1、實驗十五 命名的擴展IP訪問控制列表實驗名稱：命名的擴展IP訪問控制列表。實驗目的：掌握交換機上命名的擴展IP訪問控制列表規則及配置。背景描述：你是學校的網絡管理員，在S3550-24交換機上連著的學校的提供WWW和FTP 的服務器，學校規定學生只能對服務器進行FTP 訪問，不能進行WWW 訪問，教工則每此限制。技術原理： IP訪問控制列表是實現對流經路由器或交換機的數據包根據一定的規則進行過濾，從而提高網絡可管理性和安全性。 IP訪問控制列表分為兩種：標準IP訪問控制列表和擴展IP訪問控制列表。 標準IP訪問控制列表可以根據數據包的源IP地址定義規則，進行數據包過濾。 擴展IP訪問控制列表可

2、以根據數據包的源IP、目的IP、源端口、目的端口、協議來定義規則，進行數據包過濾。 IP訪問控制列表基于接口進行規則的應用，分為：入棧應用和出棧應用。 入棧應用是指外部經該接口進入路由器的數據包進行過濾。 出棧應用是指路由器從該接口向外轉發數據時進行數據包過濾。 IP訪問控制列表的配置有兩種方式：按照編號的訪問控制列表，按照命名的訪問控制列表。實現功能：實現網段間互相訪問的安全控制。實驗設備： S3550-24（1臺）；PC機（3臺）；直連線（3根）實驗拓撲： 實驗步驟：步驟1：基本配置。S3760_01#conf tS3760_01(config)#vlan 10S3760_01(confi

3、g-vlan)#name serverS3760_01(config-vlan)#vlan 20S3760_01(config-vlan)#name teachersS3760_01(config-vlan)#vlan 30S3760_01(config-vlan)#name studentsS3760_01(config-vlan)#exitS3760_01(config)#interface fastEthernet 0/10S3760_01(config-if)#switchport access vlan 10S3760_01(config-if)#exitS3760_01(confi

4、g)#interface f0/12S3760_01(config-if)#switchport access vlan 20S3760_01(config-if)#exitS3760_01(config)#interface f0/13S3760_01(config-if)#switchport access vlan 30S3760_01(config-if)#exitS3760_01(config)#interface vlan 10S3760_01(config-if)#exitS3760_01(config)#interface vlan 20S3760_01(config-if)#

5、exitS3760_01(config)#interface vlan 30S3760_01(config-if)#exitS3760_01(config)#步驟2：配置擴展IP訪問控制列表。S3760_01(config)#ip access-list extended deny_stusent_wwwS3760_01(config-ext-nacl)#$0 2007-12-03 16:08:33 5-CONFIG:Configured from outbandS3760_01(config-ext-nacl)#permit ip any any2007-12-03 16:08:54 5-C

6、ONFIG:Configured from outbandS3760_01(config-ext-nacl)#endS3760_01#sh ip access-listsExtended IP access list: deny_stusent_www permit ip any anyS3760_01#步驟3：把訪問控制列表在接口下應用。S3760_01(config)#interface vlan 302S3760_01(config-if)#ip access-group deny_stusent_www inS3760_01(config-if)#步驟4：驗證、測試配置。學生不能訪問W

7、WW，教師可以訪問WWW。參考配置：S3760_01#show running-configSystem software version : RGNOS V4.12 Build Dec 8 2006 ReleaseBuilding configuration.Current configuration : 1078 bytes!version 1.0!hostname S3760_01vlan 1!vlan 10 name server!vlan 20 name teachers!vlan 30 name students!vlan 50!ip access-list extended de

8、ny_stusent_www permit ip any any!enable secret level 14 5 %2,1u_;C34-8U0Henable secret level 15 5 ,9wxY*T7Z8ptZV/89rS(W&:prX)sv!interface FastEthernet 0/10 switchport access vlan 10!interface FastEthernet 0/11 switchport access vlan 10!interface FastEthernet 0/12 switchport access vlan 20!interface FastEthernet 0/13 switchport access vlan 30!i