20【工程实验室】【利用IP扩展ACL实现应用服务的访问限制】.pdf

实验 利用IP 扩展访问列表实现应用服务的访问限制 【实验名称】 利用 IP 扩展访问列表实现应用服务的访问限制。 【实验目的】 掌握在交换机上编号的扩展 IP 访问列表规则及配置。 【背景描述】 你是学校的网络管理员，在 3750-24 交换机上连着学校的提供WWW 和 FTP 的服务器， 另外还连接着学生宿舍楼和教工宿舍楼，学校规定学生只能对服务器进行 FTP 访问，不能 进行 WWW 访问，教工则没有此限制。 【需求分析】 不允许 VLAN30 的主机去访问VLAN10 的网络中的web 服务，其它的不受限制。 【实验拓扑】 图10-3 实验拓扑图 【预备知识】 路由器基本配置知识、访问控制列表知识 【实验设备】 S3750 交换机 1 台 PC 3 台 直连线 3 条 【实验原理】 IP ACL （IP 访问控制列表或 IP 访问列表）是实现对流经路由器或交换机的数据包根据 一定的规则进行过滤。从而提高网络可管理性和安全性。 IP ACL 分为两种：标准 IP 访问列表和扩展 IP 访问列表。标准 IP 访问列表可以根据数 据包的源 IP 地址定义规则，进行数据包的过滤。扩展 IP 访问列表可以根据数据包的源 IP、 目的IP、源端口、目的端口、协议来定义规则，进行数据包的过滤。 IP ACL 基于接口进行规则的应用，分为入栈应用和出栈应用。入栈应用是指由外部经 该接口进行路由器的数据包进行过滤。出栈应用是指路由器从该接口向外转发数据时进行数 据包的过滤。IP ACL 的配置有两种方式：按照编号的访问列表，按照命名的访问列表。标 准 IP 访问列表编号范围是 1~99、1300~1999，扩展 IP 访问列表编号范围是 100~199、 2000~2699 。 【实验步骤】 第一步：路由器基本配置 S3750 (config)#vlan 10 S3750 (config-vlan)#name server S3750 (config)#vlan 20 S3750 (config-vlan)#name teachers S3750 (config)#vlan 30 S3750 (config-vlan)#name students S3750 (config)#interface f0/1 S3750 (config-if)#switchport mode access S3750 (config-if)#switchport access vlan 10 S3750 (config)#interface f0/2 S3750 (config-if)#switchport mode access S3750 (config-if)#switchport access vlan 20 S3750 (config)#interface f0/3 S3750 (config-if)#switchport mode access S3750 (config-if)#switchport access vlan 30 S3750 (config)#int vlan10 S3750 (config-if)#ip add S3750 (config-if)#no shutdown S3750 (config-if)#int vlan 20 S3750 (config-if)#ip add S3750 (config-if)#no shutdown S3750 (config-if)#int vlan 30 S3750 (config-if)#ip add S3750 (config-if)#no shutdown 第二步：配置编号的扩展 IP 访问控制列表 S3750 (config)#access-list 110 deny tcp 55 55 eq www S3750 (config)#access-list 110 permit ip any any S3750 (config)#