20【工程实验室】【利用IP扩展ACL实现应用服务的访问限制】

实验利用IP扩展访问列表实现应用服务的访问限制【实验名称】利用IP扩展访问列表实现应用服务的访问限制。【实验目的】掌握在交换机上编号的扩展IP访问列表规则及配置。【背景描述】你是学校的网络管理员，在3750-24交换机上连着学校的提供的服务器，另外还连接着学生宿舍楼和教工宿舍楼，学校规定学生只能对服务器进行FTP访问，不能进行访问，教工则没有此限制。【需求分析】不允许VLAN30的主机去访问VLAN10的网络中的web服务，其它的不受限制。【实验拓扑】图10-3实验拓扑图【预备知识】路由器基本配置知识、访问控制列表知识【实验设备】S3750交换机1台PC3台直连线3条【实验原理】IPACL（IP访问控制列表或IP访问列表）是实现对流经路由器或交换机的数据包根据一定的规则进行过滤。从而提高网络可管理性和安全性。IPACL分为两种：标准IP访问列表和扩展IP访问列表。标准IP访问列表可以根据数据包的源IP地址定义规则，进行数据包的过滤。扩展IP访问列表可以根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，进行数据包的过滤。IPACL基于接口进行规则的应用，分为入栈应用和出栈应用。入栈应用是指由外部经该接口进行路由器的数据包进行过滤。出栈应用是指路由器从该接口向外转发数据时进行数据包的过滤。IPACL的配置有两种方式：按照编号的访问列表，按照命名的访问列表。标准IP访问列表编号范围是1~99、1300~1999，扩展IP访问列表编号范围是100~199、2000~2699。【实验步骤】第一步：路由器基本配置S3750(config)#vlan10S3750(config-vlan)#nameserverS3750(config)#vlan20S3750(config-vlan)#nameteachersS3750(config)#vlan30S3750(config-vlan)#namestudentsS3750(config)#interfacef0/1S3750(config-if)#switchportmodeaccessS3750(config-if)#switchportaccessvlan10S3750(config)#interfacef0/2S3750(config-if)#switchportmodeaccessS3750(config-if)#switchportaccessvlan20S3750(config)#interfacef0/3S3750(config-if)#switchportmodeaccessS3750(config-if)#switchportaccessvlan30S3750(config)#intvlan10S3750(config-if)#ipadd192.168.10.1255.255.255.0S3750(config-if)#noshutdownS3750(config-if)#intvlan20S3750(config-if)#ipadd192.168.20.1255.255.255.0S3750(config-if)#noshutdownS3750(config-if)#intvlan30S3750(config-if)#ipadd192.168.30.1255.255.255.0S3750(config-if)#noshutdown第二步：配置编号的扩展IP访问控制列表S3750(config)#access-list110denytcp192.168.30.00.0.0.255192.168.10.00.0.0.255eq(config)#access-list110permitipanyanyS3750(config)#intvlan30S37504(config-if)#ipaccess-group110in第三步：验证测试S3750#showaccess-listsipaccess-listextended11010denytcp192.168.30.00.0.0.255192.168.10.00.0.0.255eq服务，使用客户端进行访问测试。【注意事项】1、访问控制列表要在接口下应用；2、要注意deny某个网段后要peimit其他网段。z【参考配置】S3750#showrunning-configBuildingconfiguration...Currentconfiguration:1563bytes!versionRGNOS10.1.00(4),Release(18443)(TueJul1719:51:54CST2007-ubu6server)!vlan1!vlan10!vlan20!vlan30!ipaccess-listextended11010denytcp192.168.30.00.0.0.255192.168.10.00.0.0.255eq!interfaceFastEthernet0/1switchportaccessvlan10!interfaceFastEthernet0/2switchportaccessvlan20!interfaceFastEthernet0/3switchportaccessvlan30!interfaceFastEthernet0/4!interfaceFastEthernet0/5!interfaceFastEthernet0/6!interfaceFastEthernet0/7!interfaceFastEthernet0/8!interfaceFastEthernet0/9!interfaceFastEthernet0/10!interfaceFastEthernet0/11!interfaceFastEthernet0/12!interfaceFastEthernet0/13!interfaceFastEthernet0/14!interfaceFastEthernet0/15!interfaceFastEthernet0/16!interfaceFastEthernet0/17!interfaceFastEthernet0/18!interfaceFastEthernet0/19!interfaceFastEthernet0/20!interfaceFastEthernet0/21!interfaceFastEthernet0/22!interfaceFastEthernet0/23!interfaceFastEthernet0/24!interfaceGigabitEthernet0/25!interfaceGigabitEthernet0/26!interfaceGigabitEthernet0/27!interfaceGigabitEthernet0/28!interfaceVLAN10ipaddress192.168.10.1255.255.255.0!interfaceVLAN20ipaddress192.168.20.1255.255.255.0!interfaceVLAN30ipaccess-group110inipaddress192.168.30.1255.255.255.0!linecon0linevty04login!end