当前位置：文档库 › IP访问列表设置

IP访问列表设置

第10章IP访问列表

10.1 利用IP标准访问列表进行网络流量的控制

【实验名称】

编号的标准IP访问列表。

【实验目的】

掌握路由器上编号的标准IP访问列表规则及配置。

【背景描述】

你是一个公司的网络管理员，公司的经理部、财务部门和销售部门分属不同的3个网段，三部门之间用路由器进行信息传递，为了安全起见，公司领导要求销售部门不能对财务部门进行访问，但经理部可以对财务部门进行访问。

PC1代表经理部的主机，PC2代表销售部门的主机、PC3代表财务部门的主机。

【技术原理】

IP ACL（IP访问控制列表或IP访问列表）是实现对流经路由器或交换机的数据包根据一定的规则进行过滤，从而提高网络可管理性和安全性。

IP ACL分为两种：标准IP访问列表和扩展IP访问列表。

标准IP访问列表可以根据数据包的源IP地址定义规则，进行数据包的过滤。

扩展IP访问列表可以根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，进行数据包的过滤。

IP ACL基于接口进行规则的应用，分为：入栈应用和出栈应用。

入栈应用是指由外部经该接口进行路由器的数据包进行过滤。

出栈应用是指路由器从该接口向外转发数据时进行数据包的过滤。

IP ACL的配置有两种方式：按照编号的访问列表，按照命名的访问列表。

标准IP访问列表编号范围是1~99、1300~1999，扩展IP访问列表编号范围是100~199、2000~2699。

【实现功能】

实现网段间互相访问的安全控制。

【实验设备】

R1762路由器（两台）、V.35线缆（1条）、直连线或交叉线（3条）

【实验拓扑】

图 1

【实验步骤】

步骤1.基本配置。

Router1基本配置

Red-Giant>enable

Red-Giant#configure terminal

Red-Giant(config)#hostname Router1

Router1(config)# interface fastEthernet 1/0

Router1(config-if)#ip add 172.16.1.1 255.255.255.0

Router1(config-if)#no shutdown

Router1(config-if)# interface fastEthernet 1/1

Router1(config-if)#ip add 172.16.2.1 255.255.255.0

Router1(config-if)#no shutdown

Router1(config-if)#interface serial 1/2

Router1(config-if)#ip add 172.16.3.1 255.255.255.0

Router1(config-if)#clock rate 64000

Router1(config-if)#no shutdown

Router1(config-if)#end

测试命令：show ip interface brief。

Router1#show ip int brief !观察接口状态Interface IP-Address(Pri) OK? Status serial 1/2 172.16.3.1/24 YES UP

serial 1/3 no address YES DOWN FastEthernet 1/0 172.16.1.1/24 YES UP

FastEthernet 1/1 172.16.2.1/24 YES UP

Null 0 no address YES UP

Router2基本配置

Red-Giant>enable

Red-Giant#configure terminal

Red-Giant(config)#hostname Router2

Router2(config)# interface fastEthernet 1/0

Router2(config-if)#ip add 172.16.4.1 255.255.255.0

Router2(config-if)#no shutdown

Router2(config-if)#exit

Router2(config-if)#interface serial 1/2

Router2(config-if)#ip add 172.16.3.1 255.255.255.0

Router2(config-if)#no shutdown

Router2(config-if)#end

测试命令：show ip interface brief。

Router2#show ip int brief !观察接口状态Interface IP-Address(Pri) OK? Status

serial 1/2 172.16.3.2/24 YES UP

serial 1/3 no address YES DOWN FastEthernet 1/0 172.16.4.1/24 YES UP FastEthernet 1/1 no address YES DOWN

Null 0 no address YES UP

配置静态路由

Router1(config)#ip route 172.16.4.0 255.255.255.0 serial 1/2

Router2(config)#ip route 172.16.1.0 255.255.255.0 serial 1/2

Router2(config)#ip route 172.16.2.0 255.255.255.0 serial 1/2

测试命令：show ip route。

Router1#show ip route !查看路由表信息Codes: C - connected, S - static, R - RIP

O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2

* - candidate default

Gateway of last resort is no set

C 172.16.1.0/24 is directly connected, FastEthernet 1/0

C 172.16.1.1/32 is local host.

C 172.16.2.0/24 is directly connected, FastEthernet 1/1

C 172.16.2.1/32 is local host.

C 172.16.3.0/24 is directly connected, serial 1/2

C 172.16.3.1/32 is local host.

S 172.16.4.0/24 is directly connected, serial 1/2

Router2#show ip route

Codes: C - connected, S - static, R - RIP

O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2

* - candidate default

Gateway of last resort is no set

S 172.16.1.0/24 is directly connected, serial 1/2

S 172.16.2.0/24 is directly connected, serial 1/2

C 172.16.3.0/24 is directly connected, serial 1/2

C 172.16.3.2/32 is local host.

C 172.16.4.0/24 is directly connected, FastEthernet 1/0

C 172.16.4.1/32 is local host.

步骤2.配置标准IP访问控制列表。

Router2(config)#access-list 1 deny 172.16.2.0 0.0.0.255

! 拒绝来自172.16.2.0网段的流量通过

Router2(config)#access-list 1 permit 172.16.1.0 0.0.0.255

! 允许来自172.16.1.0网段的流量通过

验证测试：

Router2#show access-lists 1

Standard IP access list 1 includes 2 items:

deny 172.16.2.0, wildcard bits 0.0.0.255

permit 172.16.1.0, wildcard bits 0.0.0.255

步骤3.把访问控制列表在接口下应用。

Router2(config)# interface fastEthernet 1/0

Router2(config-if)#ip access-group 1 out ! 在接口下访问控制列表出栈流量调用验证测试：

Router2#show ip interface fastEthernet 1/0

FastEthernet 1/0

IP interface state is: UP

IP interface type is: BROADCAST

IP interface MTU is: 1500

IP address is:

172.16.4.1/24 (primary)

IP address negotiate is: OFF

Forward direct-boardcast is: ON

ICMP mask reply is: ON

Send ICMP redirect is: ON

Send ICMP unreachabled is: ON

DHCP relay is: OFF

Fast switch is: ON

Route horizontal-split is: ON

Help address is: 0.0.0.0

Proxy ARP is: ON

Outgoing access list is 1. !查看访问列表在接口上的应用 Inbound access list is not set.

步骤4.验证测试。

ping（172.16.2.0网段的主机不能ping通172.16.4.0网段的主机；172.16.1.0网段的主机能ping通172.16.4.0网段的主机）。

【注意事项】

1、注意在访问控制列表的网络掩码是反掩码。

2、标准控制列表要应用在尽量靠近目的地址的接口。

【参考配置】

Router1#show running-config !查看路由器1的全部配置Building configuration...

Current configuration : 544 bytes

version 8.32(building 53)

hostname Router1

interface serial 1/2

ip address 172.16.3.1 255.255.255.0

clock rate 64000

interface serial 1/3

clock rate 64000

interface FastEthernet 1/0

ip address 172.16.1.1 255.255.255.0

duplex auto

speed auto

interface FastEthernet 1/1

ip address 172.16.2.1 255.255.255.0

duplex auto

speed auto

interface Null 0

ip route 172.16.4.0 255.255.255.0 serial 1/2

line con 0

line aux 0

line vty 0 4

end

Router2#show running-config !查看路由器2的全部配置Building configuration...

Current configuration : 641 bytes

version 8.32(building 53)

hostname Router2

access-list 1 deny 172.16.2.0 0.0.0.255 access-list 1 permit 172.16.1.0 0.0.0.255

interface serial 1/2

ip address 172.16.3.2 255.255.255.0

interface serial 1/3

clock rate 64000

interface FastEthernet 1/0

ip access-group 1 out

ip address 172.16.4.1 255.255.255.0

duplex auto

speed auto

interface FastEthernet 1/1

duplex auto

speed auto

interface Null 0

ip route 172.16.1.0 255.255.255.0 serial 1/2 ip route 172.16.2.0 255.255.255.0 serial 1/2 !

line con 0

line aux 0

line vty 0 4

end

10.2 利用IP扩展访问列表实现应用服务的访问限制

【实验名称】

命名的扩展IP访问列表。

【实验目的】

掌握在交换机上命名的扩展IP访问列表规则及配置。

【背景描述】

你是学校的网络管理员，在3550-24交换机上连着学校的提供WWW和FTP的服务器，另外还连接着学生宿舍楼和教工宿舍楼，学校规定学生只能对服务器进行FTP访问，不能进行WWW访问，教工则没有此限制。

【技术原理】

IP ACL（IP访问控制列表或IP访问列表）是实现对流经路由器或交换机的数据包根据一定的规则进行过滤。从而提高网络可管理性和安全性。

IP ACL分为两种：标准IP访问列表和扩展IP访问列表。标准IP访问列表可以根据数据包的源IP地址定义规则，进行数据包的过滤。扩展IP访问列表可以根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，进行数据包的过滤。

IP ACL基于接口进行规则的应用，分为入栈应用和出栈应用。入栈应用是指由外部经该接口进行路由器的数据包进行过滤。出栈应用是指路由器从该接口向外转发数据时进行数据包的过滤。IP ACL的配置有两种方式：按照编号的访问列表，按照命名的访问列表。标准IP访问列表编号范围是1~99、1300~1999，扩展IP访问列表编号范围是100~199、2000~2699。

【实现功能】

实现网段间互相访问的安全控制。

【实验设备】

S3550交换机（1台）、PC（3台)、直连线（3条）

【实验拓扑】

图 2

【实验步骤】

步骤1.基本配置。

3550-24(config)#vlan 10

3550-24(config-vlan)#name server

3550-24(config)#vlan 20

3550-24(config-vlan)#name teachers

3550-24(config)#vlan 30

3550-24(config-vlan)#name students

3550-24(config)#interface f0/5

3550-24(config-if)#switchport mode access

3550-24(config-if)#switchport access vlan 10

3550-24(config)#interface f0/10

3550-24(config-if)#switchport mode access

3550-24(config-if)#switchport access vlan 20

3550-24(config)#interface f0/15

3550-24(config-if)#switchport mode access

3550-24(config-if)#switchport access vlan 30

3550-24(config)#int vlan10

3550-24(config-if)#ip add 192.168.10.1 255.255.255.0

3550-24(config-if)#no shutdown

3550-24(config-if)#int vlan 20

3550-24(config-if)#ip add 192.168.20.1 255.255.255.0

3550-24(config-if)#no shutdown

3550-24(config-if)#int vlan 30

3550-24(config-if)#ip add 192.168.30.1 255.255.255.0

3550-24(config-if)#no shutdown

步骤2.配置命名扩展IP访问控制列表。

3550-24(config)#ip access-list extended denystudentwww

!定义命名扩展访问列表

3550-24(config-ext-nacl)# deny tcp 192.168.30.0 0.0.0.255 192.168.10.0 0.0.0.255 eq www ! 禁止WWW服务

3550-24(config-ext-nacl)# permit ip any any !允许其他服务

验证命令：

3550-24#sh ip access-lists denystudentwww

Extended IP access list: denystudentwww

deny tcp 192.168.30.0 0.0.0.255 192.168.10.0 0.0.0.255 eq www permit ip any any

步骤3.把访问控制列表在接口下应用。

3550-24(config)#int vlan 30

3550-24(config-if)#ip access-group denystudentwww in

步骤4.配置Web服务器（详见选学实验内容）。

步骤5.验证测试。

分别在学生网段和教师宿舍网段使用1台主机，访问Web服务器。测试发现学生网段不能访问网页，教学宿舍网段可以访问网页。

【注意事项】

1、访问控制列表要在接口下应用；

2、要注意deny某个网段后要peimit其他网段。

【参考配置】

3550-24#show run

version 1.0

hostname 3550-24

ip access-list extended denystudentwww

deny tcp 192.168.30.0 0.0.0.255 192.168.10.0 0.0.0.255 eq www

permit ip any any

interface FastEthernet 0/5

switchport access vlan 10

interface FastEthernet 0/10

switchport access vlan 20

interface FastEthernet 0/15

switchport access vlan 30

interface Vlan 10

ip address 192.168.10.1 255.255.255.0

ip access-group denystudent www in

interface Vlan 20

ip address 192.168.20.1 255.255.255.0

interface Vlan 30

ip address 192.168.30.1 255.255.255.0

end

10.3 基于时间的访问控制列表

【实验名称】

基于时间的访问控制列表。

【实验目的】

掌握基于时间段进行控制的IP访问列表配置。

【背景描述】

你是某公司网管，为了保证公司上班时间的工作效率，公司要求上班时间只可以访问公司的内部网站。下班以后员工可以随意放松，访问网络不受限制。

本实验以1台1762路由器为例。PC机的IP地址和缺省网关分别为172.16.1.1/24和172.16.1.2/24，服务器（Server）的IP地址和缺省网关分别为160.16.1.1/24和160.16.1.2/24，路由器的接口F1/0和F1/1的IP地址分别为172.16.1.2/24和160.16.1.2/24。

【技术原理】

基于时间的访问列表是指在标准或扩展的访问列表的基础上增加时间段的应用规则。

Time-range时间段分为两种：绝对性时间段和周期性时间段。

在周期时间段里有一些常见参数：weekdays表示每周的工作日（周一至周五）、weekend 表示周末（周六和周日）、daily表示每天。

【实现功能】

基于时间对网络访问进行控制，提高网络的使用效率和安全性。

【实验设备】

172.16.160.16.1.0/24

图 3

步骤1.基本配置。

Router#configure terminal

Router(config)#interface fastethernet 1/0

Router(config-if)#ip address 172.16.1.1 255.255.255.0

Router(config-if)#no shutdown

Router(config-if)#exit

Router(config)#interface fastethernet 1/1

Router(config-if)#ip address 160.16.1.2 255.255.255.0

Router(config-if)#no shutdown

Router(config-if)#exit

Router(config)#

验证配置：查看路由器接口的状态。

Router#show ip interface brief

Interface IP-Address(Pri) OK? Status

serial 1/2 no address YES DOWN

serial 1/3 no address YES DOWN

FastEthernet 1/0 172.16.1.1/24 YES UP

FastEthernet 1/1 160.16.1.2/24 YES UP

Null 0 no address YES UP

步骤2.配置路由器的时钟。

Router#show clock !查看路由器当前时钟

clock: 1987-1-16 5:19:9

Router#clock set 16:03:40 27 april 2006-4-27 !重设路由器当前时钟和实际时钟同步

Router#show clock

clock: 2006-4-27 16:04:9

步骤3.定义时间段。

Router(config)#time-range freetime

Router(config-time-range)#absolute start 8:00 1 jan 2006 end 18:00 30 dec 2010 !定义绝对时间段

Router(config-time-range)#periodic daily 0:00 to 9:00 !定义周期性时间段

Router(config-time-range)#periodic daily 17:00 to 23:59

!定义周期性时间段

验证配置：查看时间段配置。

Router#show time-range

time-range entry: freetime (inactive)

absolute start 08:00 01 January 2006 end 18:00 30 December 2010

periodic Daily 0:00 to 9:00

periodic Daily 17:00 to 23:59

步骤4.定义访问控制列表规则。

Router(config)#access-list 100 permit ip any host 160.16.1.1 !定义扩展访问控制列表，允许访问主机160.16.1.1

Router(config)#access-list 100 permit ip any any time-range freetime

! 关联time-range接口t1，允许在规定时间段访问任何网络

注：访问控制列表的隐含规则是拒绝所有数据包。

验证配置：查看访问控制列表配置。

Router#show access-lists

Extended IP access list 100 includes 2 items:

permit ip any host 160.16.1.1

permit ip any any time-range freetime (active)

步骤5.将访问列表规则应用在接口上。

Router(config)#interface fastethernet 1/0

Router(config-if)#ip access-group 100 in !在F1/0接口上进行入栈应用

验证配置：查看F1/0接口上应用的规则。

Router#show ip interface fastethernet 1/0

FastEthernet 1/0

IP interface state is: UP

IP interface type is: BROADCAST

IP interface MTU is: 1500

IP address is:

172.16.1.1/24 (primary)

IP address negotiate is: OFF

Forward direct-boardcast is: ON

ICMP mask reply is: ON

Send ICMP redirect is: ON

Send ICMP unreachabled is: ON

DHCP relay is: OFF

Fast switch is: ON

Route horizontal-split is: ON

Help address is: 0.0.0.0

Proxy ARP is: ON

Outgoing access list is not set.

Inbound access list is 100.

步骤6.验证测试。

在服务器主机上配置Web服务器，服务器IP地址为160.16.1.1（详见选修实验内容）。

1、验证在工作时间的服务器的访问。

更改路由器的当前时间为上班时间，PC机可以访问160.16.1.1的Web服务。更改

服务器的IP地址为160.16.1.5，PC机无法访问Web服务。

2、验证在非工作时间的服务器的访问。

更改路由器的当前时间为下班时间，PC机可以访问160.16.1.1的Web服务。更改

服务器的IP地址为160.16.1.5，PC机同样可以访问Web服务。

【注意事项】

1、在定义时间接口前须先校正路由器系统时钟；

2、Time-range接口上允许配置多条periodic规则（周期时间段），在ACL进行匹配时，

只要能匹配任一条periodic规则即认为匹配成功，而不是要求必须同时匹配多条periodic规则；

3、设置periodic规则时可以按以下日期段进行设置：day-of-the-week（星期几）、

Weekdays（工作日）、Weekdays（周末，即周六和周日）、Daily（每天）；

4、Time-range接口上只允许配置一条absolute规则（绝对时间段）；

5、Time-range允许absolute规则与periodic规则共存，此时，ACL必须首先匹配absolute

规则，然后再匹配periodic规则。

【参考配置】

Router#show running-config

Building configuration...

Current configuration : 925 bytes

version 8.32(building 53)

time-range freetime

absolute start 8:00 1 January 2006 end 18:00 30 December 2010 periodic Daily 0:00 to 9:00

periodic Daily 17:00 to 23:59

access-list 100 permit ip any host 160.16.1.1

access-list 100 permit ip any any time-range freetime

interface serial 1/2

clock rate 64000

interface serial 1/3

clock rate 64000

interface FastEthernet 1/0

ip access-group 100 in

ip address 172.16.1.1 255.255.255.0

duplex auto

speed auto

interface FastEthernet 1/1

duplex auto

speed auto

interface Null 0

line con 0

line aux 0

line vty 0

password 7 08103b1400

line vty 1

password 7 04240c072c

line vty 2

password 7 1559192000

line vty 3

password 7 0133574225

line vty 4

password 7 1316064b1f !

end

10.4 专家级访问列表

【实验名称】

专家级访问控制列表。【实验目的】

掌握锐捷网络的专家级访问列表的规则及配置。【背景描述】

你是某公司的网管，最近你怀疑有人可能利用一些工具进行网络攻击和访问。为了提高网络访问的安全性，你需要利用专家级的访问列表，根据用户的IP 地址和MAC 地址进行网络访问的控制。

本实验以1台S2126G 交换机和1台R1762路由器为例。PC1和PC2的IP 地址分别为172.16.1.1/24和172.16.1.3/24，缺省网关为172.16.1.2/24，服务器（Server ）的IP 地址和缺省网关分别为160.16.1.1/24和160.16.1.2/24，路由器的接口F1/0和F1/1的IP 地址分别为 172.16.1.2/24和160.16.1.2/24。【技术原理】

专家级访问控制列表可以利用MAC 地址、IP 地址、VLAN 号、传输端口号、协议类型、时间ACL 等元素进行灵活组合，定义规则。从而更加灵活的控制网络的流量，保证网络的安全运行。【实现功能】

基于时间对网络访问进行控制，提高网络的使用效率和安全性。【实验设备】

S2126G 交换机（1台）、R1762路由器（1台）、直连线或交叉线（2条）【实验拓扑】

Server

F0/1.1

172.16.1.0/24

160.16.1.0/24

F0/3.3

注意：连接线缆时，注意交换机上的3个接口保证在同一个VLAN 内，如交换机原来有配置，清空原有配置。

【实验步骤】

步骤1. 基本配置。

Router#configure terminal

Router(config)#interface fastethernet 1/0

Router(config-if)#ip address 172.16.1.2 255.255.255.0 Router(config-if)#no shutdown

Router(config-if)#exit

Router(config)#interface fastethernet 1/1

Router(config-if)#ip address 160.16.1.2 255.255.255.0

Router(config-if)#no shutdown

Router(config-if)#exit

Router(config)#

验证配置：查看路由器接口的状态。

Router#show ip interface brief

Interface IP-Address(Pri) OK? Status

serial 1/2 no address YES DOWN

serial 1/3 no address YES DOWN

FastEthernet 1/0 172.16.1.2/24 YES UP

FastEthernet 1/1 160.16.1.2/24 YES UP

Null 0 no address YES UP

步骤2.在S2126G上配置专家级访问控制列表。

Switch(config)# expert access-list extended test1

!定义专家级访问列表e1

Switch(config-ext-nacl)# deny ip host 172.16.1.1 host 00e0.9823.9526 host 160.16.1.1 any

! 禁止IP地址及MAC地址为172.16.1.1和00e0.9823.9526的主机

!访问IP地址为60.16.1.1 的主机

Switch(config-ext-nacl)# permit any any any any

验证测试：验证访问列表配置。

Switch # show access-lists test1 !显示专家级访问列表test1

Expert access list: test1

deny ip host 172.16.1.1 host 00e0.9823.9526 host 160.16.1.1 any

permit ip any any any any

步骤3.在接口上应用专家级访问列控制列表。

Switch (config)# interface fastethernet 0/1 !进入接口F0/1配置模式Switch (config-if)# expert access-group test1 in

! 在接口F0/1的入方向上应用专家级访问列表test1

验证测试：验证接口上应用的访问列表。

switch# show access-group

Interface inbound access-list outbound access-list

---------- ----------------- ---------------

Fa0/1 test1

步骤4.验证测试访问控制列表的结果。

PC1测试

C:\>ping 160.16.1.1 !验证PC1不能访问服务器160.16.1.1

图 5

C:\>ping 172.16.1.3 !验证PC1能访问PC2 (172.16.1.3 )

图 6

PC2测试

C:\>ping 160.16.1.1 !验证PC2能访问服务器160.16.1.1

图7

【注意事项】

1、专家级访问列表用于过滤二层和三层、四层数据流；

2、专家级访问列表可以使用源MAC地址、目的MAC地址、以太网类型、源IP、目的IP、

及可选的协议类型信息作为匹配的条件。

【参考配置】

Switch#show running-config ! 显示交换机的全部配置Building configuration...

Current configuration : 437 bytes

version 1.0

hostname SwitchA

expert access-list extended e1

deny ip host 172.16.1.1 host 00e0.9823.9526 host 160.16.1.1 any permit ip any any any any

interface fastEthernet 0/1

expert access-group e1 in

end