项目11 扩展访问控制列表

项目11 扩展访问控制列表
总目标：
1.了解IP访问控制列表的功能及用途（做管理—流量控制）
2.掌握IP访问控制列表的配置技术
3.掌握基于时间的访问控制配置技术。
11.1 扩展访问控制列表的建立及应用
项目目标：（IP访问控制列表的功能用途；配置技术）
工作任务：
角色：网络管理员
任务：公司有两个部门技术部JSB和业务部YWB，公司中的服务器角色FTP服务器和WEB服务器。分别属于三个网段，三个网段之间通过路由器进行信息传递（三个网段可以通信—默认路由）
业务部 192.168.1.0
技术部192.168.2.0
服务器192.168.3.0
要求：FTP服务器是技术部专用，业务部不可用。技术部和业务部都可以访问WEB服务器
任务分析：
首先要对路由器配置实现三个网段能通信。
然后要对离控制器校订的路由器RA配置扩展访问控制列表，不允许192.168.1.0网段（YWB）主机发出的FTP数据包到达192.168.3.0网段。（过滤YWB的FTP数据包），允许其他服务的数量流量通过，
最后将这一策略应用于对应的接口上（业务部去外网的入口）

任务实施：
1.终端设备的基本配置

2.配置服务器信息

3.配置WEB服务器

4、配置路由器
4.1路由器的基本配置（端口和IP地址）
RA(config)#int e1/0
RA(config-if)#ip add 192.168.1.1 255.255.255.0
RA(config-if)#no sh
RA(config-if)#int e1/1
RA(config-if)#ip add 192.168.2.1 255.255.255.0
RA(config-if)#no sh
RA(config-if)#int s0/0
RA(config-if)#ip add 192.168.12.1 255.255.255.0
RA(config-if)#no sh
RA(config-if)#clock rate 64000
RB(config)#int s0/0
RB(config-if)#ip add 192.168.12.2 255.255.255.0
RB(config-if)#no sh
RB(config-if)#int e1/0
RB(config-if)#ip add 192.168.3.1 255.255.255.0
RB(config-if)#no sh
4.2配置默认路由（实现全网能通信）
RA(config)#ip route 0.0.0.0 0.0.0.0 192.168.12.2
RB(config)#ip route 0.0.0.0 0.0.0.0 192.168.12.1
网络连通性测试

业务部能够和192.168.3.0网段的服务器可以通信

技术部可以和服务器通信

业务部和技术部可以通信（全网贯通）
5.在路由器上配置扩展访问控制列表
5.1在路由器RA上配置扩展ACL，用于拒绝来自192.168.1.0网段去往192.168.3.0网段的FTP流量
RA(config)#access-list 100 deny tcp 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255 eq FTP
允许其他的服务的流量能够通过
RA(config)#access-list 100 permit ip any any
5.2 将写好的规则应用于路由器的相应端口上（业务部的入口）
RA(config)#int e1/0
RA(config-if)#ip access-group 100 in
6.验证测试
6.1用业务部YWB访问FTP服务器情况如下

扩展访问控制列表ACL100拒绝成功

技术部的ckh用户FTP登录成功，但是他的权限不可用查看list

技术部的xw用户具有全权限，可以查看如上图所示。
业务部是不可用访问服务器网段的FTP服务器测试成功，技术部的用户可以访问FTP服务器。再测试业务部的用户是否可以访问WEB服务器

小结：技术部可以访问192.168.3.0网段的两个服务器，但业务部只能访问WEB服务不能访问FTP服务器，实验成功。