分享从零开始学习网络设备配置--任务6.3 使用基本ACL限制网络访问

任务描述

        某公司构建了互联互通的办公网，为保护公司内网用户数据的安全，该公司实施内网安全防范措施。公司分为经理部、财务部和销售部，分属3个不同的网段，3个部门之间用路由器进行信息传递。为了安全起见，公司领导要求管理员对网络的数据流量进行控制，使销售部不能对财务部进行访问，但经理部可以对财务部进行访问。   公司的财务部门涉及企业许多重要的财务信息和数据，因此保障公司管理部门的安全访问，减少普通部门对财务部的访问很有必要，这样可以尽可能地减少网络安全隐患。   在路由器上应用标准访问控制列表，对访问销售部的数据流量进行限制，禁止技术部访问销售部的数据流量通过，但对财务部的访问不做限制，从而达到保护销售数据主机安全的目的。

任务要求

（1）使用基本ACL限制网络访问，网络拓扑图如图

（2）路由器的端口IP地址设置如表

（3）计算机的IP地址、子网掩码和默认网关如表

（4）使用静态路由协议实现全网互通。

（5）配置基本访问控制列表，限制技术部PC1所在的网络可以访问财务部PC2的网络、不能访问销售部PC3所在的网络，但允许财务部PC2所在的网络访问销售部PC3所在的网络。

知识准备

1．ACL的基本概念

       访问控制列表（Access Control List，ACL）是由一系列规则组成的集合，ACL通过这些规则对报文进行分类，从而使设备可以对不同类型的报文进行不同的处理。 一个ACL通常由若干条“deny | permit”语句组成，每条语句就是该ACL 的一条规则，每条语句中的“deny | permit”就是与这条规则相对应的处理动作。处理动作“permit”的含义是“允许”，处理动作“deny”的含义是“拒绝”。特别需要说明的是，ACL 技术总是与其他技术结合使用的，因此，所结合的技术不同，“permit”及“deny”的内涵及作用也不同。例如，当 ACL 技术与流量过滤技术结合使用时，“permit”就是“允许通行”的意思，“deny”就是“拒绝通行”的意思。 ACL 是一种应用非常广泛的网络安全技术，配置了ACL的网络设备的工作过程可以分为以下两个步骤。

（1）根据事先设定好的报文匹配规则对经过该设备的报文进行匹配。

（2）对匹配的报文执行事先设定好的处理动作。

2．ACL的规则原理

          ACL负责管理用户配置的所有规则，并提供报文匹配规则的算法。ACL 规则管理的基本思想如下。

(1)每个ACL作为一个规则组存在，一般可以包含多条规则。

(2)ACL中的各条规则都通过规则ID来标识，规则ID可以自行设置，也可以由系统根据步长自动生成，即设备会在创建ACL 的过程中自动为每一条规则分配一个 ID。

(3）默认情况下，ACL 中的所有规则均按照规则ID从小到大的顺序与规则进行匹配。

(4)规则ID之间会留下一定的间隔。如果不指定规则ID，则具体间隔大小由“ACL 的步长”来设定。例如，将规则编号的步长设定为10（注意，规则编号步长的默认值为5)，则规则编号将按照10、20、30、40……的规律自动进行分配。如果将规则编号的步长设定为2，则规则编号将按照2、4、6、8……的规律自动进行分配。步长的大小反映了相邻规则编号之间的间隔大小。间隔的作用是方便在两个相邻的规则之间插入新的规则。

 3．ACL的规则匹配  

       配置了ACL的设备在接收到一个报文之后，会将该报文与ACL 中的规则逐条进行匹配。如果无法匹配当前规则,则会继续尝试匹配下一条规则。一旦报文匹配上了某条规则，设备就会对该报文执行这条规则中定义的处理动作( permit 或 deny )，并且不再继续尝试与后续规则进行匹配。如果报文无法匹配 ACL 中的任何一条规则，则设备会对该报文执行“permit”动作。

 4．ACL的分类

         根据ACL具有的特性的不同，可以将ACL分成不同的类型,分别是基本ACL、高级ACL、二层ACL、用户自定义ACL。其中，应用最为广泛的是基本ACL和高级ACL。  基本ACL只能基于IP报文的源地址、报文分片标记和时间段信息来定义规则，编号范围为2000～2999。

任务实施

1.根据如图6.3.1所示的网络拓扑图，连线全部使用直通线、开启所有设备电源和为每一台计算机设置好相应的IP地址、子网掩码和默认网关。

2.路由器R1的基本配置。

3.路由器R2的基本配置。

4.配置静态路由实现全网互通。

（1）在路由器R1上配置。

（2）在路由器R2上配置。

5.配置基本访问控制列表和查看访问控制列表信息。

6.应用访问控制列表在端口上。

任务实施

1.在PC1上ping PC3，结果是不通的；在PC1上ping  PC2，结果是通的，如图

2.在PC2上ping PC3，结果是通的，如图

3.查看访问控制列表的应用状态。

任务小结

（1）注意在访问控制列表的网络掩码是反掩码。

（2）访问控制列表要在端口下应用才生效。

（3）基本访问控制列表要应用在尽量靠近目的地址的端口。