基本ACL

已于 2023-12-16 15:15:10 修改
阅读量1.8k 收藏 30
点赞数 22
文章标签： 智能路由器
于 2023-12-16 14:37:13 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/Zzaizhu/article/details/135032567
版权

使用基本ACL限制公司网络访问

1.项目背景

Jan16公司有开发部、市场部和财务部，各有计算机若干台、财务系统服务器1台，使用三层交换机进行局域网组建，并通过路由器连接至外部网络。出于数据安全的考虑，需要再交换机上进行访问控制。项目拓扑如图1所示。具体要求如下：

（1） SW1上为开发部、市场部、财务部及财务系统分别创建了VLAN10、20、30、40；

（2） 要求财务系统服务器仅允许财务部进行访问；

（3） 财务系统服务器仅在内网使用，不允许访问外部网络；

（4） 测试计算机、交换机和路由器的IP和接口信息如拓扑所示。

image-20231216143020197

图1 网络拓扑图

2.项目规划设计

三层交换机的访问控制策略主要是通过ACL访问控制列表对不同VLAN的IP地址段进行流量匹配控制。标准ACL可以对IP包进行源地址匹配，即检查通过IP包中的源地址信息，如果源地址与ACL中的规则相匹配，就执行放行或拦截的操作。为了让其它部门无法访问财务系统服务器，可以在三层交换机中配置匹配财务部IP地址段、拒绝其他所有IP的ACL，并在G0/0/2接口的OUT方向上应用；同时在添加拒绝财务部系统服务器IP地址段的ACL，在G0/0/1接口的OUT方向上应用，组织财务部系统服务器访问外部网络。外部网络连接方面，三层交换机配置默认路由指向出口路由器。出口路由器可根据ISP接入方式采用对应的路由协议，这里不作描述。

配置步骤如下：

（1） 配置交换机基础环境

（2） 配置路由器基础环境

（3） 配置基本ACL访问控制

（4） 配置各部门计算机的IP地址

具体规划如下表：

表1 VLAN规划表
*VLAN* *ID**IP地址段**用途*
VLAN10192.168.10.0/24开发部
VLAN20192.168.20.0/24市场部
VLAN30192.168.30.0/24财务部
VLAN40192.168.40.0/24财务系统
VLAN50192.168.1.0/24连接外部网络
*表2* *端口规划表*
*本端设备**端口号**端口类型**所属VLAN**对端设备*
SW1E0/0/1-5accessVlan10开发部PC
SW1E0/0/6-15accessVlan20市场部PC
SW1E0/0/16-20accessVlan30财务部PC
SW1G0/0/2accessVlan40财务系统
SW1G0/0/1accessVlan50R1
*表3* ****IP***地址规划表
*设备**接口**IP地址*
R1G0/0/0192.168.1.1/24
R1G0/0/110.10.10.1/24
SW1VLANIF10192.168.10.254/24
SW1VLANIF20192.168.20.254/24
SW1VLANIF30192.168.30.254/24
SW1VLANIF40192.168.40.254/24
SW1VLANIF50192.168.1.254/24
财务系统服务器192.168.40.1/24
开发部192.168.10.1/24
市场部192.168.20.1/24
财务部192.168.30.1/24

*3.项目实施*

*（1）配置交换机基础环境*

①为各部门创建相应的VLAN

<Huawei>system-view

[Huawei]sysname SW1

[SW1]vlan batch 10 20 30 40 50

②将各部门计算机所使用的端口类型转换为ACCESS模式，并设置接口PVID，将端口划分到相应的VLAN

[SW1]port-group group-member Ethernet 0/0/1 to Ethernet 0/0/5

[SW1-port-group]port link-type access

[SW1-port-group]port default vlan 10

[SW1-port-group]quit

[SW1]port-group group-member Ethernet 0/0/6 to Ethernet 0/0/15

[SW1-port-group]port link-type access

[SW1-port-group]port default vlan 20

[SW1-port-group] quit

[SW1]port-group group-member Ethernet 0/0/16 to Ethernet 0/0/20

[SW1-port-group]port link-type access

[SW1-port-group]port default vlan 30

[SW1-port-group] quit

[SW1]interface G0/0/2
[SW1-GigabitEthernet0/0/2]port link-type access
[SW1-GigabitEthernet0/0/2]port default vlan 40
[SW1-port-group] quit
[SW1]interface G0/0/1
[SW1-GigabitEthernet0/0/1]port link-type access
[SW1-GigabitEthernet0/0/1]port default vlan 50
[SW1-port-group] quit

③配置vlanif接口的IP地址，作为各部门的网关

[SW1]interface Vlanif 10

[SW1-Vlanif10]ip add 192.168.10.254 24

[SW1]interface Vlanif 20

[SW1-Vlanif20]ip add 192.168.20.254 24

[SW1]interface Vlanif 30

[SW1-Vlanif30]ip add 192.168.30.254 24

[SW1]interface Vlanif 40

[SW1-Vlanif40]ip add 192.168.40.254 24

[SW1]interface Vlanif 50

[SW1-Vlanif50]ip add 192.168.1.254 24

④配置交换机默认路由

[SW1]ip route-static 0.0.0.0 0.0.0.0 192.168.1.1

*（2）配置路由器基础环境*

​ ①配置路由器接口IP地址

[Huawei]system-view

[Huawei]sysname R1

[R1]int G0/0/0

[R1-GigabitEthernet0/0/0]ip add 192.168.1.1 24

[R1]int G0/0/1

[R1-GigabitEthernet0/0/1]ip add 10.10.10.1 24

②配置路由器静态路由

[R1]ip route-static 192.168.10.0 255.255.255.0 192.168.1.254
[R1]ip route-static 192.168.20.0 255.255.255.0 192.168.1.254
[R1]ip route-static 192.168.30.0 255.255.255.0 192.168.1.254
[R1]ip route-static 192.168.40.0 255.255.255.0 192.168.1.254

*（3）配置基本ACL控制访问*

​ ①在交换机上配置ACL规则，允许数据包源网段为192.168.30.0的报文通过。将规则应用到G0/0/2的端口上。

[R1]ip route-static 192.168.10.0 255.255.255.0 192.168.1.254

[R1]ip route-static 192.168.20.0 255.255.255.0 192.168.1.254

[R1]ip route-static 192.168.30.0 255.255.255.0 192.168.1.254

[R1]ip route-static 192.168.40.0 255.255.255.0 192.168.1.254

​ ②在交换机上配置ACL规则，拒绝数据包源网段为192.168.40.0的报文通过。将规则应用到G0/0/1的端口上。

[SW1]acl 2001

[SW1-acl-basic-2001]rule deny source 192.168.40.0 0.0.0.255

[SW1]int G0/0/1

[SW1-GigabitEthernet0/0/1]traffic-filter outbound acl 2001

4.配置各部门计算机的IP地址

image-20231216143116438

图2 财务系统服务器 IP配置图 在上面

image-20231216143404872

图3 开发部PC IP配置图在上面

在这里插入图片描述

图4 市场部PC IP配置图在上面

image-20231216143428968

图5 财务部PC IP配置图在上面

*4.项目验证*

*（1）查看访问控制列表*

 SW1的配置



[SW1]display acl all 

Total nonempty ACL number is 2 

 Basic ACL 2000, 2 rulesAcl's

 step is 5 

rule 5 permit source 192.168.30.0 0.0.0.255  

rule 10 deny  Basic ACL 2001, 1 ruleAcl's step is 

5 rule 5 deny source 192.168.40.0 0.0.0.255

*（2）测试各部门计算机的互通性*

通过Ping命令，测试各部门内部通信息的情况。

使用开发部计算机Ping市场部及财务部的计算机:

PC>ping 192.168.20.1

Ping 192.168.20.1: 32 data bytes, Press Ctrl_C to break
From 192.168.20.1: bytes=32 seq=1 ttl=127 time=47 ms
From 192.168.20.1: bytes=32 seq=2 ttl=127 time=47 ms
From 192.168.20.1: bytes=32 seq=3 ttl=127 time=31 ms
From 192.168.20.1: bytes=32 seq=4 ttl=127 time=31 ms
From 192.168.20.1: bytes=32 seq=5 ttl=127 time=31 ms

--- 192.168.20.1 ping statistics ---
  5 packet(s) transmitted
  5 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 31/37/47 ms

PC>ping 192.168.30.1

Ping 192.168.30.1: 32 data bytes, Press Ctrl_C to break
From 192.168.30.1: bytes=32 seq=1 ttl=127 time=32 ms
From 192.168.30.1: bytes=32 seq=2 ttl=127 time=31 ms
From 192.168.30.1: bytes=32 seq=3 ttl=127 time=47 ms
From 192.168.30.1: bytes=32 seq=4 ttl=127 time=31 ms
From 192.168.30.1: bytes=32 seq=5 ttl=127 time=31 ms

--- 192.168.30.1 ping statistics ---
  5 packet(s) transmitted
  5 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 31/34/47 ms

*（3）测试各部门与财务系统的连接性*

使用开发部的计算机Ping财务系统：

PC>ping 192.168.40.1
Ping 192.168.40.1: 32 data bytes, Press Ctrl_C to break
Request timeout!
Request timeout!
Request timeout!
Request timeout!
Request timeout!

--- 192.168.40.1 ping statistics ---
  5 packet(s) transmitted
  0 packet(s) received
  100.00% packet loss

使用财务部的计算机Ping财务系统：

PC>ping 192.168.40.1

Ping 192.168.40.1: 32 data bytes, Press Ctrl_C to break
From 192.168.40.1: bytes=32 seq=1 ttl=127 time=47 ms
From 192.168.40.1: bytes=32 seq=2 ttl=127 time=31 ms
From 192.168.40.1: bytes=32 seq=3 ttl=127 time=32 ms
From 192.168.40.1: bytes=32 seq=4 ttl=127 time=31 ms
From 192.168.40.1: bytes=32 seq=5 ttl=127 time=47 ms

--- 192.168.40.1 ping statistics ---
  5 packet(s) transmitted
  5 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 31/37/47 ms

可以观察到其他部门无法连接到财务系统服务器上，唯有财务部可以连接到财务系统上。

*（4）测试外部网络的连通性*

通过Ping命令，测试各部门PC及财务系统服务器是否能够访问外网。

使用开发部的计算机Ping外部网络：

PC>ping 10.10.10.1

Ping 10.10.10.1: 32 data bytes, Press Ctrl_C to break
From 10.10.10.1: bytes=32 seq=1 ttl=254 time=31 ms
From 10.10.10.1: bytes=32 seq=2 ttl=254 time=47 ms
From 10.10.10.1: bytes=32 seq=3 ttl=254 time=31 ms
From 10.10.10.1: bytes=32 seq=4 ttl=254 time=47 ms
From 10.10.10.1: bytes=32 seq=5 ttl=254 time=31 ms

--- 10.10.10.1 ping statistics ---
  5 packet(s) transmitted
  5 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 31/37/47 ms

使用财务系统服务器Ping外部网络：

PC>ping 10.10.10.1

Ping 10.10.10.1: 32 data bytes, Press Ctrl_C to break
Request timeout!
Request timeout!
Request timeout!
Request timeout!
Request timeout!

--- 10.10.10.1 ping statistics ---
  5 packet(s) transmitted
  0 packet(s) received
  100.00% packet loss
  
```java

ket loss
  round-trip min/avg/max = 31/37/47 ms

使用财务系统服务器Ping外部网络：

PC>ping 10.10.10.1

Ping 10.10.10.1: 32 data bytes, Press Ctrl_C to break
Request timeout!
Request timeout!
Request timeout!
Request timeout!
Request timeout!

--- 10.10.10.1 ping statistics ---
  5 packet(s) transmitted
  0 packet(s) received
  100.00% packet loss

可以观察到到其他部门均能访问外部网络，唯有财务系统服务器无法访问外部网络。

Zzaizhu
关注
基本ACL和基本ACL限制Telnet登录
wertyh123456的博客
06-24 741
R1-GigabitEthernet0/0/1]traffic-filter inbound acl 2000 //在G0/0/1接口时，匹配到acl2000,执行相应过滤动作。[Huawei-GigabitEthernet0/0/3]port trunk allow-pass vlan 10 20 //配置两个VLAN。[Huawei-GigabitEthernet0/0/1]port link-type access //access模式。<Huawei>sys //视图。
IPv6--ACL6(IPv6访问控制列表--基本ACL6配置）
m0_62017216的博客
01-19 2061
HCIE
VLAN
coolen的专栏
10-31 730
【VLAN的目的】　　VLAN（Virtual Local Area Network，虚拟局域网）技术的出现，主要为了解决交换机在进行局域网互连时无法限制广播的问题。这种技术可以把一个LAN划分成多个逻辑的LAN——VLAN，每个VLAN是一个广播域，VLAN内的主机间通信就和在一个LAN内一样，而VLAN间则不能直接互通，这样，广播报文被限制在一个VLAN内。 编辑本段【VLAN的优点】
基于端口安全的Jan16公司网络组建
qq_62353531的博客
08-28 2611
在进行端口绑定时，需要查看两个信息，一个是计算机的MAC地址，另一个是计算机接入的端口。因此，可以先从计算机查看本机的MAC地址，然后从交换机上查看MAC地址对应的端口，最后进行MAC地址和端口的绑定。MAC地址是计算机的唯一物理标识，可以通过在交换机对应的端口上进行绑定，非绑定的MAC将无法接入到网络中。把计算机PC3,更换为计算机PC4,IP地址相同，MAC地址不同，连接到交换机Eth0/0/3接口上。可以看出，更换计算机后，MAC地址不同，计算机不能通信。（2）查看MAC所在的交换机端口。
交换机配置第十二讲（ACL访问控制）
啊渊的专栏
05-15 4024
连线顺序我们首先将网络搭建起来，并不设置ACL控制，当网络都链接起来以后再进行ACL控制测试这样我们就知道ACL可以做到哪些控制了。
标准ACL配置举例（某公司经理部、财务部和销售部）
salmonwilliam的博客
12-25 6473
  某公司经理部、财务部和销售部分别属于3个不同的网段，通过路由器传递信息。要求： 销售部PC2不能访问财务部PC3； 经理部PC1可以访问财务部PC3。 第一步：R1接口参数和OSPF协议配置 Router&gt;en Router#conf t Router(config)#hostname R1 R1(config)#int f0/0 R1(config-if)#ip add...
ACL原理与类型、基本ACL与高级ACL
weixin_45059947的博客
09-11 6753
ACL（Access Control List），访问控制列表主要用于在总舵类型的数据包中，匹配/抓取感兴趣的数据列表中可包含多个规则，不同规则通过规则号进行区分每个规则都包含：动作和条件 两部分内容动作分为：允许（permit）和拒绝（deny）条件分为：地址（address）和通配符（wildcard bits）ACL必须先配置，再调用，并且在端口调用时时有方向的Source，表示当前规则检查的是数据包的‘源’地址源IP地址，表示源IP地址的范围。
交换机访问控制列表（ACL）详解
一起coding，一起嗨。
12-21 3412
访问控制列表（Access Control Lists，简称ACL）是网络设备中一种重要的安全机制，主要用于过滤和控制网络流量。在交换机上配置ACL，我们可以根据源IP地址、目的IP地址、协议类型、端口号等参数，允许或拒绝特定的数据包通过。
使用基本ACL限制公司网络访问.rar
02-17
2、学习目标：配置交换机基础环境，配置路由器基础环境，配置基本ACL访问控制 3、应用场景：使用基本ACL限制公司网络访问 4、特点：Word文档提供了实验的详细过程，包括每一步骤的操作命令和截图，并给出了实验的...
实验：使用基本ACL限制公司网络访问.docx
11-09
本实验"使用基本ACL限制公司网络访问"旨在让学生深入理解并掌握如何通过访问控制列表（ACL）来实现这一目标。实验主要涉及了eNSP（Enterprise Network Simulation Platform，企业网络模拟平台）、ACL、VLAN以及三层...
9.4-基本ACL和高级ACL（下）
04-20
在本节教程“9.4-基本ACL和高级ACL（下）”中，我们将深入探讨网络访问控制列表（Access Control Lists, ACLs）的应用，尤其是Cisco IOS设备上的配置。ACLs是网络安全策略的重要组成部分，用于控制网络流量，允许或...
实验：基于SNMP的Jan16公司网络管理.docx
11-22
本实验详细介绍了基于SNMP的Jan16公司网络管理，其中在路由器上配置SNMP协议，将CenOS 7作为网管服务器，通过SNMP协议，管理和监控其他路由器。
实验：Jan16公司使用动态NAT访问互联网.docx
11-19
本实验详细描述了Jan16公司使用动态NAT访问互联网的实验过程
实验：Jan16公司基于VRRP的负载均衡出口链路配置.docx
10-26
本实验给出了Jan16公司基于VRRP的负载均衡出口链路配置过程和结果
八、常用网络协议与应用——ACL
积累
04-02 2039
ACL ：access control list 访问控制列表，用于数据包的访问控制。
实验十六 内网访问internet 动态NET
weixin_67183034的博客
02-21 963
动态地址转换是将内部本地地址与内部全局地址进行一对一的转换。 但是，是从内部全局地址池中动态地选择一个未使用的地址对内部本地地址进行转换。该地址是由未被使用的地址组成的地址池中在定义时排在最前面的一个。 当数据传输完毕后，路由器将把使用完的内部全局地址放回到地址池中，以供其它内部本地地址进行转换。但是在该地址被使用时，不能用该地址再进行一次转换。 其中NAT地址池通过ip nat pool xx来配置，172.16.12.1-172.16.12.100
ACL——【知识详解+案列+（RACL+VACL+PACL）】详解
qq_62311779的博客
08-11 1740
一、ACL（知识讲解+简单案列应用）： （1）知识详解： （2）简单案列应用： （3）调整ACL策略（实现ACL策略穿插） （4）以字符串命名的ACL的编写与调用（常用）： （5）ACL方向：
华为ensp-三层ACL与二层ACL的场景小实验
白话聊网络的博客
01-31 1101
所以答案自然就清晰明了了，方式1可以通过高级acl3000完成，方式2通过acl4000完成。首先你要知道ACL有几种，如下。pc123和pc456配置相同。
锐捷交换机访问控制策略配置实例
小宇飞刀的BLOG
10-26 3066
1、校内互访不受限制；2、23:00至第二天早上7:00这段时间不允许外网访问校内服务器。服务器网段：172.16.8.0/24。有线：172.16.0.0/12。无线：10.0.0.0/12。3、在相应的接口上应用控制策略。
ipv6 基本acl怎么调用
最新发布
03-25
<think>好的，我需要回答用户关于如何在IPv6中配置和调用基本ACL的问题。首先，我得回顾一下IPv6的基本ACL相关知识。IPv6的ACL（访问控制列表）用于过滤网络流量，基本ACL通常基于源IPv6地址进行匹配。不过，不同厂商的设备配置可能有所不同，比如华为和思科的命令可能有差异，但用户没有指定设备类型，所以应该以通用或主流厂商的配置为例。 接下来，我要确保配置步骤正确。基本ACL的配置通常包括创建ACL、定义规则、应用ACL到接口或服务。在IPv6中，ACL的编号范围可能和IPv4不同，比如华为设备中IPv6基本ACL编号是2000-2999。需要指出这一点，避免混淆。 然后，调用ACL的方法涉及将其应用到接口的入方向或出方向，或者用于其他服务如路由策略。这部分需要详细说明应用命令，并举例说明，比如应用到接口的入站过滤。 另外，注意事项也很重要，比如ACL的隐含拒绝规则，规则ID的步长，以及IPv6地址的缩写格式是否正确。需要提醒用户如果没有允许规则，默认会拒绝所有流量。 同时，用户提供的引用内容中有提到SELinux配置和Docker相关的内容，但这些似乎与IPv6 ACL无关，可能用户误贴了引用，或者有其他需求。不过根据问题，还是专注于IPv6 ACL的配置，引用部分可能不需要处理。 最后，按照用户要求生成相关问题，需要围绕IPv6 ACL的高级配置、与IPv4的区别、常见错误等方面提问，确保问题相关且有价值。 总结步骤： 1. 创建IPv6基本ACL，指定编号。 2. 配置规则，允许或拒绝特定源地址。 3. 应用ACL到目标接口或服务。 4. 注意事项包括默认拒绝、规则顺序、地址格式等。 5. 生成相关问题，帮助用户深入理解。</think>### IPv6基本ACL配置与调用方法 #### 1. 配置IPv6基本ACL IPv6基本ACL通过源地址过滤流量，配置步骤如下（以华为设备为例）： - **创建ACL**：使用编号范围为$2000 \leq N \leq 2999$ ```plaintext acl ipv6 2000 ``` - **添加规则**： ```plaintext rule [id] permit ipv6 source [IPv6地址/前缀长度] # 允许特定地址 rule deny ipv6 source any # 拒绝所有其他流量（隐含规则，可不显式配置） ``` #### 2. 调用ACL 将ACL绑定到接口或服务： - **接口调用**（以入方向为例）： ```plaintext interface GigabitEthernet0/0/1 ipv6 traffic-filter 2000 inbound ``` - **服务调用**（如SSH访问控制）： ```plaintext ssh acl 2000 ``` #### 3. 配置示例 ```plaintext acl ipv6 2000 rule 5 permit source 2001:db8::1/128 # 允许特定主机 rule 10 deny source any # 显式拒绝其他流量 ``` #### 4. 注意事项 - **隐含拒绝规则**：若未配置`permit`规则，默认拒绝所有流量[^1]。 - **规则优先级**：规则ID越小优先级越高（如ID=5的规则先于ID=10执行）。 - **地址缩写**：IPv6地址需使用压缩格式（如`2001:db8::1`代替完整形式）。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值