基本ACL

已于 2023-12-16 15:15:10 修改
阅读量1.4k 收藏 27
点赞数 22
文章标签： 智能路由器
于 2023-12-16 14:37:13 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Zzaizhu/article/details/135032567
版权

使用基本ACL限制公司网络访问

1.项目背景

Jan16公司有开发部、市场部和财务部，各有计算机若干台、财务系统服务器1台，使用三层交换机进行局域网组建，并通过路由器连接至外部网络。出于数据安全的考虑，需要再交换机上进行访问控制。项目拓扑如图1所示。具体要求如下：

（1） SW1上为开发部、市场部、财务部及财务系统分别创建了VLAN10、20、30、40；

（2） 要求财务系统服务器仅允许财务部进行访问；

（3） 财务系统服务器仅在内网使用，不允许访问外部网络；

（4） 测试计算机、交换机和路由器的IP和接口信息如拓扑所示。

image-20231216143020197

图1 网络拓扑图

2.项目规划设计

三层交换机的访问控制策略主要是通过ACL访问控制列表对不同VLAN的IP地址段进行流量匹配控制。标准ACL可以对IP包进行源地址匹配，即检查通过IP包中的源地址信息，如果源地址与ACL中的规则相匹配，就执行放行或拦截的操作。为了让其它部门无法访问财务系统服务器，可以在三层交换机中配置匹配财务部IP地址段、拒绝其他所有IP的ACL，并在G0/0/2接口的OUT方向上应用；同时在添加拒绝财务部系统服务器IP地址段的ACL，在G0/0/1接口的OUT方向上应用，组织财务部系统服务器访问外部网络。外部网络连接方面，三层交换机配置默认路由指向出口路由器。出口路由器可根据ISP接入方式采用对应的路由协议，这里不作描述。

配置步骤如下：

（1） 配置交换机基础环境

（2） 配置路由器基础环境

（3） 配置基本ACL访问控制

（4） 配置各部门计算机的IP地址

具体规划如下表：

表1 VLAN规划表
*VLAN* *ID**IP地址段**用途*
VLAN10192.168.10.0/24开发部
VLAN20192.168.20.0/24市场部
VLAN30192.168.30.0/24财务部
VLAN40192.168.40.0/24财务系统
VLAN50192.168.1.0/24连接外部网络
*表2* *端口规划表*
*本端设备**端口号**端口类型**所属VLAN**对端设备*
SW1E0/0/1-5accessVlan10开发部PC
SW1E0/0/6-15accessVlan20市场部PC
SW1E0/0/16-20accessVlan30财务部PC
SW1G0/0/2accessVlan40财务系统
SW1G0/0/1accessVlan50R1
*表3* ****IP***地址规划表
*设备**接口**IP地址*
R1G0/0/0192.168.1.1/24
R1G0/0/110.10.10.1/24
SW1VLANIF10192.168.10.254/24
SW1VLANIF20192.168.20.254/24
SW1VLANIF30192.168.30.254/24
SW1VLANIF40192.168.40.254/24
SW1VLANIF50192.168.1.254/24
财务系统服务器192.168.40.1/24
开发部192.168.10.1/24
市场部192.168.20.1/24
财务部192.168.30.1/24

*3.项目实施*

*（1）配置交换机基础环境*

①为各部门创建相应的VLAN

<Huawei>system-view

[Huawei]sysname SW1

[SW1]vlan batch 10 20 30 40 50

②将各部门计算机所使用的端口类型转换为ACCESS模式，并设置接口PVID，将端口划分到相应的VLAN

[SW1]port-group group-member Ethernet 0/0/1 to Ethernet 0/0/5

[SW1-port-group]port link-type access

[SW1-port-group]port default vlan 10

[SW1-port-group]quit

[SW1]port-group group-member Ethernet 0/0/6 to Ethernet 0/0/15

[SW1-port-group]port link-type access

[SW1-port-group]port default vlan 20

[SW1-port-group] quit

[SW1]port-group group-member Ethernet 0/0/16 to Ethernet 0/0/20

[SW1-port-group]port link-type access

[SW1-port-group]port default vlan 30

[SW1-port-group] quit

[SW1]interface G0/0/2
[SW1-GigabitEthernet0/0/2]port link-type access
[SW1-GigabitEthernet0/0/2]port default vlan 40
[SW1-port-group] quit
[SW1]interface G0/0/1
[SW1-GigabitEthernet0/0/1]port link-type access
[SW1-GigabitEthernet0/0/1]port default vlan 50
[SW1-port-group] quit

③配置vlanif接口的IP地址，作为各部门的网关

[SW1]interface Vlanif 10

[SW1-Vlanif10]ip add 192.168.10.254 24

[SW1]interface Vlanif 20

[SW1-Vlanif20]ip add 192.168.20.254 24

[SW1]interface Vlanif 30

[SW1-Vlanif30]ip add 192.168.30.254 24

[SW1]interface Vlanif 40

[SW1-Vlanif40]ip add 192.168.40.254 24

[SW1]interface Vlanif 50

[SW1-Vlanif50]ip add 192.168.1.254 24

④配置交换机默认路由

[SW1]ip route-static 0.0.0.0 0.0.0.0 192.168.1.1

*（2）配置路由器基础环境*

​ ①配置路由器接口IP地址

[Huawei]system-view

[Huawei]sysname R1

[R1]int G0/0/0

[R1-GigabitEthernet0/0/0]ip add 192.168.1.1 24

[R1]int G0/0/1

[R1-GigabitEthernet0/0/1]ip add 10.10.10.1 24

②配置路由器静态路由

[R1]ip route-static 192.168.10.0 255.255.255.0 192.168.1.254
[R1]ip route-static 192.168.20.0 255.255.255.0 192.168.1.254
[R1]ip route-static 192.168.30.0 255.255.255.0 192.168.1.254
[R1]ip route-static 192.168.40.0 255.255.255.0 192.168.1.254

*（3）配置基本ACL控制访问*

​ ①在交换机上配置ACL规则，允许数据包源网段为192.168.30.0的报文通过。将规则应用到G0/0/2的端口上。

[R1]ip route-static 192.168.10.0 255.255.255.0 192.168.1.254

[R1]ip route-static 192.168.20.0 255.255.255.0 192.168.1.254

[R1]ip route-static 192.168.30.0 255.255.255.0 192.168.1.254

[R1]ip route-static 192.168.40.0 255.255.255.0 192.168.1.254

​ ②在交换机上配置ACL规则，拒绝数据包源网段为192.168.40.0的报文通过。将规则应用到G0/0/1的端口上。

[SW1]acl 2001

[SW1-acl-basic-2001]rule deny source 192.168.40.0 0.0.0.255

[SW1]int G0/0/1

[SW1-GigabitEthernet0/0/1]traffic-filter outbound acl 2001

4.配置各部门计算机的IP地址

image-20231216143116438

图2 财务系统服务器 IP配置图 在上面

image-20231216143404872

图3 开发部PC IP配置图在上面

在这里插入图片描述

图4 市场部PC IP配置图在上面

image-20231216143428968

图5 财务部PC IP配置图在上面

*4.项目验证*

*（1）查看访问控制列表*

 SW1的配置



[SW1]display acl all 

Total nonempty ACL number is 2 

 Basic ACL 2000, 2 rulesAcl's

 step is 5 

rule 5 permit source 192.168.30.0 0.0.0.255  

rule 10 deny  Basic ACL 2001, 1 ruleAcl's step is 

5 rule 5 deny source 192.168.40.0 0.0.0.255

*（2）测试各部门计算机的互通性*

通过Ping命令，测试各部门内部通信息的情况。

使用开发部计算机Ping市场部及财务部的计算机:

PC>ping 192.168.20.1

Ping 192.168.20.1: 32 data bytes, Press Ctrl_C to break
From 192.168.20.1: bytes=32 seq=1 ttl=127 time=47 ms
From 192.168.20.1: bytes=32 seq=2 ttl=127 time=47 ms
From 192.168.20.1: bytes=32 seq=3 ttl=127 time=31 ms
From 192.168.20.1: bytes=32 seq=4 ttl=127 time=31 ms
From 192.168.20.1: bytes=32 seq=5 ttl=127 time=31 ms

--- 192.168.20.1 ping statistics ---
  5 packet(s) transmitted
  5 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 31/37/47 ms

PC>ping 192.168.30.1

Ping 192.168.30.1: 32 data bytes, Press Ctrl_C to break
From 192.168.30.1: bytes=32 seq=1 ttl=127 time=32 ms
From 192.168.30.1: bytes=32 seq=2 ttl=127 time=31 ms
From 192.168.30.1: bytes=32 seq=3 ttl=127 time=47 ms
From 192.168.30.1: bytes=32 seq=4 ttl=127 time=31 ms
From 192.168.30.1: bytes=32 seq=5 ttl=127 time=31 ms

--- 192.168.30.1 ping statistics ---
  5 packet(s) transmitted
  5 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 31/34/47 ms

*（3）测试各部门与财务系统的连接性*

使用开发部的计算机Ping财务系统：

PC>ping 192.168.40.1
Ping 192.168.40.1: 32 data bytes, Press Ctrl_C to break
Request timeout!
Request timeout!
Request timeout!
Request timeout!
Request timeout!

--- 192.168.40.1 ping statistics ---
  5 packet(s) transmitted
  0 packet(s) received
  100.00% packet loss

使用财务部的计算机Ping财务系统：

PC>ping 192.168.40.1

Ping 192.168.40.1: 32 data bytes, Press Ctrl_C to break
From 192.168.40.1: bytes=32 seq=1 ttl=127 time=47 ms
From 192.168.40.1: bytes=32 seq=2 ttl=127 time=31 ms
From 192.168.40.1: bytes=32 seq=3 ttl=127 time=32 ms
From 192.168.40.1: bytes=32 seq=4 ttl=127 time=31 ms
From 192.168.40.1: bytes=32 seq=5 ttl=127 time=47 ms

--- 192.168.40.1 ping statistics ---
  5 packet(s) transmitted
  5 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 31/37/47 ms

可以观察到其他部门无法连接到财务系统服务器上，唯有财务部可以连接到财务系统上。

*（4）测试外部网络的连通性*

通过Ping命令，测试各部门PC及财务系统服务器是否能够访问外网。

使用开发部的计算机Ping外部网络：

PC>ping 10.10.10.1

Ping 10.10.10.1: 32 data bytes, Press Ctrl_C to break
From 10.10.10.1: bytes=32 seq=1 ttl=254 time=31 ms
From 10.10.10.1: bytes=32 seq=2 ttl=254 time=47 ms
From 10.10.10.1: bytes=32 seq=3 ttl=254 time=31 ms
From 10.10.10.1: bytes=32 seq=4 ttl=254 time=47 ms
From 10.10.10.1: bytes=32 seq=5 ttl=254 time=31 ms

--- 10.10.10.1 ping statistics ---
  5 packet(s) transmitted
  5 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 31/37/47 ms

使用财务系统服务器Ping外部网络：

PC>ping 10.10.10.1

Ping 10.10.10.1: 32 data bytes, Press Ctrl_C to break
Request timeout!
Request timeout!
Request timeout!
Request timeout!
Request timeout!

--- 10.10.10.1 ping statistics ---
  5 packet(s) transmitted
  0 packet(s) received
  100.00% packet loss
  
```java

ket loss
  round-trip min/avg/max = 31/37/47 ms

使用财务系统服务器Ping外部网络：

PC>ping 10.10.10.1

Ping 10.10.10.1: 32 data bytes, Press Ctrl_C to break
Request timeout!
Request timeout!
Request timeout!
Request timeout!
Request timeout!

--- 10.10.10.1 ping statistics ---
  5 packet(s) transmitted
  0 packet(s) received
  100.00% packet loss

可以观察到到其他部门均能访问外部网络，唯有财务系统服务器无法访问外部网络。

Zzaizhu
关注
华为ensp 使用扩展ACL限制公司网络访问
weixin_68521483的博客
03-18 3082
扩展ACL可以对IP包地址信息中的源地址、目的地址、协议、端口号进行匹配，即检查通过IP包中的地址信息，如果地址信息与ACL中的规则相匹配，就执行放行或拦截的操作。在本项目中,访问控制策略主要集中在对财务系统服务器的访问权限上，可通过路由器上应用即可实现。Jan16公司财务部计算机若干台，并架设了专用的财务系统服务器，进行局域网组建，通过路由器连接至互联网。出于财务系统数据安全的考虑，需要在路由器访问控制策略，只能财务部PC1能够访问财务系统前端网站；财务系统服务器仅在内网使用，不允许访问外部网络；
高级ACL限制公司网络访问
zip471642048的博客
12-22 7338
实验拓扑 Jan16 公司财务部计算机若干台，并架设了专用的财务系统服务器，进行局域网组建， 通过路由器连接至互联网。出于财务系统数据安全的考虑，需要在路由器访问控制策略，只 能财务部 PC1 能够访问财务系统前端网站；同时，服务器不可访问外部网络。项目拓扑如图 1 所示。具体要求如下： （1） 要求仅允许财务部 PC1 访问财务系统服务器前端网站； （2） 财务系统服务器仅在内网使用，不允许访问外部网络； （3） 测试计算机、路由器的 IP 和接口信息如拓扑所示。 1.基本配置 1.1配置路由器接口地
标准ACL配置举例（某公司经理部、财务部和销售部）
salmonwilliam的博客
12-25 5712
  某公司经理部、财务部和销售部分别属于3个不同的网段，通过路由器传递信息。要求： 销售部PC2不能访问财务部PC3； 经理部PC1可以访问财务部PC3。 第一步：R1接口参数和OSPF协议配置 Router&gt;en Router#conf t Router(config)#hostname R1 R1(config)#int f0/0 R1(config-if)#ip add...
ACL的典型应用
qq_50981675的博客
02-26 5233
一、基本ACL配置示例 要求：公司网络中有网管办公区、市场部办公区、项目办公区、财务办公区和公司服务器区。出于网络安全考虑，只有网管办公区的PC1才能通过Telnet方式登录路由器R1，其他区域的PC都不能通过Telnet方式登录路由器R1 拓扑图 配置思路 （1）配置路由器的接口IP地址和主机IP地址 （2）在路由器R1上创建基本ACL （3）制定基本ACL规则 （4）在路由器的虚拟类型终端（Virtual Type Teiminal，VTY）上应用所配置的基本ACL。 配置过程 （1）配置基本的各接
三层交换技术 ACL访问控制列表
m0_54034964的博客
09-02 4053
访问控制列表(ACL)：是一种基于包过滤的访问控制技术，它可以根据设定的条件对接口上的数据包进行过滤，允许其通过或丢弃。访问控制列表被广泛地应用于路由器和三层交换机，借助于访问控制列表，可以有效地控制用户对网络的访问，从而最大程度地保障网络安全。
使用基本ACL限制公司网络访问.rar
02-17
2、学习目标：配置交换机基础环境，配置路由器基础环境，配置基本ACL访问控制 3、应用场景：使用基本ACL限制公司网络访问 4、特点：Word文档提供了实验的详细过程，包括每一步骤的操作命令和截图，并给出了实验的...
实验：使用基本ACL限制公司网络访问.docx
11-09
本实验"使用基本ACL限制公司网络访问"旨在让学生深入理解并掌握如何通过访问控制列表（ACL）来实现这一目标。实验主要涉及了eNSP（Enterprise Network Simulation Platform，企业网络模拟平台）、ACL、VLAN以及三层...
9.4-基本ACL和高级ACL（下）
04-20
在本节教程“9.4-基本ACL和高级ACL（下）”中，我们将深入探讨网络访问控制列表（Access Control Lists, ACLs）的应用，尤其是Cisco IOS设备上的配置。ACLs是网络安全策略的重要组成部分，用于控制网络流量，允许或...
访问控制列表实训,基本ACL、扩展ACL
08-17
在本文中，我们将深入探讨访问控制列表（Access Control List, ACL）的概念，以及如何在华为Ensp平台上实现基本ACL和扩展ACL的配置。访问控制列表是网络管理员用于管理网络流量和安全策略的重要工具，它们允许或拒绝...
华为Ensp，基本ACL，高级ACL，三层ACL，二层ACL，命名ACL配置大全.doc
06-16
华为Ensp，基本ACL，高级ACL，三层ACL，二层ACL，命名ACL配置大全.doc
华为ENSP基本ACL实验
u014551471的博客
06-10 854
使用基本ACL限制公司网络访问 1.项目背景 Jan16公司有开发部、市场部和财务部，各有计算机若干台、财务系统服务器1台，使用三层交换机进行局域网组建，并通过路由器连接至外部网络。出于数据安全的考虑，需要在交换机上进行访问控制。项目拓扑如图1所示。具体要求如下： （1） SW1上为开发部、市场部、财务部及财务系统分别创建了VLAN10、20、30、40； （2） 要求财务系统服务器仅允许财务部进行访问； （3） 财务系统服务器仅在内网使用，不允许访问外部网络； （4） 测试计算机、交换机
基于 VLANIF 的公司网络搭建
zip471642048的博客
12-21 3394
实验拓扑 Jan16 公司现有财务部和技术部，使用一台 24 口三层交换机进行互联。为方便管理， 要求为部门创建相应的 VLAN，并实现 VLAN 间通信。 1.1基础配置 三层交换机可以通过创建 VLANIF 的方式实现VLAN 间的通信。在交换机中创建 VLAN10、VLAN20 分别用于财务部、技术部的计算机接入，VLAN10 使用 192.168.1.0/24 网段，VLAN20 使用 192.168.2.0/24 网段。在交换机中创建 VLAN10、VLAN20 的 VLANIF 接口，并配置对
基于静态路由的公司与分部互联
qq_62353531的博客
09-06 1808
北京总部使用192.168.1.0网段，上海分部使用172.16.1.0网段，广州分部使用10.10.10.0网段，R1与R2之间为20.20.20.0网段，R1与R3之间为30.30.30.0网段，R2与R3之间为40.40.40.0网段，所有网段均使用24位子网掩码。对于R1而言，要发送数据到主机PC2，则必须先发送给R2，所以R2即为R1的下一跳路由，R2与R1所在的直连链路上的物理接口的IP地址即为下一跳IP地址，即20.20.20.10。配置配置目的网段为PC3所在网段的静态路由。
基于单区域ospf协议互联的公司网络搭建
zsysingapore的博客
06-06 2086
动态路由+静态路由
为Jan16公司创建部门VLAN
最新发布
SSRppIG的博客
06-29 520
为实现各部门之间的隔离，需在交换机上创建VLAN，并将各部门计算机的端口划分到相应的 VLAN 中。Jan16 公司现有财务部、技术部和业务部，出于数据安全的考虑，各部门的计算机需进行隔离，仅允许部门内部相互通信。将各部门计算机所使用的端口按部门分别组成端口组，统一将端口类型转换为 ACCESS 模式，并设置端口 PVID，将端口划分到相应的 VLAN。可以看出，将端口加入到不同的 VLAN 后，相同 VLAN 中的计算机可以互相通信，不同VLAN 中的计算机则不可以互相通信。
CHAP认证
zip471642048的博客
12-22 4550
实验拓扑 Jan16 公司因业务发展，建立了分公司，租用了专门的线路用于总部与分公司的连联。为保障通信线路的数据安全，需在路由器上配置安全认证。项目拓扑如图所示。 1. 基础配置 2. 配置路由器接口 （1）R1的配置 [Huawei]system-view [Huawei]sysname R1 [R1]int G0/0/0 [R1-GigabitEthernet0/0/1]ip add 192.168.10.254 24 [R1]interface Serial 4/0/0 [R1-Serial4/
基于单臂路由的公司网络搭建
zip471642048的博客
12-21 3929
实验拓扑 Jan16 公司的财务部和技术部有多台计算机，它们使用 1 台二层交换机进行互联，为方便管理和隔离广播，划分了 VLAN10 和 VLAN20。现因业务需要，两部门之间需实现相互通信。 1.1基本配置 财务部和技术部分别属于 VLAN10 和 VLAN20，使用 192.168.1.0/24 和 192.168.2.0/24 网段。二层交换机的 VLAN 之间是无法通信，可以通过增加一台路由器并配置相应 VLAN 子接口的方式，实现 VLAN 间的通信。现需在 R1 创建子接口并绑定到相应的 V
思科 计算机网络 期末考试答案
热门推荐
weixin_46498855的博客
05-25 17万+
1.以下哪个域名是顶级域的一个示例？ A.root.cisco.com B.www.cisco.com C.cisco.com D…com 2.第 2 层数据封装有哪三个主要功能？（请选择三项。） A.将位组定界为帧 B.通过冲突检测方法纠正错误 C.在介质中放置和删除帧 D.将位转换为数据信号 E.通过 CRC 计算检测错误 F.数据链路层寻址 G.使用端口号控制会话 3.管理员在发出 ping命令之后在交换机上使用 Ctrl-Shift-6 键组合。使用这些按键有什么用途？ A.允许用户完成命令 B.中
公司技术部和财务部计算机的互联与隔离 ——跨交换机 VLAN 的配置
晴空哦
04-23 8067
1.项目背景 某公司现有财务部和技术部，出于数据安全的考虑，各部门的计算机需进行隔离。公司 办公地点有两层楼，他们通过两台 24 口二层交换机进行互联，两台交换机均通过 G0/0/1 互 联。公司拓扑如图 1 所示，具体要求如下： （1） 财务部和技术部在这两层楼均有员工办公，其中财务部计算机使用 SW1 的 Eth0/0/1-5端口及SW2的Eth0/0/1-5端口；技术部计算机使用SW1的Eth0/0/6- 10 及 SW2 的 Eth0/0/6-10 端口。 （2） 出于安全的考虑，需在交换机中为
使用基本ACL限制网络访问
06-08
基本ACL（Access Control List）是一种网络安全措施，用于限制网络中特定设备或用户的访问权限。下面是使用基本ACL限制网络访问的步骤： 1. 首先，需要确定哪些设备或用户需要限制访问权限。 2. 然后，需要创建一...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值