基本ACL

原创 已于 2023-12-16 15:15:10 修改 · 2k 阅读 · 30 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#智能路由器

于 2023-12-16 14:37:13 首次发布

使用基本ACL限制公司网络访问

1.项目背景

Jan16公司有开发部、市场部和财务部，各有计算机若干台、财务系统服务器1台，使用三层交换机进行局域网组建，并通过路由器连接至外部网络。出于数据安全的考虑，需要再交换机上进行访问控制。项目拓扑如图1所示。具体要求如下：

（1） SW1上为开发部、市场部、财务部及财务系统分别创建了VLAN10、20、30、40；

（2） 要求财务系统服务器仅允许财务部进行访问；

（3） 财务系统服务器仅在内网使用，不允许访问外部网络；

（4） 测试计算机、交换机和路由器的IP和接口信息如拓扑所示。

image-20231216143020197

图1 网络拓扑图

2.项目规划设计

三层交换机的访问控制策略主要是通过ACL访问控制列表对不同VLAN的IP地址段进行流量匹配控制。标准ACL可以对IP包进行源地址匹配，即检查通过IP包中的源地址信息，如果源地址与ACL中的规则相匹配，就执行放行或拦截的操作。为了让其它部门无法访问财务系统服务器，可以在三层交换机中配置匹配财务部IP地址段、拒绝其他所有IP的ACL，并在G0/0/2接口的OUT方向上应用；同时在添加拒绝财务部系统服务器IP地址段的ACL，在G0/0/1接口的OUT方向上应用，组织财务部系统服务器访问外部网络。外部网络连接方面，三层交换机配置默认路由指向出口路由器。出口路由器可根据ISP接入方式采用对应的路由协议，这里不作描述。

配置步骤如下：

（1） 配置交换机基础环境

（2） 配置路由器基础环境

（3） 配置基本ACL访问控制

（4） 配置各部门计算机的IP地址

具体规划如下表：

表1 VLAN规划表
*VLAN* *ID**IP地址段**用途*
VLAN10192.168.10.0/24开发部
VLAN20192.168.20.0/24市场部
VLAN30192.168.30.0/24财务部
VLAN40192.168.40.0/24财务系统
VLAN50192.168.1.0/24连接外部网络
*表2* *端口规划表*
*本端设备**端口号**端口类型**所属VLAN**对端设备*
SW1E0/0/1-5accessVlan10开发部PC
SW1E0/0/6-15accessVlan20市场部PC
SW1E0/0/16-20accessVlan30财务部PC
SW1G0/0/2accessVlan40财务系统
SW1G0/0/1accessVlan50R1
*表3* ****IP***地址规划表
*设备**接口**IP地址*
R1G0/0/0192.168.1.1/24
R1G0/0/110.10.10.1/24
SW1VLANIF10192.168.10.254/24
SW1VLANIF20192.168.20.254/24
SW1VLANIF30192.168.30.254/24
SW1VLANIF40192.168.40.254/24
SW1VLANIF50192.168.1.254/24
财务系统服务器192.168.40.1/24
开发部192.168.10.1/24
市场部192.168.20.1/24
财务部192.168.30.1/24

*3.项目实施*

*（1）配置交换机基础环境*

①为各部门创建相应的VLAN

<Huawei>system-view

[Huawei]sysname SW1

[SW1]vlan batch 10 20 30 40 50

②将各部门计算机所使用的端口类型转换为ACCESS模式，并设置接口PVID，将端口划分到相应的VLAN

[SW1]port-group group-member Ethernet 0/0/1 to Ethernet 0/0/5

[SW1-port-group]port link-type access

[SW1-port-group]port default vlan 10

[SW1-port-group]quit

[SW1]port-group group-member Ethernet 0/0/6 to Ethernet 0/0/15

[SW1-port-group]port link-type access

[SW1-port-group]port default vlan 20

[SW1-port-group] quit

[SW1]port-group group-member Ethernet 0/0/16 to Ethernet 0/0/20

[SW1-port-group]port link-type access

[SW1-port-group]port default vlan 30

[SW1-port-group] quit

[SW1]interface G0/0/2
[SW1-GigabitEthernet0/0/2]port link-type access
[SW1-GigabitEthernet0/0/2]port default vlan 40
[SW1-port-group] quit
[SW1]interface G0/0/1
[SW1-GigabitEthernet0/0/1]port link-type access
[SW1-GigabitEthernet0/0/1]port default vlan 50
[SW1-port-group] quit

③配置vlanif接口的IP地址，作为各部门的网关

[SW1]interface Vlanif 10

[SW1-Vlanif10]ip add 192.168.10.254 24

[SW1]interface Vlanif 20

[SW1-Vlanif20]ip add 192.168.20.254 24

[SW1]interface Vlanif 30

[SW1-Vlanif30]ip add 192.168.30.254 24

[SW1]interface Vlanif 40

[SW1-Vlanif40]ip add 192.168.40.254 24

[SW1]interface Vlanif 50

[SW1-Vlanif50]ip add 192.168.1.254 24

④配置交换机默认路由

[SW1]ip route-static 0.0.0.0 0.0.0.0 192.168.1.1

*（2）配置路由器基础环境*

​ ①配置路由器接口IP地址

[Huawei]system-view

[Huawei]sysname R1

[R1]int G0/0/0

[R1-GigabitEthernet0/0/0]ip add 192.168.1.1 24

[R1]int G0/0/1

[R1-GigabitEthernet0/0/1]ip add 10.10.10.1 24

②配置路由器静态路由

[R1]ip route-static 192.168.10.0 255.255.255.0 192.168.1.254
[R1]ip route-static 192.168.20.0 255.255.255.0 192.168.1.254
[R1]ip route-static 192.168.30.0 255.255.255.0 192.168.1.254
[R1]ip route-static 192.168.40.0 255.255.255.0 192.168.1.254

*（3）配置基本ACL控制访问*

​ ①在交换机上配置ACL规则，允许数据包源网段为192.168.30.0的报文通过。将规则应用到G0/0/2的端口上。

[R1]ip route-static 192.168.10.0 255.255.255.0 192.168.1.254

[R1]ip route-static 192.168.20.0 255.255.255.0 192.168.1.254

[R1]ip route-static 192.168.30.0 255.255.255.0 192.168.1.254

[R1]ip route-static 192.168.40.0 255.255.255.0 192.168.1.254

​ ②在交换机上配置ACL规则，拒绝数据包源网段为192.168.40.0的报文通过。将规则应用到G0/0/1的端口上。

[SW1]acl 2001

[SW1-acl-basic-2001]rule deny source 192.168.40.0 0.0.0.255

[SW1]int G0/0/1

[SW1-GigabitEthernet0/0/1]traffic-filter outbound acl 2001

4.配置各部门计算机的IP地址

image-20231216143116438

图2 财务系统服务器 IP配置图 在上面

image-20231216143404872

图3 开发部PC IP配置图在上面

在这里插入图片描述

图4 市场部PC IP配置图在上面

image-20231216143428968

图5 财务部PC IP配置图在上面

*4.项目验证*

*（1）查看访问控制列表*

 SW1的配置



[SW1]display acl all 

Total nonempty ACL number is 2 

 Basic ACL 2000, 2 rulesAcl's

 step is 5 

rule 5 permit source 192.168.30.0 0.0.0.255  

rule 10 deny  Basic ACL 2001, 1 ruleAcl's step is 

5 rule 5 deny source 192.168.40.0 0.0.0.255

*（2）测试各部门计算机的互通性*

通过Ping命令，测试各部门内部通信息的情况。

使用开发部计算机Ping市场部及财务部的计算机:

PC>ping 192.168.20.1

Ping 192.168.20.1: 32 data bytes, Press Ctrl_C to break
From 192.168.20.1: bytes=32 seq=1 ttl=127 time=47 ms
From 192.168.20.1: bytes=32 seq=2 ttl=127 time=47 ms
From 192.168.20.1: bytes=32 seq=3 ttl=127 time=31 ms
From 192.168.20.1: bytes=32 seq=4 ttl=127 time=31 ms
From 192.168.20.1: bytes=32 seq=5 ttl=127 time=31 ms

--- 192.168.20.1 ping statistics ---
  5 packet(s) transmitted
  5 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 31/37/47 ms

PC>ping 192.168.30.1

Ping 192.168.30.1: 32 data bytes, Press Ctrl_C to break
From 192.168.30.1: bytes=32 seq=1 ttl=127 time=32 ms
From 192.168.30.1: bytes=32 seq=2 ttl=127 time=31 ms
From 192.168.30.1: bytes=32 seq=3 ttl=127 time=47 ms
From 192.168.30.1: bytes=32 seq=4 ttl=127 time=31 ms
From 192.168.30.1: bytes=32 seq=5 ttl=127 time=31 ms

--- 192.168.30.1 ping statistics ---
  5 packet(s) transmitted
  5 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 31/34/47 ms

*（3）测试各部门与财务系统的连接性*

使用开发部的计算机Ping财务系统：

PC>ping 192.168.40.1
Ping 192.168.40.1: 32 data bytes, Press Ctrl_C to break
Request timeout!
Request timeout!
Request timeout!
Request timeout!
Request timeout!

--- 192.168.40.1 ping statistics ---
  5 packet(s) transmitted
  0 packet(s) received
  100.00% packet loss

使用财务部的计算机Ping财务系统：

PC>ping 192.168.40.1

Ping 192.168.40.1: 32 data bytes, Press Ctrl_C to break
From 192.168.40.1: bytes=32 seq=1 ttl=127 time=47 ms
From 192.168.40.1: bytes=32 seq=2 ttl=127 time=31 ms
From 192.168.40.1: bytes=32 seq=3 ttl=127 time=32 ms
From 192.168.40.1: bytes=32 seq=4 ttl=127 time=31 ms
From 192.168.40.1: bytes=32 seq=5 ttl=127 time=47 ms

--- 192.168.40.1 ping statistics ---
  5 packet(s) transmitted
  5 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 31/37/47 ms

可以观察到其他部门无法连接到财务系统服务器上，唯有财务部可以连接到财务系统上。

*（4）测试外部网络的连通性*

通过Ping命令，测试各部门PC及财务系统服务器是否能够访问外网。

使用开发部的计算机Ping外部网络：

PC>ping 10.10.10.1

Ping 10.10.10.1: 32 data bytes, Press Ctrl_C to break
From 10.10.10.1: bytes=32 seq=1 ttl=254 time=31 ms
From 10.10.10.1: bytes=32 seq=2 ttl=254 time=47 ms
From 10.10.10.1: bytes=32 seq=3 ttl=254 time=31 ms
From 10.10.10.1: bytes=32 seq=4 ttl=254 time=47 ms
From 10.10.10.1: bytes=32 seq=5 ttl=254 time=31 ms

--- 10.10.10.1 ping statistics ---
  5 packet(s) transmitted
  5 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 31/37/47 ms

使用财务系统服务器Ping外部网络：

PC>ping 10.10.10.1

Ping 10.10.10.1: 32 data bytes, Press Ctrl_C to break
Request timeout!
Request timeout!
Request timeout!
Request timeout!
Request timeout!

--- 10.10.10.1 ping statistics ---
  5 packet(s) transmitted
  0 packet(s) received
  100.00% packet loss
  
```java

ket loss
  round-trip min/avg/max = 31/37/47 ms

使用财务系统服务器Ping外部网络：

PC>ping 10.10.10.1

Ping 10.10.10.1: 32 data bytes, Press Ctrl_C to break
Request timeout!
Request timeout!
Request timeout!
Request timeout!
Request timeout!

--- 10.10.10.1 ping statistics ---
  5 packet(s) transmitted
  0 packet(s) received
  100.00% packet loss

可以观察到到其他部门均能访问外部网络，唯有财务系统服务器无法访问外部网络。

Zzaizhu
关注
华为三层交换机配置ACL，实现VLAN三层隔离
pjjfanpu的博客
10-09 1084
本文介绍了华为交换机ACL配置的关键要点：1）规则按编号顺序匹配，命中即停止；2）合理组合permit/deny规则顺序；3）未匹配流量默认拒绝。实验通过三层交换机设置ACL，使用流策略（traffic policy）将ACL规则绑定到VLAN接口，实现不同网段间的访问控制。配置步骤包括创建ACL规则、定义流分类与行为、应用策略到VLAN接口，并配合DHCP地址分配完成网络部署。
华为ensp 使用扩展ACL限制公司网络访问
weixin_68521483的博客
03-18 3843
扩展ACL可以对IP包地址信息中的源地址、目的地址、协议、端口号进行匹配，即检查通过IP包中的地址信息，如果地址信息与ACL中的规则相匹配，就执行放行或拦截的操作。在本项目中,访问控制策略主要集中在对财务系统服务器的访问权限上，可通过路由器上应用即可实现。Jan16公司财务部计算机若干台，并架设了专用的财务系统服务器，进行局域网组建，通过路由器连接至互联网。出于财务系统数据安全的考虑，需要在路由器访问控制策略，只能财务部PC1能够访问财务系统前端网站；财务系统服务器仅在内网使用，不允许访问外部网络；
实验：Jan16公司基于VRRP的负载均衡出口链路配置.docx
10-26
本实验给出了Jan16公司基于VRRP的负载均衡出口链路配置过程和结果
实验：Jan16公司基于VRRP的ISP双出口备份链路配置.docx
10-25
本实验给出了Jan16公司基于VRRP的ISP双出口备份链路配置的详细过程，最后对实验进行了验证
高级ACL限制公司网络访问
zip471642048的博客
12-22 8909
实验拓扑 Jan16 公司财务部计算机若干台，并架设了专用的财务系统服务器，进行局域网组建， 通过路由器连接至互联网。出于财务系统数据安全的考虑，需要在路由器访问控制策略，只 能财务部 PC1 能够访问财务系统前端网站；同时，服务器不可访问外部网络。项目拓扑如图 1 所示。具体要求如下： （1） 要求仅允许财务部 PC1 访问财务系统服务器前端网站； （2） 财务系统服务器仅在内网使用，不允许访问外部网络； （3） 测试计算机、路由器的 IP 和接口信息如拓扑所示。 1.基本配置 1.1配置路由器接口地
Easy IP部署
zip471642048的博客
12-22 3101
实验拓扑 Jan16 公司有计算机若干台，利用交换机建了局域网，并通过出口路由器连接互联网。因业务开展的需要，公司申请了一个公网IP地址，现需配置出口路由器，实现内部网络访问互联网。 基础配置 2. 配置路由器接口 在路由器接口配置对应IP。 [Huawei]system-view [Huawei]sysname R1 [R1]int G0/0/0 [R1-GigabitEthernet0/0/0]ip add 192.168.10.254 24 [R1]int G0/0/1 [R1-GigabitEt
精选资源
使用基本ACL限制公司网络访问.rar
02-17
2、学习目标：配置交换机基础环境，配置路由器基础环境，配置基本ACL访问控制 3、应用场景：使用基本ACL限制公司网络访问 4、特点：Word文档提供了实验的详细过程，包括每一步骤的操作命令和截图，并给出了实验的...
精选资源
实验：使用基本ACL限制公司网络访问.docx
11-09
本实验"使用基本ACL限制公司网络访问"旨在让学生深入理解并掌握如何通过访问控制列表（ACL）来实现这一目标。实验主要涉及了eNSP（Enterprise Network Simulation Platform，企业网络模拟平台）、ACL、VLAN以及三层...
基本ACL和基本ACL限制Telnet登录
wertyh123456的博客
06-24 850
R1-GigabitEthernet0/0/1]traffic-filter inbound acl 2000 //在G0/0/1接口时，匹配到acl2000,执行相应过滤动作。[Huawei-GigabitEthernet0/0/3]port trunk allow-pass vlan 10 20 //配置两个VLAN。[Huawei-GigabitEthernet0/0/1]port link-type access //access模式。<Huawei>sys //视图。
9.4-基本ACL和高级ACL（下）
04-20
在本节教程“9.4-基本ACL和高级ACL（下）”中，我们将深入探讨网络访问控制列表（Access Control Lists, ACLs）的应用，尤其是Cisco IOS设备上的配置。ACLs是网络安全策略的重要组成部分，用于控制网络流量，允许或...
IPv6--ACL6(IPv6访问控制列表--基本ACL6配置）
m0_62017216的博客
01-19 2255
HCIE
华为ENSP基本ACL实验
u014551471的博客
06-10 1160
使用基本ACL限制公司网络访问 1.项目背景 Jan16公司有开发部、市场部和财务部，各有计算机若干台、财务系统服务器1台，使用三层交换机进行局域网组建，并通过路由器连接至外部网络。出于数据安全的考虑，需要在交换机上进行访问控制。项目拓扑如图1所示。具体要求如下： （1） SW1上为开发部、市场部、财务部及财务系统分别创建了VLAN10、20、30、40； （2） 要求财务系统服务器仅允许财务部进行访问； （3） 财务系统服务器仅在内网使用，不允许访问外部网络； （4） 测试计算机、交换机
交换机的标准访问控制
angle1020的博客
05-07 5706
项目目标：（1）了解IP标准访问控制列表的功能及用途（2）掌握交换机IP标准访问控制列表配置技能工作任务：你是公司网络管理员，公司的技术部、业务部和财务部分属不同的3个网段，三个部门之间通过三层交换机进行信息传递，为了安全起见，公司要求你对网络的数据流量进行控制，实现技术部的主机可以访问财务部的主机，但是业务部的主机不能访问财务部的主机。任务分析首先对三层交换机进行基本配置，实现三个网段可以相互访...
基于端口安全的Jan16公司网络组建
qq_62353531的博客
08-28 2769
在进行端口绑定时，需要查看两个信息，一个是计算机的MAC地址，另一个是计算机接入的端口。因此，可以先从计算机查看本机的MAC地址，然后从交换机上查看MAC地址对应的端口，最后进行MAC地址和端口的绑定。MAC地址是计算机的唯一物理标识，可以通过在交换机对应的端口上进行绑定，非绑定的MAC将无法接入到网络中。把计算机PC3,更换为计算机PC4,IP地址相同，MAC地址不同，连接到交换机Eth0/0/3接口上。可以看出，更换计算机后，MAC地址不同，计算机不能通信。（2）查看MAC所在的交换机端口。
基于 VLANIF 的公司网络搭建
zip471642048的博客
12-21 3892
实验拓扑 Jan16 公司现有财务部和技术部，使用一台 24 口三层交换机进行互联。为方便管理， 要求为部门创建相应的 VLAN，并实现 VLAN 间通信。 1.1基础配置 三层交换机可以通过创建 VLANIF 的方式实现VLAN 间的通信。在交换机中创建 VLAN10、VLAN20 分别用于财务部、技术部的计算机接入，VLAN10 使用 192.168.1.0/24 网段，VLAN20 使用 192.168.2.0/24 网段。在交换机中创建 VLAN10、VLAN20 的 VLANIF 接口，并配置对
华为设备内网常用访问控制案例配置
IT技术
05-18 1187
华为设备内网常用访问控制案例配置
交换机端口安全
zip471642048的博客
12-22 3788
实验拓扑 基于端口安全的Jan16公司网络组建，Jan16公司开发部为重要部门，所有员工使用指定的计算机工作，为防止员工或访客使用个人电脑接入网络，将使用基于端口安全策略组建开发部网络。 1.基本配置 1.1配置主机PC 2.测试主机之间的连通性 测试PC1与PC2，PC3的连通性 PC>ping 192.168.10.2 PC>ping 192.168.10.3 ping 192.168.10.2 ping 192.168.10.3 试PC2与PC3的连通性 ping 192
标准ACL配置举例（某公司经理部、财务部和销售部）
salmonwilliam的博客
12-25 6783
  某公司经理部、财务部和销售部分别属于3个不同的网段，通过路由器传递信息。要求： 销售部PC2不能访问财务部PC3； 经理部PC1可以访问财务部PC3。 第一步：R1接口参数和OSPF协议配置 Router&gt;en Router#conf t Router(config)#hostname R1 R1(config)#int f0/0 R1(config-if)#ip add...
基本ACl选择题
最新发布
08-12
基本ACL（访问控制列表）是网络设备中用于控制数据包过滤的一种机制，通常用于路由器或三层交换机上。以下是几道关于基本ACL的选择题及其答案： ### 1. 基本ACL主要基于什么信息进行数据包过滤？ A. 源IP地址 B. 目的IP地址 C. 源端口号 D. 目的端口号 **正确答案：A** 基本ACL通常基于数据包的源IP地址进行过滤[^1]。 --- ### 2. 在Cisco设备中，基本ACL的编号范围是？ A. 1-99 B. 100-199 C. 200-299 D. 300-399 **正确答案：A** 在Cisco设备中，基本ACL的编号范围为1到99[^1]。 --- ### 3. 基本ACL和扩展ACL的主要区别是什么？ A. 基本ACL支持更多的协议类型 B. 基本ACL只能基于源IP地址进行过滤 C. 基本ACL的配置更复杂 D. 基本ACL比扩展ACL更安全 **正确答案：B** 基本ACL只能基于源IP地址进行过滤，而扩展ACL可以基于源IP、目的IP、端口号等多种参数[^1]。 --- ### 4. 下列哪项是基本ACL的正确配置命令？ A. `access-list 100 deny ip 192.168.1.0 0.0.0.255 any` B. `access-list 1 deny ip 192.168.1.0 0.0.0.255 any` C. `access-list 1 permit 192.168.2.0 0.0.0.255` D. `access-list 101 permit tcp any any` **正确答案：C** 基本ACL使用编号1-99，且只基于源IP地址进行过滤。选项C使用的是编号1，并且仅指定源IP地址范围，符合基本ACL的配置要求[^1]。 --- ### 5. 基本ACL在数据包过滤中存在哪些局限性？ A. 只能根据源IP地址进行过滤 B. 不支持基于协议的过滤 C. 不支持基于端口号的过滤 D. 以上都是 **正确答案：D** 基本ACL的局限性包括只能根据源IP地址进行过滤，不支持基于协议或端口号的过滤[^1]。 --- ### 示例配置代码 以下是一个基本ACL的配置示例，用于允许来自192.168.1.0/24子网的数据包： ```bash Router(config)# access-list 1 permit 192.168.1.0 0.0.0.255 Router(config)# interface fa0/0 Router(config-if)# ip access-group 1 in ``` ---
评论 1
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值