基本ACL

已于 2023-12-16 15:15:10 修改
阅读量1.9k 收藏 30
点赞数 22
CC 4.0 BY-SA版权
文章标签： 智能路由器
于 2023-12-16 14:37:13 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/Zzaizhu/article/details/135032567

使用基本ACL限制公司网络访问

1.项目背景

Jan16公司有开发部、市场部和财务部，各有计算机若干台、财务系统服务器1台，使用三层交换机进行局域网组建，并通过路由器连接至外部网络。出于数据安全的考虑，需要再交换机上进行访问控制。项目拓扑如图1所示。具体要求如下：

（1） SW1上为开发部、市场部、财务部及财务系统分别创建了VLAN10、20、30、40；

（2） 要求财务系统服务器仅允许财务部进行访问；

（3） 财务系统服务器仅在内网使用，不允许访问外部网络；

（4） 测试计算机、交换机和路由器的IP和接口信息如拓扑所示。

image-20231216143020197

图1 网络拓扑图

2.项目规划设计

三层交换机的访问控制策略主要是通过ACL访问控制列表对不同VLAN的IP地址段进行流量匹配控制。标准ACL可以对IP包进行源地址匹配，即检查通过IP包中的源地址信息，如果源地址与ACL中的规则相匹配，就执行放行或拦截的操作。为了让其它部门无法访问财务系统服务器，可以在三层交换机中配置匹配财务部IP地址段、拒绝其他所有IP的ACL，并在G0/0/2接口的OUT方向上应用；同时在添加拒绝财务部系统服务器IP地址段的ACL，在G0/0/1接口的OUT方向上应用，组织财务部系统服务器访问外部网络。外部网络连接方面，三层交换机配置默认路由指向出口路由器。出口路由器可根据ISP接入方式采用对应的路由协议，这里不作描述。

配置步骤如下：

（1） 配置交换机基础环境

（2） 配置路由器基础环境

（3） 配置基本ACL访问控制

（4） 配置各部门计算机的IP地址

具体规划如下表：

表1 VLAN规划表
*VLAN* *ID**IP地址段**用途*
VLAN10192.168.10.0/24开发部
VLAN20192.168.20.0/24市场部
VLAN30192.168.30.0/24财务部
VLAN40192.168.40.0/24财务系统
VLAN50192.168.1.0/24连接外部网络
*表2* *端口规划表*
*本端设备**端口号**端口类型**所属VLAN**对端设备*
SW1E0/0/1-5accessVlan10开发部PC
SW1E0/0/6-15accessVlan20市场部PC
SW1E0/0/16-20accessVlan30财务部PC
SW1G0/0/2accessVlan40财务系统
SW1G0/0/1accessVlan50R1
*表3* ****IP***地址规划表
*设备**接口**IP地址*
R1G0/0/0192.168.1.1/24
R1G0/0/110.10.10.1/24
SW1VLANIF10192.168.10.254/24
SW1VLANIF20192.168.20.254/24
SW1VLANIF30192.168.30.254/24
SW1VLANIF40192.168.40.254/24
SW1VLANIF50192.168.1.254/24
财务系统服务器192.168.40.1/24
开发部192.168.10.1/24
市场部192.168.20.1/24
财务部192.168.30.1/24

*3.项目实施*

*（1）配置交换机基础环境*

①为各部门创建相应的VLAN

<Huawei>system-view

[Huawei]sysname SW1

[SW1]vlan batch 10 20 30 40 50

②将各部门计算机所使用的端口类型转换为ACCESS模式，并设置接口PVID，将端口划分到相应的VLAN

[SW1]port-group group-member Ethernet 0/0/1 to Ethernet 0/0/5

[SW1-port-group]port link-type access

[SW1-port-group]port default vlan 10

[SW1-port-group]quit

[SW1]port-group group-member Ethernet 0/0/6 to Ethernet 0/0/15

[SW1-port-group]port link-type access

[SW1-port-group]port default vlan 20

[SW1-port-group] quit

[SW1]port-group group-member Ethernet 0/0/16 to Ethernet 0/0/20

[SW1-port-group]port link-type access

[SW1-port-group]port default vlan 30

[SW1-port-group] quit

[SW1]interface G0/0/2
[SW1-GigabitEthernet0/0/2]port link-type access
[SW1-GigabitEthernet0/0/2]port default vlan 40
[SW1-port-group] quit
[SW1]interface G0/0/1
[SW1-GigabitEthernet0/0/1]port link-type access
[SW1-GigabitEthernet0/0/1]port default vlan 50
[SW1-port-group] quit

③配置vlanif接口的IP地址，作为各部门的网关

[SW1]interface Vlanif 10

[SW1-Vlanif10]ip add 192.168.10.254 24

[SW1]interface Vlanif 20

[SW1-Vlanif20]ip add 192.168.20.254 24

[SW1]interface Vlanif 30

[SW1-Vlanif30]ip add 192.168.30.254 24

[SW1]interface Vlanif 40

[SW1-Vlanif40]ip add 192.168.40.254 24

[SW1]interface Vlanif 50

[SW1-Vlanif50]ip add 192.168.1.254 24

④配置交换机默认路由

[SW1]ip route-static 0.0.0.0 0.0.0.0 192.168.1.1

*（2）配置路由器基础环境*

​ ①配置路由器接口IP地址

[Huawei]system-view

[Huawei]sysname R1

[R1]int G0/0/0

[R1-GigabitEthernet0/0/0]ip add 192.168.1.1 24

[R1]int G0/0/1

[R1-GigabitEthernet0/0/1]ip add 10.10.10.1 24

②配置路由器静态路由

[R1]ip route-static 192.168.10.0 255.255.255.0 192.168.1.254
[R1]ip route-static 192.168.20.0 255.255.255.0 192.168.1.254
[R1]ip route-static 192.168.30.0 255.255.255.0 192.168.1.254
[R1]ip route-static 192.168.40.0 255.255.255.0 192.168.1.254

*（3）配置基本ACL控制访问*

​ ①在交换机上配置ACL规则，允许数据包源网段为192.168.30.0的报文通过。将规则应用到G0/0/2的端口上。

[R1]ip route-static 192.168.10.0 255.255.255.0 192.168.1.254

[R1]ip route-static 192.168.20.0 255.255.255.0 192.168.1.254

[R1]ip route-static 192.168.30.0 255.255.255.0 192.168.1.254

[R1]ip route-static 192.168.40.0 255.255.255.0 192.168.1.254

​ ②在交换机上配置ACL规则，拒绝数据包源网段为192.168.40.0的报文通过。将规则应用到G0/0/1的端口上。

[SW1]acl 2001

[SW1-acl-basic-2001]rule deny source 192.168.40.0 0.0.0.255

[SW1]int G0/0/1

[SW1-GigabitEthernet0/0/1]traffic-filter outbound acl 2001

4.配置各部门计算机的IP地址

image-20231216143116438

图2 财务系统服务器 IP配置图 在上面

image-20231216143404872

图3 开发部PC IP配置图在上面

在这里插入图片描述

图4 市场部PC IP配置图在上面

image-20231216143428968

图5 财务部PC IP配置图在上面

*4.项目验证*

*（1）查看访问控制列表*

 SW1的配置



[SW1]display acl all 

Total nonempty ACL number is 2 

 Basic ACL 2000, 2 rulesAcl's

 step is 5 

rule 5 permit source 192.168.30.0 0.0.0.255  

rule 10 deny  Basic ACL 2001, 1 ruleAcl's step is 

5 rule 5 deny source 192.168.40.0 0.0.0.255

*（2）测试各部门计算机的互通性*

通过Ping命令，测试各部门内部通信息的情况。

使用开发部计算机Ping市场部及财务部的计算机:

PC>ping 192.168.20.1

Ping 192.168.20.1: 32 data bytes, Press Ctrl_C to break
From 192.168.20.1: bytes=32 seq=1 ttl=127 time=47 ms
From 192.168.20.1: bytes=32 seq=2 ttl=127 time=47 ms
From 192.168.20.1: bytes=32 seq=3 ttl=127 time=31 ms
From 192.168.20.1: bytes=32 seq=4 ttl=127 time=31 ms
From 192.168.20.1: bytes=32 seq=5 ttl=127 time=31 ms

--- 192.168.20.1 ping statistics ---
  5 packet(s) transmitted
  5 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 31/37/47 ms

PC>ping 192.168.30.1

Ping 192.168.30.1: 32 data bytes, Press Ctrl_C to break
From 192.168.30.1: bytes=32 seq=1 ttl=127 time=32 ms
From 192.168.30.1: bytes=32 seq=2 ttl=127 time=31 ms
From 192.168.30.1: bytes=32 seq=3 ttl=127 time=47 ms
From 192.168.30.1: bytes=32 seq=4 ttl=127 time=31 ms
From 192.168.30.1: bytes=32 seq=5 ttl=127 time=31 ms

--- 192.168.30.1 ping statistics ---
  5 packet(s) transmitted
  5 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 31/34/47 ms

*（3）测试各部门与财务系统的连接性*

使用开发部的计算机Ping财务系统：

PC>ping 192.168.40.1
Ping 192.168.40.1: 32 data bytes, Press Ctrl_C to break
Request timeout!
Request timeout!
Request timeout!
Request timeout!
Request timeout!

--- 192.168.40.1 ping statistics ---
  5 packet(s) transmitted
  0 packet(s) received
  100.00% packet loss

使用财务部的计算机Ping财务系统：

PC>ping 192.168.40.1

Ping 192.168.40.1: 32 data bytes, Press Ctrl_C to break
From 192.168.40.1: bytes=32 seq=1 ttl=127 time=47 ms
From 192.168.40.1: bytes=32 seq=2 ttl=127 time=31 ms
From 192.168.40.1: bytes=32 seq=3 ttl=127 time=32 ms
From 192.168.40.1: bytes=32 seq=4 ttl=127 time=31 ms
From 192.168.40.1: bytes=32 seq=5 ttl=127 time=47 ms

--- 192.168.40.1 ping statistics ---
  5 packet(s) transmitted
  5 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 31/37/47 ms

可以观察到其他部门无法连接到财务系统服务器上，唯有财务部可以连接到财务系统上。

*（4）测试外部网络的连通性*

通过Ping命令，测试各部门PC及财务系统服务器是否能够访问外网。

使用开发部的计算机Ping外部网络：

PC>ping 10.10.10.1

Ping 10.10.10.1: 32 data bytes, Press Ctrl_C to break
From 10.10.10.1: bytes=32 seq=1 ttl=254 time=31 ms
From 10.10.10.1: bytes=32 seq=2 ttl=254 time=47 ms
From 10.10.10.1: bytes=32 seq=3 ttl=254 time=31 ms
From 10.10.10.1: bytes=32 seq=4 ttl=254 time=47 ms
From 10.10.10.1: bytes=32 seq=5 ttl=254 time=31 ms

--- 10.10.10.1 ping statistics ---
  5 packet(s) transmitted
  5 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 31/37/47 ms

使用财务系统服务器Ping外部网络：

PC>ping 10.10.10.1

Ping 10.10.10.1: 32 data bytes, Press Ctrl_C to break
Request timeout!
Request timeout!
Request timeout!
Request timeout!
Request timeout!

--- 10.10.10.1 ping statistics ---
  5 packet(s) transmitted
  0 packet(s) received
  100.00% packet loss
  
```java

ket loss
  round-trip min/avg/max = 31/37/47 ms

使用财务系统服务器Ping外部网络：

PC>ping 10.10.10.1

Ping 10.10.10.1: 32 data bytes, Press Ctrl_C to break
Request timeout!
Request timeout!
Request timeout!
Request timeout!
Request timeout!

--- 10.10.10.1 ping statistics ---
  5 packet(s) transmitted
  0 packet(s) received
  100.00% packet loss

可以观察到到其他部门均能访问外部网络，唯有财务系统服务器无法访问外部网络。

Zzaizhu
关注
基本ACL和基本ACL限制Telnet登录
wertyh123456的博客
06-24 775
R1-GigabitEthernet0/0/1]traffic-filter inbound acl 2000 //在G0/0/1接口时，匹配到acl2000,执行相应过滤动作。[Huawei-GigabitEthernet0/0/3]port trunk allow-pass vlan 10 20 //配置两个VLAN。[Huawei-GigabitEthernet0/0/1]port link-type access //access模式。<Huawei>sys //视图。
分享从零开始学习网络设备配置--任务6.3 使用基本ACL限制网络访问
征途是星辰大海
09-09 1131
本文为网络设备配置与管理项目教程（华为eNSP模拟器版）教材配套资源，由电子工业出版社出版，张文库老师主编，讲解的非常详细，分享给大家，希望大家有所收获，支持正版！
标准ACL配置举例（某公司经理部、财务部和销售部）
salmonwilliam的博客
12-25 6557
  某公司经理部、财务部和销售部分别属于3个不同的网段，通过路由器传递信息。要求： 销售部PC2不能访问财务部PC3； 经理部PC1可以访问财务部PC3。 第一步：R1接口参数和OSPF协议配置 Router&gt;en Router#conf t Router(config)#hostname R1 R1(config)#int f0/0 R1(config-if)#ip add...
实验：Jan16公司使用动态NAT访问互联网.docx
11-19
本实验详细描述了Jan16公司使用动态NAT访问互联网的实验过程
实验：Jan16公司基于VRRP的负载均衡出口链路配置.docx
10-26
本实验给出了Jan16公司基于VRRP的负载均衡出口链路配置过程和结果
基于端口安全的Jan16公司网络组建
qq_62353531的博客
08-28 2681
在进行端口绑定时，需要查看两个信息，一个是计算机的MAC地址，另一个是计算机接入的端口。因此，可以先从计算机查看本机的MAC地址，然后从交换机上查看MAC地址对应的端口，最后进行MAC地址和端口的绑定。MAC地址是计算机的唯一物理标识，可以通过在交换机对应的端口上进行绑定，非绑定的MAC将无法接入到网络中。把计算机PC3,更换为计算机PC4,IP地址相同，MAC地址不同，连接到交换机Eth0/0/3接口上。可以看出，更换计算机后，MAC地址不同，计算机不能通信。（2）查看MAC所在的交换机端口。
华为设备内网常用访问控制案例配置
IT技术
05-18 1124
华为设备内网常用访问控制案例配置
动态NAT配置及应用
sdszoe4922的博客
12-05 468
路由器与外网的接口是串口S口，公网IP地址是200.1.1.1/30内网的WEB服务器地址192.168.1.100，公司内网由两个网段192.168.1.0和192.168.2.0，两个网段都能够访问外网。首先要在路由器上进行配置，设置缺省路由指向外网，然后在路由器上上配置动态NAT端口地址转换，实现对Internet访问。你是某公司的管理员，公司内网由一台WEB服务器，想ISP申请了一条专线(DDN专线)该专线分配了一个公网IP地址，通过配置实现公司的WEB服务器对外提供服务。
使用基本ACL限制公司网络访问.rar
02-17
2、学习目标：配置交换机基础环境，配置路由器基础环境，配置基本ACL访问控制 3、应用场景：使用基本ACL限制公司网络访问 4、特点：Word文档提供了实验的详细过程，包括每一步骤的操作命令和截图，并给出了实验的...
实验：使用基本ACL限制公司网络访问.docx
11-09
本实验"使用基本ACL限制公司网络访问"旨在让学生深入理解并掌握如何通过访问控制列表（ACL）来实现这一目标。实验主要涉及了eNSP（Enterprise Network Simulation Platform，企业网络模拟平台）、ACL、VLAN以及三层...
9.4-基本ACL和高级ACL（下）
04-20
在本节教程“9.4-基本ACL和高级ACL（下）”中，我们将深入探讨网络访问控制列表（Access Control Lists, ACLs）的应用，尤其是Cisco IOS设备上的配置。ACLs是网络安全策略的重要组成部分，用于控制网络流量，允许或...
实验：基于SNMP的Jan16公司网络管理.docx
11-22
本实验详细介绍了基于SNMP的Jan16公司网络管理，其中在路由器上配置SNMP协议，将CenOS 7作为网管服务器，通过SNMP协议，管理和监控其他路由器。
交换机配置第十二讲（ACL访问控制）
啊渊的专栏
05-15 4235
连线顺序我们首先将网络搭建起来，并不设置ACL控制，当网络都链接起来以后再进行ACL控制测试这样我们就知道ACL可以做到哪些控制了。
交换机访问控制列表（ACL）详解
一起coding，一起嗨。
12-21 3711
访问控制列表（Access Control Lists，简称ACL）是网络设备中一种重要的安全机制，主要用于过滤和控制网络流量。在交换机上配置ACL，我们可以根据源IP地址、目的IP地址、协议类型、端口号等参数，允许或拒绝特定的数据包通过。
实验十六 内网访问internet 动态NET
weixin_67183034的博客
02-21 994
动态地址转换是将内部本地地址与内部全局地址进行一对一的转换。 但是，是从内部全局地址池中动态地选择一个未使用的地址对内部本地地址进行转换。该地址是由未被使用的地址组成的地址池中在定义时排在最前面的一个。 当数据传输完毕后，路由器将把使用完的内部全局地址放回到地址池中，以供其它内部本地地址进行转换。但是在该地址被使用时，不能用该地址再进行一次转换。 其中NAT地址池通过ip nat pool xx来配置，172.16.12.1-172.16.12.100
三层交换机的配置和ACL访问控制（标准控制和扩展控制）策略的应用
zhang_yazhou的博客
05-15 8558
拓扑图示 这是一个简单的三层拓扑图示，如上图示，我们需要划分两个VLAN 10 20并且他们之间是可以通信的。 那面我们就说一说简单的配置命令吧： 在二层交换机上： 创建VLAN 10和VLAN20 进入接口把端口性质配置成access 把这个接口加入到VLAN10 激活端口 进入g0/0/1接口，把这个接口性质配置成trunk。 允许VLAN10和VLAN20通过这个trunk 在三层交换机上面配置： 创建VLAN10和VLAN20 进入VLAN10接口配置IP地址，也是内网网关 记得要激
esnp的静态和动态nat
qq_45140146的博客
04-29 3511
网络地址转换技术NAT 静态 NAT 对外发布网站 1.项目背景 Jan16公司搭建了网站服务器，用于对外发布公司官网。为了保障内部网络的安全和解决私有地址在公网的信息，需在出口路由中配置NAT，使内部服务器映射到公网地址上。 项目拓扑如图1所示，具体要求如下： （1） 公司内网使用192.168.1.0/24网段，出口为16.16.16.0/24网段； （2） 出口路由器上申请了一个16.16.16.1的IP可供网站服务器做NAT映射； （3） 测试计算机和路由器的IP和接口信息如拓扑所示。 对clou
cisco ACL策略配置和查看
weixin_33895016的博客
04-03 9901
首选查看设备有哪些关于ACL的配置，可以使用以下命令：44-SW4#show running-config | section access ip access-group 100 inaccess-list 100 permit eigrp any anyaccess-list 100 deny icmp any any查看acl的具体情况，包括acl类型、acl序号、...
基本ACL的工作原理
最新发布
06-24
### 基本ACL的工作原理及配置方法 基本ACL（Access Control List）是一种基于源IP地址的过滤技术，主要用于控制网络中的数据流。通过定义一系列规则，基本ACL可以允许或拒绝特定源IP地址的数据包进入或离开网络设备。以下是基本ACL的工作原理及其实现方式： #### 1. 工作原理 基本ACL的核心功能是通过对报文源IP地址的匹配来决定是否允许其通过网络设备。它由一系列规则组成，这些规则按照顺序逐一匹配数据包的源IP地址。一旦某个规则匹配成功，则根据该规则的动作（允许或拒绝）对数据包进行处理，并停止后续规则的匹配[^1]。 - **规则匹配**：基本ACL使用通配符掩码（Wildcard Mask）来定义源IP地址范围。通配符掩码与子网掩码类似，但作用相反，0表示必须匹配，1表示可以忽略。 - **匹配顺序**：基本ACL的规则按照配置顺序进行匹配，即先配置的规则优先级更高。如果未找到匹配项，则默认执行隐式拒绝操作（deny any）[^3]。 #### 2. 配置方法 基本ACL的配置通常包括以下几个关键步骤： - **创建ACL**：通过命令行界面（CLI）创建一个编号为1到99或1300到1999的基本ACL。例如，在Cisco设备中，可以通过以下命令创建一个基本ACL： ```bash access-list <number> permit|deny <source-ip> <wildcard-mask> ``` - `<number>`：ACL编号，用于标识基本ACL。 - `permit|deny`：指定动作，允许或拒绝流量。 - `<source-ip>`：源IP地址。 - `<wildcard-mask>`：通配符掩码，用于定义源IP地址范围。 - **应用ACL**：将创建的ACL应用到接口的入方向（inbound）或出方向（outbound）。例如： ```bash interface <interface-name> ip access-group <number> in|out ``` - `<interface-name>`：指定接口名称。 - `in|out`：指定ACL应用于入方向或出方向。 #### 示例配置 以下是一个完整的示例，展示如何配置一个基本ACL以允许来自192.168.1.0/24网段的流量，同时拒绝其他所有流量： ```bash access-list 1 permit 192.168.1.0 0.0.0.255 access-list 1 deny any interface GigabitEthernet0/0 ip access-group 1 in ``` - 第一行：允许192.168.1.0/24网段的流量。 - 第二行：拒绝所有其他流量。 - 第三行至第五行：将ACL 1应用到GigabitEthernet0/0接口的入方向。 #### 注意事项 在配置基本ACL时，需注意以下几点以避免潜在问题： - 确保规则顺序正确，因为ACL按照配置顺序进行匹配[^2]。 - 谨慎使用通配符掩码，错误的掩码可能导致不期望的结果。 - 测试ACL配置后，检查流量是否按预期被允许或拒绝[^2]。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值