基于ensp的 高级ACl

使用高级ACL限制公司网络访问

1.项目背景

Jan16公司财务部计算机若干台，并架设了专用的财务系统服务器，进行局域网组建，通过路由器连接至互联网。出于财务系统数据安全的考虑，需要在路由器访问控制策略，只能财务部PC1能够访问财务系统前端网站；同时，服务器不可访问外部网络。项目拓扑如图1所示。具体要求如下：

（1） 要求仅允许财务部PC1访问财务系统服务器前端网站；

（2） 财务系统服务器仅在内网使用，不允许访问外部网络；

（3） 测试计算机、路由器的IP和接口信息如拓扑所示。

图1 网络拓扑图

注意pc使用的是：

2.项目设计

扩展ACL可以对IP包地址信息中的源地址、目的地址、协议、端口号进行匹配，即检查通过IP包中的地址信息，如果地址信息与ACL中的规则相匹配，就执行放行或拦截的操作。在本项目中,访问控制策略主要集中在对财务系统服务器的访问权限上，可通过路由器上应用即可实现。ACL策略的主要内容包括：1、创建允许财务部PC1对服务器80端口的访问；2、创建拒绝财务系统服务器对外部网络访问。

配置步骤如下：

（1） 配置路由器接口

（2） 配置高级ACL控制访问

（3） 配置各部门计算机的IP地址

具体规划如下表：

表1 端口规划表

*本端设备*	*端口号*	*对端设备*
SW1	G0/0/1	R1
SW1	G0/0/2	财务系统服务器
SW2	Eth0/0/1	财务部PC1
SW2	Eth0/0/2	财务部PC2
SW2	G0/0/2	R1
R1	G0/0/1	SW1
R1	G0/0/2	SW2

表2 地址规划表

*设备*	*接口*	*IP地址*
R1	G0/0/0	16.16.16.16/24
R1	G0/0/1	192.168.10.254/24
R1	G0/0/2	192.168.20.254/24
财务系统服务器		192.168.20.1/24
财务部PC1		192.168.10.1/24
财务部PC2		192.168.10.2/24

*3.项目实施*

*（1）配置路由器接口*

 R1的配置

<Huawei>system-view
[Huawei]sysname R1
[R1]interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/0]ip address 16.16.16.16 255.255.255.0
[R1]interface GigabitEthernet 0/0/1
[R1-GigabitEthernet0/0/1]ip address 192.168.20.254 255.255.255.0
[R1]interface GigabitEthernet 0/0/2
[R1-GigabitEthernet0/0/2]ip address 192.168.10.254 255.255.255.0

*（2）配置高级ACL控制访问*

①在路由器上配置高级ACL规则，允许财务部PC1对服务器80端口的访问。将规则应用到G0/0/1的端口上。

[R1]acl 3000
[R1-acl-adv-3000]rule 5 permit tcp source 192.168.10.1 0 destination-port eq www
[R1-acl-adv-3000]rule 10 deny ip
[R1]int G0/0/1
[R1-GigabitEthernet0/0/1]traffic-filter outbound acl 3000

②在路由器上配置高级ACL规则，拒绝财务系统服务器对外网的访问。将规则应用到G0/0/0的端口上。

[R1]acl 3001
[R1-acl-adv-3001]rule 5 deny ip source 192.168.20.0 0.0.0.255
[R1-acl-adv-3001]rule 10 permit ip
[R1]int g0/0/0
[R1-GigabitEthernet0/0/1]traffic-filter outbound acl 3001

（3）配置各部门计算机的IP地址

图2 财务系统服务器 IP配置图

图3 财务部PC1 IP配置图

图4 财务部PC2 IP配置图

*4.项目验证*

*（1）查看访问控制列表*

 R1的配置

[R1]dis acl all
 Total quantity of nonempty ACL number is 2 

Advanced ACL 3000, 2 rules
Acl's step is 5
 rule 5 permit tcp source 192.168.10.1 0 destination-port eq www 
 rule 10 deny ip (2 matches)

Advanced ACL 3001, 1 rule
Acl's step is 5
 rule 5 deny tcp source 192.168.20.1 0

（2）测试财务部PC与服务器80端口的连通性

①配置财务系统2服务器HttpServer，启用80端口。

图5 财务系统服务器 HttpServer配置图

②使用财务部PC1访问

图6 财务部PC1访问Http

③使用财务部PC2访问

图7 财务部PC2访问Http

*（3）测试服务器与外部网络的连通性*

①使用财务系统服务器Ping测试外部网络:

图8 财务系统服务器ping外网

财务部系统服务器不可以与外部网路通信。

②使用财务部PC1 Ping测试外部网络:

图9 财务部PC1 ping外网

可以看出，财务部可以与外部网路通信。