项目十一 访问控制列表实现网络安全课件.ppt

《项目十一 访问控制列表实现网络安全课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、项目十一访问控制列表实现网络安全任务1使用ACL保护公司内部设备及信息的安全任务2使用ACL进行信息过滤任务3使用ACL应对常见的网络病毒返回任务1使用ACL保护公司内部设备及信息的安全【任务说明】（1）按图11-1（也可简化成图11-2）搭建网络，按要求配置网络设备，使网络互通。（2）在路由器上使用ACL技术，要求除指定测试计算机外，包括WWW、FTP服务器均不能Telnet到路由器上。（3）在路由器上使用ACL技术，要求除服务器开放的服务外，其余到服务器的数据一律拒绝。【工作过程1】保障设备的安全配置步骤如下：（1）在路由器Quidway上允许防火墙：下一页返回任务1使用ACL

2、保护公司内部设备及信息的安全［Quidway］firewallenable（2）设置防火墙缺省过滤方式为允许包通过：（3）创建访问控制列表2000：［Quidway］aclnumber2000*创建基本访问控制列表2000（4）配置规则允许特定主机访问网络设备：［Quidway-acl-basic-2000］rule0permitsource192.168.0.30.0.0.0［Quidway-acl-basic-2000］rule1denysourceany（5）进入VTY用户界面视图：［Quidway］user-interfacevty04上一页下一页返回任务1使用ACL保护公

3、司内部设备及信息的安全（6）在VTY用户界面视图下使用ACL进行访问控制：［Quidway-ui-vty0-4］acl2000inbound*将2000列表绑定在VTY接口的IN方向如此，就只允许指定的管理员的IP地址进行Telent操作，再加上登录密码，使用网络设备更加安全。【工作过程2】保障服务器的安全（1）创建访问控制列表3002：［Quidway］aclnumber3002*创建高级访问控制列表3002（2）配置规则只允许用户访问服务器开放的服务：［Quidway-acl-adv-3002］rulepermittcpsourceanydestination192.168.0

4、.20上一页下一页返回任务1使用ACL保护公司内部设备及信息的安全destination-porteq80［Quidway-acl-adv-3002］rulepermittcpsourceanydestination192.168.0.10destination-porteqeq20［Quidway-acl-adv-3002］rulepermittcpsourceanydestination192.168.0.10destination-porteqeq21［Quidway-acl-adv-3002］ruledenyip（3）将规则3002作用于从接口Ethernet0/1出去的包

5、：上一页下一页返回任务1使用ACL保护公司内部设备及信息的安全［Quidway-Ethernet0/0］firewallpacket-filter3002outbound如此，就只允许计算机到服务器的www、FTP访问通过，对其他数据全部拒绝，保证了服务器的安全。可以尝试将permit改为deny再测试。上一页返回任务2使用ACL进行信息过滤【任务分析】首先分析一下需求。DNS使用UDP53端口，E-mail使用TCP25/110端口，浏览Internet现在基本上使用http或https进行访问，其标准端口是TCP/80端口和TCP/443，MSN使用TCP/1863端口，登录Q

6、Q时会使用TCP/UDP8000这两个端口，还有可能使用udp/4000进行通信。这个需求见表11-1。【工作过程3】［Quidway］time-rangework08：00to17：00working-daysta（1）创建访问控制列表3003：［Quidway］aclnumber3003下一页返回任务2使用ACL进行信息过滤（2）配置规则只允许用户访问服务器开放的服务：上一页下一页返回任务2使用ACL进行信息过滤［Quidway-acl-adv-3002］ruledenyip［Quidway-acl-adv-3002］ruledenytcpdestinationany（3）将规

7、则3003作用于从接口Ethernet0/1进入服务器的包：［Quidway-Ethernet0/1］firewallpacket-filter3003outbound上一页返回任务3使用ACL应对常见的网络病毒【任务分析】路由器的功能是保持网络的连通性，尽自己最大能力转发数据包。对网络病毒发送的大量垃圾报文，路由器并不能识别，比如流行的冲击波病毒。这需要手工配置ACL，通过配置，路由器可以部分处理这些垃圾报文，如禁止端口号为135的tcp报文、禁止端口号为69的ud