标准访问控制列表ACL实验

温故知新：
上节课讲的内容是TFTP服务，也就是网络设备系统的上传与下载（有备无患）；recover（恢复）。
Q：TFTP是怎样的协议？协议端口号？与FTP相比有何二者区别？
A：小文件传输协议，是UDP协议，非面向连接。协议端口号69；FTP是TCP协议，是面向连接的。协议端口号20和21.
TFTP协议通信前不需要建立连接，只要知道目的地址就OK。（文件不能太大）
FTP协议通信前必须建立连接（需要四步：请求—指示----响应----确认），然后才能通信。
交换机标准访问控制列表
教学目标：
1.IP标准访问控制ACL功能和用途
2.掌握标准访控列表的配置

课题解读：现网中多使用交换机，特别是三层交换，既有交换的功能又有路由功能。（网络边界必须使用路由器）经验的介绍。
标准访控列表的建立及应用
工作任务：（网络规划设计----方便管理）
角色：网络管理员
通信：公司有三个网段（技术部—业务部----财务部），三个部门之间通过三层交换进行信息传递。
安全：公司要求对数据流量进行控制（flow control）。
要求：技术部主机可以访问财务部；业务部主机不能访问财务部。
任务分析：
1.对三层交换L3S进行基本配置，实现三个网段能够互相访问（要有路由）。
2.对交换机进行标准访控列表配置，允许permit192.168.1.0网段（技术部）主机发出的数据包通过；不允许192.168.2.0网段（业务部）主机发出的数据包通过；（做策略）
3.将策略加到交换机的相应的端口上（财务部的端口）【做的策略要用于端口才生效】

相关知识：CISCO思科访控列表（分为标准【1_{99】和扩展【100}199】两类）
语法格式：Switch(conifg)#access-list 编号|permit/deny|souce地址|掩码 （做策略）然后应用于相应的端口上。
任务实施：
1.配置各PC机的地址

2.交换机的基本配置
2.1开启交换机的三层路由功能
Switch>en
Switch#conf t
Switch(config)#hostname S3560
S3560(config)#ip routing
S3560(config)#
2.2划分vlan添加端口
划分vlan
S3560#vlan database
S3560(vlan)#vlan 10 name JSB
VLAN 10 added:
Name: JSB
S3560(vlan)#vlan 20 name YWB
VLAN 20 added:
Name: YWB
S3560(vlan)#vlan 30 name CWB
VLAN 30 added:
Name: CWB
S3560(vlan)#
添加端口进vlan
S3560(config)#int f0/1
S3560(config-if)#switchport mode access
S3560(config-if)#switchport access vlan 10
S3560(config-if)#int f0/2
S3560(config-if)#switchport mode access
S3560(config-if)#switchport access vlan 20
S3560(config-if)#int f0/3
S3560(config-if)#switchport mode access
S3560(config-if)#switchport access vlan 30
S3560(config-if)#
2.3配置交换机端口的路由功能（给虚接口配网关）
S3560#conf t
S3560(config)#int vlan 10
S3560(config-if)#ip add 192.168.1.1 255.255.255.0
S3560(config-if)#no sh

S3560(config)#int vlan 20
S3560(config-if)#ip add 192.168.2.1 255.255.255.0
S3560(config-if)#no sh
S3560(config-if)#

S3560(config)#int vlan 30
S3560(config-if)#ip add 192.168.3.1 255.255.255.0
S3560(config-if)#no sh
S3560(config-if)#
3.交换机标准访问控制列表配置
3.1 定义标准访问控制列表（做策略）
S3560(config)#access-list 1 deny 192.168.2.0 0.0.0.255
S3560(config)#access-list 1 permit 192.168.1.0 0.0.0.255
3.2 将策略应用于三层交换机与财务部虚接口出方向上
S3560(config)#int vlan 30
S3560(config-if)#ip access-group 1 out
S3560(config-if)#exit
S3560(config)#
3.3 验证测试结果

JSB技术部可以和CWB财务部通信，如上图所示

YWB业务部不能访问CWB财务部，如上图所示。
如果删除这个规则再测试CWB和YWB的通信情况
S3560(config)#int vlan 30
S3560(config-if)#no access-list 1 deny 192.168.2.0 0.0.0.255
S3560(config-if)#

删除了这条规则后CWB和YWB可以通信了。
再次恢复这条规则，继续测试CWB和YWB的通信情况
S3560(config-if)#access-list 1 deny 192.168.2.0 0.0.0.255
S3560(config)#

小结：标准访问列表是基于源的，配置方法是定义访问控制列表，然后应用于相应的端口上。