企业网络安全技术与实践-.pptx

企业网络安全技术与实践;–1.1访问控制列表的概念及工作原理;图2访问控制列表表项匹配原理;2.访问控制列表的分类

（1）标准访问控制列表

标准的IP访问控制列表，只检查被路由的数据包的源地址，其结果是基于源网络/子网/主机IP地址来决定是允许还是拒绝数据包。

标准访问控制列表的基本语法为：

access-liststandardaccess-list-number[permit/deny]sourceaddress[wildcardmask]

其中：

access-list-number标识条目所属的列表，它是一个1-99的数字标识；

permit/deny指明该条目是允许还是阻塞指定的地址；

source-address标识源IP地址；

wildcardmask反向掩码标识哪些地址需进行匹配，默认反向掩码

是0.0.0.0(匹配所有)。如果反向掩码为：0.0.0.255，则表示匹配的源地址掩码为255.255.255.0。;（2）扩展访问控制列表;（3）基于名称的访问控制列表; 例1标准访问控制列表配置示例（网络拓扑如图3所示）

两台交换机switchA为三层交换机，网络内共划分了两个VLAN，分别为VLAN100与VLAN200，其中PC1属于VLAN100，PC2属于VLAN200。

两台交换机通过trunk端口fa0/1相连，使得VLAN100与VLAN200可以通信。在swithcB配置标准访问控制列表，使得PC1与PC2不能通信，但PC1能访问switchA。;图3标准访问控制列表示例拓扑;（1）交换机的基本配置

划分VLAN100与VLAN200，并且开启switchA的三层交换功能。主要配置内容如下：

//switchB上划分VLAN100与VLAN200，并且将PC1与PC2分别划分进VLAN1

swithB(config)#vlan100

swithB(config-vlan)#exit

swithB(config)#vlan200

swithB(config-vlan)#exit

swithB(config)#intrangefa0/2

swithB(config-if)#switchportaccessvlan100

swithB(config-if)#exit

swithB(config)#intfa0/3

swithB(config-if)#switchportaccessvlan200

swithB(config-if)#exit

swithB(config)#exit

%SYS-5-CONFIG_I:Configuredfromconsolebyconsole;swithB#conft

//将fa0/1接口链路配置成trunk链路，封装协议为IEEE802.1q标准

swithB(config)#intfa0/0

swithB(config-if)#switchporttrunkencapsulationdot1q

swithB(config-if)#switchportmodetrunk

swithB(config-if)#switchporttrunkallowedvlanall

swithB(config-if)#end

swithB#write

Buildingconfiguration...

[OK];switchA(config)#intfa0/1

//将fa0/1接口链路配置成trunk链路，封装协议为IEEE802.1q标准

switchA(config-if)#switchporttrunkencapsulationdot1q

switchA(config-if)#switchportmodetrunk

switchA(config-if)#switchporttrunkallowedvlanall

switchA(config-if)#exit

//switchA上划分VLAN100与VLAN200

switchA(config)#vlan100

switchA(config-vlan)#exit

switchA(config)#vlan200

switchA(config-vlan)#exit

switchA(config)#intvlan100

%LINK-5-CHANGED:InterfaceVlan100,changedstatetoup

%LINEPROTO-5-UPDOWN:LineprotocolonInterfaceVlan100,changedstateto;switchA(config-if)#ipa