 鍵字后的時(shí)間以24小時(shí)制的時(shí)間hh:mm (小時(shí)：分鐘)表示，日期按照“XX月XX日XXXX年”的格 式表示，注意月份使用英文的全稱，時(shí)間范圍模式下，配置命令如下。 Switch (config-time-range) ttabsolute start 開始時(shí)間 end 結(jié)束時(shí)間 例1： 一個(gè)訪問控制列表從2020年

21、5月1日上午8點(diǎn)開始起作用，一直到2020年10月10日 23點(diǎn)停止起作用。 Switch(config-time-range)ttabsolute start 8:00 1 May 2020 end 23:00 10 October 2020 在配置時(shí)，start和end關(guān)鍵字也可以都省略。如果省略start及其后面的時(shí)間，表示與之關(guān) 聯(lián)的控制語句立即生效，并一直作用到end后面的時(shí)間為止；若省略end及其后面的時(shí)間，表示與 之關(guān)聯(lián)的控制語句在start后面的時(shí)間開始生效，并一直持續(xù)。 例2：從當(dāng)天17:00開始生效直到永遠(yuǎn)。 Switch(config-time-range

22、)#absolute start 17:00 例3：從配置開始生效，一直到2022年5月8日8時(shí)。 Switch(config-time-range)ttabsolute end 8:00 8 May 2022 例4：每天上午8點(diǎn)到晚上6點(diǎn)開始起作用。 Switch(config-time-range)^absolute start 8:00 end 18:00 (2)設(shè)置周期性時(shí)間范圍。 periodic設(shè)置以星期為周期的時(shí)間范圍。它的主要參數(shù)如表9-3所示，可以是其中的一個(gè)或多 個(gè)。 2)關(guān)聯(lián)時(shí)間范圍 時(shí)間范圍定義好后，必須關(guān)聯(lián)訪問控制列表語句才能生效，需要在訪問控制列表

23、語句的最后關(guān) 聯(lián)。 例如網(wǎng)絡(luò)172. 16.0.0/24中的計(jì)算機(jī)不能在每周一 9:00至周五17:00訪問網(wǎng)絡(luò) 172. 16. 11.0/24o Router (config)甘time-range monfr i _no_ac cess Router (config-time-range)ttperiodic weekday 9:00 to 17:00 Router (config) #access-l i st 101 deny ip 172. 16. 0. 0 0. 0. 0. 255 172. 16. 11.0 0. 0. 0. 255 time-range mon

24、fri noaccess Router (config)#access-list 101 permit ip any any 任務(wù)分析： (1) 配置標(biāo)準(zhǔn)訪問控制列表與絕對時(shí)間范圍，實(shí)現(xiàn)2020年5月1日至2021年5月1日之間的 時(shí)間只有網(wǎng)絡(luò)172. 16. 1. 0/24可以訪問服務(wù)器Servero (2) 配置擴(kuò)展訪問控制列表與周期性時(shí)間范圍，實(shí)現(xiàn)使網(wǎng)絡(luò)172. 16. 2. 0/24在周一至周五每天 8:00-17:00不能訪問服務(wù)器Server的FTP服務(wù)。 任務(wù)實(shí)施： 1) 繪制拓?fù)浣Y(jié)構(gòu) 繪制如圖9-12所示的拓?fù)浣Y(jié)構(gòu)。 2) 配置各計(jì)算機(jī)的IP地址與網(wǎng)關(guān) 計(jì)

25、算機(jī) PCA 的 IP 地址:172. 16. 1. 1/24 網(wǎng)關(guān)：172. 16. 1. 254 計(jì)算機(jī) PCB 的 IP 地址:172. 16. 2. 1/24 網(wǎng)關(guān)：172. 16. 2. 254 3) 配置交換機(jī)SWE (1) 在交換機(jī)SWE上創(chuàng)建Vian,設(shè)置IP地址。 (2) 配置交換機(jī)的時(shí)鐘。 4) 測試，此時(shí)全網(wǎng)連通 5) 配置基于時(shí)間的訪問控制列表 (1)配置標(biāo)準(zhǔn)訪問控制列表與絕對時(shí)間范圍。 6）測試 （1） 網(wǎng)絡(luò)172. 16. 1.0/24在2020年5月1日至2021年5月1日之間的時(shí)間可以訪問服務(wù)器 Servero 從PC1中ping服務(wù)器S

26、erver,不通。因?yàn)闀r(shí)間不在2020年5月1日至2021年5月1日之間。 將交換機(jī)的時(shí)鐘配置為2020年5月1日至2021年5月1日之間。 Switchttclock set 21:10:09 May 22 2020 再次測試，可以連通。 （2） 網(wǎng)絡(luò)172. 16. 2. 0/24在周一至周五每天8:00-17:00不能訪問服務(wù)器Server的網(wǎng)站。 同樣的方法，將交換機(jī)的時(shí)間調(diào)整為周一至周五每天8:00-17:00之外，從PC2中訪問Server 的FTP服務(wù)，無法訪問。將交換機(jī)的時(shí)間調(diào)整為周一至周五每天8:00-17:00之間，從PC2中訪問 Server的FTP服務(wù)可以

27、訪問。 【項(xiàng)目小結(jié)】 本任務(wù)主要學(xué)習(xí)了： 1） 能夠完成標(biāo)準(zhǔn)、擴(kuò)展訪問控制列表的配置。 2） 能夠完成基于時(shí)間的訪問控制列表的配置。 任務(wù)評(píng)價(jià)表 學(xué)生： 級(jí) 班 星期 日期 項(xiàng)目名稱 項(xiàng)目九訪問控制列表 組長 評(píng)價(jià)內(nèi)容 主要評(píng)價(jià)標(biāo)準(zhǔn) 分?jǐn)?shù) 小組評(píng)價(jià) 教師評(píng)價(jià) 任務(wù)一 標(biāo)準(zhǔn)訪問控制列表配置正確 40分 任務(wù)二 擴(kuò)展訪問控制列表配置正確 40分 任務(wù)三 基于時(shí)間的訪問控制列表配置正確 20分 總分 合計(jì) 項(xiàng)目總結(jié) （心得體會(huì)） 說明：（1）從設(shè)備選擇、設(shè)備連線、設(shè)備配置、連通測試等方面對任務(wù)進(jìn)行評(píng)價(jià)。 （2）滿分100分，總分二組長評(píng)價(jià)x40%+教師評(píng)價(jià)x60%o