专家级访问列表

专家级访问列表

专家级访问列表

【实验名称】

专家级访问列表

【实验目的】

掌握锐捷网络的专家级访问列表的规则及配置。

【背景描述】

出于安全考虑，某企业网络管理员需要按物理地址及网络地址禁止某些主机访问某服务器，但允许其它主机访问，现在需要在交换机上做相应配置。

本实验以1台S2126G交换机和1台R2624路由器为例。PC1和PC2的IP地址分别为172.16.1.1/24和172.16.1.3/24 ，缺省网关为172.16.1.2/24，服务器(Server)的IP地址和缺省网关分别为160.16.1.1/24和160.16.1.2/24 ，路由器的接口F0和F1的IP地址分别为 172.16.1.2/24和160.16.1.2/24 。

【实现功能】

基于物理地址和网络地址及可选的协议端口对网络访问进行控制，提高网络的安全性。

【实验拓扑】

【实验设备】

S2126G（1台）、R2624(1台)

【实验步骤】

第一步：在交换机上定义专家级访问列表

Switch(config)# expert access-list extended e1 ！定义专家级访问列表e1

Switch(config-ext-nacl)# deny ip host 172.16.1.1 host 00e0.9823.9526 host 160.16.1.1 any ! 禁止IP地址和MAC地址为172.16.1.1 和00e0.9823.9526 的主机访问IP地址为160.16.1.1 的主机

Switch(config-ext-nacl)# permit any any any any

专家级访问列表

验证测试：验证访问列表配置

Switch # show access-lists e1 ！显示专家级访问列表e1

Expert access list: e1

deny ip host 172.16.1.1 host 00e0.9823.9526 host 160.16.1.1 any

permit ip any any any any

或

Switch #show running-config ！此处只列出相应配置

!

expert access-list extended e1

deny ip host 172.16.1.1 host 00e0.9823.9526 host 160.16.1.1 any

permit ip any any any any

!

第二步：在接口上应用专家级访问列表

Switch (config)# interface fastethernet 0/1 !进入接口F0/1配置模式

Switch (config-if)# expert access-group e1 in ! 在接口F0/1的入方向上应用专家级访问列

表e1

验证测试：验证接口上应用的访问列表

Router# show access-group

Interface inbound access-list outbound access-list

---------- -------------------------------- --------------------------------

Fa0/1 e1

第三步：测试访问列表的效果

C:\>ping 160.16.1.1 ！验证PC1不能访问服务器

160.16.1.1

C:\>ping 172.16.1.3 ！验证PC1能访问PC2 (172.16.1.3 )

专家级访问列表

C:\>ping 160.16.1.1 ！验证PC2能访问服务器

160.16.1.1

【注意事项】

专家级访问列表用于过滤二层和三层、四层数据流；

专家级访问列表可以使用源MAC地址、目的MAC地址、以太网类型、源IP、目的IP、

及可选的协议类型信息作为匹配的条件。

【参考配置】

Switch#show running-config ! 显示交换机的全部配置

Building configuration...

Current configuration : 437 bytes

!

version 1.0

!

hostname SwitchA

enable secret level 1 5 $28cgkE,3m`dhl&-4Paein'.Q}bfjo+/

enable secret level 15 5 $2tZ[V/,3+S(\W&-41X)sv'~Q.Y*T7+.

!

expert access-list extended e1

专家级访问列表

deny ip host 172.16.1.1 host 00e0.9823.9526 host 160.16.1.1 any permit ip any any any any

!

interface fastEthernet 0/1

expert access-group e1 in

!

interface vlan 1

no shutdown

ip address 172.16.1.10 255.255.255.0

!

end

Router#show running-config ! 显示路由器的全部配置 Current configuration:

!

! Last configuration change at 16:04:56 UTC Wed Nov 3 2004 ! NVRAM config last updated at 16:05:13 UTC Wed Nov 3 2004 !

version 6.14(2)

!

hostname "Router"

!

enable secret 5 $1$EN5L$wwHurnJ/4ZePTv7sUoAVP1 !

ip subnet-zero

!

interface FastEthernet0

ip address 172.16.1.2 255.255.255.0

!

interface FastEthernet1

ip address 160.16.1.2 255.255.255.0

!

interface FastEthernet2

no ip address

shutdown

!

interface FastEthernet3

no ip address

shutdown

!

interface Serial0

no ip address

!

专家级访问列表

interface Serial1 no ip address !

!

voice-port 0 !

voice-port 1 !

voice-port 2 !

voice-port 3 ip classless !

line con 0 line 1 8 line aux 0 line vty 0 4 password star login !

end