第06章-实施网络访问控制.ppt

,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,Click to edit Master title style,*,北京万博天地网络技术股份有限公司 版权所有,第,6,章实施网络访问控制,本章目的,了解访问控制列表的基本知识,配置,IP,标准访问控制列表,配置,IP,扩展访问控制列表,控制,VTY,的访问,本章内容,6.4,如何控制,VTY,的访问,6.3,配置访问控制列表,6.2,如何操作访问控制列表,6.1,访问控制列表,6.1.1,什么是访问列表,标准的,检验源地址,一般允许或者禁止整个协议栈,扩展的,检查源和目的地址,通常允许或者禁止某个具体的协议,访问控制列表要绑定到路由器的接口的输入或输出方向上,6.1.2,为什么使用访问列表,管理,IP,网络资源,过滤通过路由器的数据包,6.1.3,访问控制列表的类型,标准型访问控制列表,扩展型访问控制列表,6.2,如何操作访问控制列表,访问控制列表作用方向,访问控制列表的作用,出站访问控制列表,检测清单：拒绝或允许,6.2.1,访问控制列表作用方向,入站访问控制列表,6.2.2,访问控制列表的作用,允许或者阻止某些通过路由器的包,允许或者禁止远程登入到路由器,没有访问控制列表所有的包将通过路由器,虚拟终端线路登入（,IP,）,路由器接口上的数据转发,6.2.2,访问控制列表的作用,访问控制列表的其他应用,路由过滤,路由表,队列列表,优先极和定制队列的应用,按需拨号路由,6.2.3,出站访问控制列表,如果没有匹配的访问控制列表，将丢弃这个包,6.2.4,检测清单：拒绝或允许,如果没有匹配的规则，将把数据包丢弃,6.3,配置访问控制列表,访问列表配置指南,访问控制列表的编号标明哪个协议是被过滤的,每个接口，每个协议，每个方向上可以有一个访问控制列表,访问控制列表的顺序决定被检验的顺序,最特殊的规则应该被放到访问控制列表的前面,在访问控制列表的最后有隐含的,规则“,禁止所有的,”,访问控制列表应绑定到端口上,访问控制列表过滤通过路由器的包，但是不能过滤路由器自身产生的包,6.3.1,如何标识访问列表,标准的访问控制列表（,1 to 99,）检验所有从源地址产生的,IP,包,扩展访问控制列表（,100 to 199,）检验源和目的地址，具体的,TCP/IP,协议和目的端口,其他的访问控制列表检验其他的网络协议,访问控制列表类型,号码范围,/,标志,IP,标准的扩展的名字的,199100199Name,（,Cisco IOS 11.2 and later,）,IPX,标准的扩展的,SAP,过滤的名字的,80089990099910001099Name,（,Cisco IOS 11.2.F and later,）,6.3.2,配置,IP,访问控制列表,在,Cisco,路由器上配置访问控制列表,第一步：访问列表包含全局语句,第二步：,ip,access-group,接口配置命令激活接口上的,IP,访问列表,access-list,access-list-number,permit|deny,test conditions,ip,access-group access-list-number,in|out,6.3.2,配置,IP,访问控制列表,在华为路由器上配置访问控制列表,第一步：在系统视图下创建访问控制列表视图,第二步：在访问控制列表视图创建规则,第三步：在接口上激活访问控制列表,acl,number,acl,-number,match-order,config|auto,rule,rule-id,permit|deny,source,sour-,addr,sour-,wildcard,|any,firewall packet-filter,acl,-number,inbound|outbound,match-fragments,normally|exactly,在,Cisco,路由器上配置标准访问控制列表,第一步：设置访问控制列表语句（一个列表可以由一条或多条语句组成）,第二步：在接口上启用特定的访问控制列表,access-list,list number,permit|deny,source-address,wildcard-mask,ip,access-group,access-list-number,in|out,6.3.2.2,配置标准访问控制列表,6.3.2.2,配置标准访问控制列表,在华为路由器上配置标准访问控制列表,第一步：设置访问控制列表测试语句,第二步：配置控制列表规则,第三步：在接口上启用特定的访问控制列表,acl,number,acl,-number,match-order,config|auto,rule,rule-id,permit|deny|comment,text source,sour-,addr,sour-,wildcard,|any,firewall packet-filter,acl,-id,inbound|outbound,配置标准访问控制列表示例,Internet,S0,192.46.27.7,192.46.27.9,access-list 1 permit 192.46.27.7 0.0.0.0,Interface Serial 0,ip,access-group 1 out,rule 1 permit 192.46.27.7 0.0.0.0,Interface Serial 0,firewall packet-filter 1 outbound,Cisco,路由器上的配置,华为路由器上的配置,6.3.2.2,配置标准访问控制列表,6.3.2.3,配置扩展,IP,访问控制列表,在,Cisco,路由器上配置扩展访问控制列表,第一步：设置访问控制列表语句（一个列表可以由一条或多条语句组成）,第二步：在接口上启用特定的访问控制列表,access-list,list number,permit|deny,protocol|protocol,-key-word,source-address,source-wildcard-mask,source-port,destination-address,destination-wildcard-mask,destination port,established,ip,access-group,access-list-number,in|out,6.3.2.3,配置扩展,IP,访问控制列表,在华为路由器上配置扩展访问控制列表,第一步：设置访问控制列表测试语句,第二步：配置控制列表规则,第三步：在接口上启用特定的访问控制列表,acl,number,acl,-number,match-order,config|auto,rule,rule-id,permit|deny|comment,text,protocol,source,sour-,addr,sour-,wildcard,|any,destination,dest-addr,dest-mask,|any,soucre,-port,operator,port1,port2,destination-port,operator port1,port2,firewall packet-filter,acl,-id,inbound|outbound,6.3.2.3,配置扩展,IP,访问控制列表,E0,192.46.27.7,192.46.27.9,access-list 101 permit,ip,host 192.46.27.7 any,Interface Ethernet 0,ip,access-group 101 in,rule 101 permit,ip,host 192.46.27.7 any,Interface Ethernet 0,firewall packet-filter 101 inbound,Cisco,路由器上的配置,华为路由器上的配置,Internet,配置扩展访问控制列表示例,6.3.2.3,配置扩展,IP,访问控制列表,标准的,扩展的,只过滤源,过滤源或者目的地址,允许或者禁止整个,TCP/IP,协议,允许或者禁止一个具体的协议和端口号,范围是从,1,到,99,范围是从,100,到,199,标准和扩展访问控制列表对比,6.3.2.3,配置扩展,IP,访问控制列表,访问控制列表实际应用步骤,第一步：创建一个访问控制列表,第二步：把列表应用在接口上,第三步：确定列表的方向,6.4,如何控制,VTY,的访问,过滤到路由器的虚拟终端（,VTY,）访问,控制,VTY,访问举例,虚拟端口（,vty,0,到,4,）,物理端口（,Telnet,）,e0,设置,IP,地址过滤，需用标准的访问控制列表,用线模式并且使用,access-class,命令,在所有,vty,上设置统一的过滤,6.4.1,过滤到路由器的虚拟终端（,VTY,）访问,五个虚拟通道（,0,到,4,）,过滤哪些地址能登录到路由器上,过滤路由器能登录到哪些设备上,6.4.1,过滤到路由器的虚拟终端（,VTY,）访问,6.4.2,控制,VTY,访问举例,Router(config,)#,line,vty,0 4,Router(config,-line)#,access-class 1 in,H3C,user-interface,vty,0 4,H3C-ui-vty0-4,acl,2001 inbound,在,Cisco,路由器上,在华为路由器上,适用于,Cisco IOS 11.2,或者以后的版本,允许或者禁止的声明没有预先约定说明的数字,“,no”,是从访问控制列表删除具体的某一项检验,将名字的访问控制列表应用到端口上,6.5,使用命名,IP,访问列表,Router(config,)#,ip,access-list,standard|extended,name,Router(config-std-|ext-acl,)#,permit|deny,ip,acl,-number,test conditions,Router,（,config,-if,）,#,ip,access-group,name,in|out,6.6,验证访问控制列表,显示,IP,接口信息并表明是否设置了访问列表,Router#,sh,ip,interface,fastEthernet,0/0,FastEthernet0/0 is up,line protocol is up,Internet address is 192.168.1.1/24,Broadcast address is 255.255.255.255,Address determined by setup command,MTU is 1500 bytes,Helper address is not set,Directed broadcast forwarding is disabled,Outgoing access list is not set,Inbound access list is 101,Proxy ARP is enabled,Security level is default,Split horizon is enabled,ICMP redirects are always sent,。,H3C,display firewall-statistics,interface serial 1/0,Interface:Serial1/0,Out-bound Policy:,acl,3002,Fragments matched normally,From 2007-11-23 9:57:18 to 2007-11-23 10:05:55,0 packets,0 bytes,0%permitted,0 packets,0 bytes,0%denied,0 packets,0 bytes,0%permitted default,0 packets,0 bytes,0%denied default,Totally 0 packets,0 bytes,0%permitted,Totally 0 packets,0 bytes,0%denied.,Cisco,路由器上的显示,华为路由器上的显示,6.6,验证访问控制列表,显示所有访问列表的内容,Router#,show access-lists,Extended IP access list 101,permit,icmp,192.168.1.0 0.0.0.255 any echo-reply,permit,tcp,any 192.168.1.0 0.0.0.255,eq,www,Cisco,路由器上的显示,H3C,display,acl,all,Total ACL Number:1,Advanced ACL 3002,3 rules,Acls,step is 1,rule 1 permit,icmp,destination 192.78.46.8 0,icmp,-type echo-reply,（,0 times matched,）,rule 2 permit,tcp,destination 192.78.46.8 0 destination-port,eq,www,（,0 times matched,）,华为路由器上的显示,本章总结,了解访问控制列表的基本知识,配置,IP,标准访问控制列表,配置,IP,扩展访问控制列表,控制,VTY,访问,