数据通信网络组建与维护(项目式教学课件) 项目6 网络的访问控制实施.ppt

《数据通信网络组建与维护(项目式教学课件) 项目6 网络的访问控制实施.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、ACL网络访问控制项目六教学目标知识内容与要求了解访问控制的基本原理；掌握访问控制列表的基本概念和作用;掌握访问控制列表的分类和工作原理；掌握访问控制列表使用的基本规则；掌握标准访问控制列表与扩展访问控制列表的配置。技能目标与要求能够熟练进行ACL配置；能够运用ACL解决实际问题；能够使用基于时间段的访问控制列表进行访问控制。项目描述与分析项目背景某重点中学的校园网络拓扑结构图如图所示。校园网建成后，满足了校区师生对信息化的需求，实现了校园网络资源的共享。但由于在建设初期仅仅实现了互联互通，没有对网络进行安全加固，给网络的使用和维护带来了很多问题。例如，行政办公子网被学生经

2、常访问，有部分学生登录到教务管理系统，也有学生在上课期间登录媒体服务器影响正常学习。为了保证校园网的安全，必须对校园网重新进行一系列的规划，希望能够达到以下功能：1）禁止学生子网访问行政子网和教学子网；2）禁止学生子网访问财务系统和教务管理系统；3）禁止学生子网在上课时间访问媒体服务器；4）教务管理系统仅允许教学管理人员和教师子网访问；5）财务系统仅允许行政子网访问。网络拓扑设计与分析三层交换机三层交换机目录基础知识：ACL原理及应用要增强网络安全性，网络设备需要具备控制某些访问或某些数据的能力。包过滤技术是一种被广泛使用的网络安全技术。它使用ACL来（访问控制列表）实现数

3、据识别，并决定是转发还是丢弃这些数据包。由ACL定义的报文匹配规则，还可以被其它需要对数据进行区分的场合引用。引入IP包过滤技术介绍对路由器需要转发的数据包，先获取包头信息，然后和设定的规则进行比较，根据比较的结果对数据包进行转发或者丢弃。而实现包过滤的核心技术是访问控制列表。Internet公司总部内部网络未授权用户办事处172.16.0.0172.17.0.0Internet访问控制列表简称为ACL（AccessControlList），它是对数据包进行管理和限制的方法。什么是访问控制列表?哪些场合需要使用ACL？允许或禁止对路由器或来自路由器的某些访问QOS与队列技术

4、策略路由数据速率限制端口流镜像NAT……ACL的使用场合目的IP地址源IP地址协议号目的端口段(如TCP报头)数据数据包(IP报头)帧报头(如HDLC)使用ACL检测数据包拒绝允许ACL的判别依据－五元组源端口标准ACL仅以源IP地址作为过滤标准只能粗略的限制某一大类协议扩展ACL以源IP地址、目的IP地址、源端口号、目的端口号、协议号作为过滤标准，可以精确的限制到某一种具体的协议Inbound或Outbound基于时间的ACL在标准和扩展ACL基础上加上时间限制。ACL的分类数据包出接口数据包入接口ACL处理过程允许?源地址、目的地址协议标准ACL标准访问控制列表只根据报

5、文的源IP地址信息制定规则接口接口从1.1.1.0/24来的数据包不能通过从2.2.2.0/28来的数据包可以通过DA=3.3.3.3SA=1.1.1.1DA=3.3.3.3SA=2.2.2.1分组分组扩展ACL扩展访问控制列表根据报文的源IP地址、目的IP地址、IP承载的协议类型、协议特性等三、四层信息制定规则接口接口从1.1.1.0/24来，到3.3.3.1的TCP端口80去的数据包不能通过从1.1.1.0/24来，到2.2.2.1的TCP端口23去的数据包可以通过DA=3.3.3.1,SA=1.1.1.1TCP,DP=80,SP=2032DA=2.2.2.1,SA=1

6、.1.1.1TCP,DP=23,SP=3176分组分组ACL具有方向性在路由器中使用访问控制列表时，访问控制列表是部署在路由器的某个接口的某个方向上。因此，对于路由器来说存在入口方向（Inbound）和出口方向（Outbound）两个方向。否是丢弃处理选择出接口否ACL?路由表?数据包出接口ACL如何工作数据包入接口通信工程系《交换与路由技术》精品课程数据包出接口否是丢弃处理选择接口路由表?否ACL匹配控制允许?是ACL如何工作ACL?是数据包入接口数据包出接口否是丢弃处理选择接口路由表?否ACL匹配控制允许?是ACL如何工作ACL?是数据包入接口否ACL的匹配顺序ACL内

7、部处理具体过程：丢弃处理是目的接口拒绝拒绝是匹配第一条规则?允许ACL的匹配顺序ACL内部处理具体过程：丢弃处理是目的接口是匹配第一条规则?否下一条?是是拒绝拒绝拒绝允许允许ACL的匹配顺序ACL内部处理具体过程：丢弃处理是目的接口是匹配第一条规则?否匹配下一条?匹配最后一条?是是否是是拒绝拒绝拒绝拒绝允许允许允许ACL的匹配顺序ACL内部处理具体过程：丢弃处理是目的接口是匹配第一条规则?否匹配下一条?匹配最后一条?是是否是是**说明：当ACL的最后一条不匹配时，系统使用隐含的“丢弃全部”进行处理！拒绝拒绝拒绝拒绝