路由与交换技术课程设计报告.docx

一、选题目的和意义选题的目的:ACL 技术在路由器中被广泛采用，它是一种基于包过滤的流控制技术。标准访问控制列表通过把源地址、 目的地址及端口号作为数据包检查的基本元素，并可以规定符合条件的数据包是否允许通过.ACL 通常应用在企业的出口控制上，可以通过实施ACL，可以有效的部署企业网络出网策略。随着局域网内部网络资源的增加,一些企业已经开始使用 ACL 来控制对局域网内部资源的访问能力,进而来保障这些资源的安全性。ACL技术可以有效的在三层上控制网络用户对网络资源的访问，它 可以具体到两台网络设备间的网络应用， 也可以按照网段进行大范围的访问控制管理，为网络应用提供了一个有效的安全手段。一方面，采用 ACL 技术,网络管理员需要明确每一台主机及工作站所在的 IP 子网并确认它们之间的访问关系，适用于网络终端数量有限的网络。对于大型网络， 为了完成某些访问控制甚至不得不浪费很多的 IP 地址资源。同时,巨大的网络终端数量， 同样会增加管理的复杂度和难度。另一方面，维护ACL 不仅耗时 ,而且在较大程度上增加路由器开销。访问控制列表的策略性非常强，并且牵涉到网络的整体规划， 它的使用对于策略制定及网络规划的人员的技术素质要求比较高。因此，是否采用 ACL 技术及在多大的程度上利用它,是管理效益与网络安全之间的一个权衡。访问控制列表(Access Control List,ACL）是路由器和交换机接口的指令列表,用 来控制端口进出的数据包。ACL 适用于所有的被路由协议，如 IP、IPX、AppleTalk 等。这 张表中包含了匹配关系、条件和查询语句，表只是一个框架结构,其目的是为了对某种访问 进行控制. ACL 可以限制网络流量、提高网络性能；ACL 可以提供对通信流量的控制手段;ACL 是 提供网络安全访问的基本手段;ACL 可以在路由器端口处决定哪种类型的通信流量被转发或 被阻塞。目前有两种主要的 ACL:标准 ACL 和扩展 ACL。 标准的 ACL 使用 1 99 以及 13001999 之间的数字作为表号 ,扩展的 ACL 使用100 199 以及 20002699 之间的数字作为表号。标准 ACL 可以阻止来自某一网络的所有通信流量, 或者允许来自某一特定网络的所有通 信流量，或者拒绝某一协议簇（比如 IP）的所有通信流量。扩展 ACL 比标准 ACL 提供了更广泛的控制范围。例如，网络管理员如果希望做到“允许 外来的 Web 通信流量通过 ,拒绝外来的 FTP 和Telnet 等通信流量” ，那么，他可以使用扩展 ACL 来达到目的,标准 ACL 不能控制这么精确。路由器工作在网络层，是信息出入的必经之路，能有效的防止外部用户对局域网的安全访问.同时可以限制网络流量，也可以限制局域网内的用户或设备使用网络资源。因此，网络路由过滤对网络的安全具有举足轻重的作用。目前大部分的路由器都是通过访问控制列表技术来允许或拒绝报文通过。当路由器的访问控制列表的安全特性被充分利用时，路由器将变成一个有效的、稳定的、安全的、坚固的防御体系，既能抵御外部的攻击，又能限制内部用户对外部的非法访问，在很大程度上提高了网络的安全性.因此，可以说访问控制列表是网络防御外来攻击的第一道关卡。本文以某企业真实拓扑图为例，讨论如何利用路由器的访问控制列表技术提高网络的安全性。2访问控制列表（ACL)访问控制列表是应用在路由器接口的指令列表，这些指令列表用来告诉路由器哪些数据包可以接收，哪些数据包需要拒绝。至于数据包是被接收还是被拒绝, 可以由类似于源地址、目的地址、端VI号、协议等特定指示条件来决定。通过灵活地增加访问控制列表，ACL可以当作一种网络控制的有力工具，用来过滤流入和流出路由器接口的数据包。选题的意义：本次实验主要通过理解上述ACL的意义及功能， 通过自己配置ACL来实现对任意网段的数 据的阻塞和对任意网段的ping服务进行阻塞， 以达到学会ACL 基本配置, 理解ACL的功能及实 现为目的.本文以某企业真实拓扑图为例，讨论如何利用路由器的访问控制列表技术提高网络的安全性。访问控制列表的作用：各种数据在其上快速通过， 今天的网络就好比一条复杂的高速公路 ， 各种数据在其上快速通过， 为了正确的规划流量,保证网络的畅通,安全.为了正确的规划流量,保证网络的畅通，安全。我们就要设一些禁行 标志、规定单行线等等， 标志、规定单行线等等,这就是网络上的 ACL 其实在网络上有很多种方法可以实现以上的作用， 其实在网络上有很多种方法可以实现以上的作用， 但是最简单易行的 还是访问控制列表。 还是访问控制列表。访问控制列表：就是用来在使用路由技术的网络里,识别和 过滤那些由某些网络发出的或者被发送出去到某些网络的 符合我们所规定条件的数据流量， 符合我们所规定条件的数据流量，以决定这些数据流量是应 该转发还是应该丢弃的技术。 该转发还是应该丢弃的技术。由于 以上的定义我们可以看出，在路由器上实现 ACL 就是一种实现防火墙的手段。 ACL 的应用放置在路由器的接口上， 预先把建好的 ACL 放置在路由器的接口上，对接口上进方向或 者出方向的数据包进行过滤， 但是访问控制列表只能过滤经过路 者出方向的数据包进行过滤，路由器的数据包，路由器的数据包，不能过滤其本身产生的数据包。 不能过滤其本身产生的数据包。二、主要研究内容本次实验设计在 cisco packet tracer 这款虚拟配置电脑平台的软件上操作的. 要求用 1841 路由器，2950-24 交换机,以及 6 台 PC 机，连接 3 个网络192。168.10.0/24，192。168.1。0/30，192。168。11。0/24；本文以某企业真实拓扑图为例，讨论如何利用路由器的访问控制列表技术提高网络的安全性。本次实验 LAN_B 只允许 LAN_A 的访问，拒绝其他网段的数据.ACL 的配置可分为两个步骤：(1) 在全局配置模式下，使用下列命令创建 ACL Router(config）access-list access-listnumber permit/deny testconditions其中 accesslist-number 为 ACL 的序列号。人们使用较频繁的序列号是标准的 IP ACL(199）和扩展的 IPACL（100-199）.注意，在路由器中，如果使用 ACL 的序列号进行配置,则列表不能插入或删除行（动态编辑）.如果列表要插入或删除一行,必须先去掉 ACL，然后重新配置。(2) 在接口模式下,使用access-group 命令将第一步中创建的 ACL 应用到某一接口上。(3) Router(config-if)ip access-group accesslist-numberin/out其中,in 和 out 参数可以控制接口中不同方向的数据包，ACL 在一个接口可以进行双向控制即配置两条命令，一条 in，一条 out，但是在一个接口的一个方向上,只能有一个 ACL 控制。注意，把定义好的 ACL 应用在网络的什么地方,是能否实现原有的目的和有效地减少不必要的通信流量的关键。通常情况下标准的 ACL 要尽量靠近目的端；扩展的 ACL 要尽量靠近源端。当然这不是绝对的，具体放在哪个位置，要根据具体的情况分析.ACL 技术可以有效的在三层上控制网络用户对网络资源的访问， 它可以具体到两台网络设备间的网络应用 ,也可以按照网段进行大范围的访问控制管理，为网络应用提供了一个有效的安全手段。三、方案设计（小四号黑体，段前 3 磅，段后 1 磅,行间距 20 磅)本次实验设计在cisco packet tracer 这款虚拟配置电脑平台的软件上操作的。要求用 1841 路由器，295024 交换机,以及 6 台 PC 机，连接 3 个网络192。168.10.0/24，192。168.1.0/30，192.168。11。0/24;本次实验 LAN_B 只允许 LAN_A 的访问，拒绝其他网段的数据。1) 某企业真实拓扑图如下：图 1-12）IP 地址规划：网络PC 机或端口IP 地址子网掩码PC_A192.168。10.1/24255.255。255.01PC_B192。168.10。2/24PC_E192。168。10.3/242S0/0/0(Router0）192。168.1.1/30255.255。255。252S0/0/0（Router1)192.168。1.2/303PC_CPC_D192。168。11。1/24192。168.11.2/24255。255.255.0PC_F192.168。11。3/24表 1-13) 关键技术及实现原理ACL 信息点间通信和内外网络的通信都是企业网络中必不可少的业务需求，但是为了保证内网的安全性,需要通过安全策略来保障非授权用户只 能访问特定的网络资源，从而达到对访问进行控制的目的。简而言之，ACL （访问控制列表）可以过滤网络中的流量，控制访问的一种网络技术手段。 实际上，ACL 的本质就是用于描述一个 IP 数据包、以太网数据帧若干特征的集 合。然后根据这些集合去匹配网络中的流量（由大量数据包组成),同时根据策 略来“允许”或者“禁止”.作用: ACL 可以限制网络流量、提高网络性能.ACL 提供对通信流量的控制手段。ACL 是提供网络安全访问的基本手段. ACL 可以在路由器端口处决定哪种类型的通信流量被转发或被阻塞。ACL 的分类（基于 IP) 标准 ACL 标准型 ACL 只能匹配源 IP 地址，在应用中有三种匹配的方式: 1、any,指任意地址2、<netmask,指定某个 IP 网段3、src_range,指定 IP 的地址范围 配置命令： ip accesslist standard<name /标准 ACL，name 为名字 permit | deny any permit | deny<network> <netmask permit deny src_range startip> <end-ip 扩展型 ACL 扩展型 ACL 可匹配多个条目,常用的项目有源、目的 IP, 源、目的端口号， 以及 ip 协议号（种类)等，可以用来满足绝大多数的应用. 在一个条件中，这 些项目的前后顺序如下：协议号，源 ip 地址，源端口号， 目的 ip 地址，目的端 口号。 配置命令: ip access-list extended <namepermit deny ip icmp tcp udp any | network | src_rangesrc_port any | network | src_range dst_port2) EigrpEIGRP：Enhanced Interior Gateway Routing Protocol 即 增强内部网关路由线路协议。也翻译为 加强型内部网关路由协议. EIGRP 是 Cisco 公司的私有协议.Cisco 公司是该协议的发明者和唯一具备该协议解释和修改权的厂商。EIGRP 结合了链路状态和距离矢量型路由选择协议的 Cisco 专用协议,采用弥散修正算法（DUAL)来实现快速收敛，可以不发送定期的路由更新信息以减少带宽的占用，支持 Appletalk、IP、Novell 和 NetWare 等多种网络层协议。是 Cisco 的私有路由协议，它综合了距离矢量和链路状态 2 者的优点,它的特点包括：1.快速收敛链路状态包(Link-State Packet，LSP)的转发是不依靠路由计算的，所以大型网络可以较为快速的进行收敛。它只宣告链路和链路状态,而不宣告路由， 所以即使链路发生了变化，不会引起该链路的路由被宣告.但是链路状态路由协议使用的是 Dijkstra 算法，该算法比较复杂，并且和其他路由协议单独计算路由相比较占 CPU 和内存资源,EIGRP 采用弥散更新算法（diffusingcomputations ）, 通过多个路由器并行的进行路由计算,这样就可以在无环路产生的情况下快速的收敛。2。减少带宽占用EIGRP 不作周期性的更新，它只在路由的路径和速度发生变化以后做部分更新.当路径信息改变以后，DUAL 只发送那条路由信息改变了的更新，而不是发送整个路由表.和更新传输到一个区域内的所有路由器上的链路状态路由协议相比,DUAL 只发送更新给需要该更新信息的路由器。在 WAN 低速链路上,EIGRP 可能会占用大量带宽，默认只占用链路带宽 50%,之后发布的 IOS 允许使用命令 ip bandwidthpercent eigrp 来修改这一默认值.3.支持多种网络层协议EIGRP 通过使用“协议相关模块"（即protocol-dependentmodule<PDM>)，可以支持 IPX，ApplleTalk，IP，IPv6 和NovellNetware 等协议.4。无缝连接数据链路层协议和拓扑结构EIGRP 不要求对 OSI 参考模型的层 2 协议做特别的配置。不像OSPF,OSPF 对不同的层 2 协议要做不同配置，比如以太网和帧中继,EIGRP 能够有效的工作在LAN 和WAN中，而且EIGRP 保证网络及不会产生环路(loop-free）;而且配置起来很简单;支持 VLSM；它使用组播和单播，不使用广播，这样做节约了带宽；它使用和 IGRP 一样的度的算法，但是是 32 位长的；它可以做非等价的路径的负载平衡.四、主要设备命令配置1).配置使得各 PC 机之间可以相互通信routerA 配置文档:Router enable Router#configure terminalEnter configuration commands, one per line.End with CNTL/Z. Router（config)#hostname RouterARouterA(config）#int s0/0/0RouterA（config-if)ip address 192.168.1.1 255。255。255.252 RouterA(configif)clock rate 64000 RouterA（configif）no shutdownRouterA（config-if）exit RouterA(config）#int f0/0RouterA(config-if)#ip address 192。168。10.254 255.255。255。0 RouterA(config-if）no shutdownRouterAconfig tEnter configuration commands， one per line.End with CNTL/Z.RouterA（config)#router eigrp 1RouterA(config-router）#network 192。168。1.0 RouterA(config-router）network 192.168。10.0 RouterA(configrouter)#no autoRouterA(config-router）#no auto-summary RouterA（config-router）exitrouterB 的配置文档： Router enable Router#configure terminalEnter configuration commands， one per line。End with CNTL/Z。Router(config)#hostname RouterBRouterB（config)#int s0/0/0RouterB（configif）#ip address 192.168。1.2 255.255。255.252 RouterB（config-if)no shutdownLINK-5-CHANGED: Interface Serial0/0/0, changed state to upRouterB(configif)#%LINEPROTO-5UPDOWN: Line protocol on Interface Serial0/0/0, changed state to upRouterB（config-if)exitRouterB(config)#int f0/0RouterB(config-if)#ip address 192。168.11.254 255。255。255。0 RouterB（configif）no shutdownRouterBconfig tEnter configuration commands, one per line.End with CNTL/Z。RouterB（configrouter)#network 192.168.1.0 RouterB(configrouter)#DUAL-5-NBRCHANGE: IP-EIGRP 1: Neighbor 192.168。1.1 （Serial0/0/0)is up: new adjacencyRouterB（config-router）network 192。168.11。0 RouterB（config-router)no autoRouterB（config-router)no autosummary RouterB(config-router）#%DUAL-5NBRCHANGE： IPEIGRP 1: Neighbor 192。168。1.1（Serial0/0/0） is up: new adjacency RouterB（config-router）exit RouterB（config）exit先查看 RouterA 和 RouterB 上的路由表：茎荽 1|节R ont e ri Physical II Config I CLIIOS Command Line Interface今令DlTAL- 5邯 RC型 GE: IP-BIGP.P 1: Nei g汕 过 192. 168.1. 2 l： ed al 0/ 0/ 0 ) is down: Int 釭fa 氓 G叩 必 ye 工己已 eiv吐DlTAL- 5- NBR 氓 汕 !GE: IP - BI GRP 1: Nei g汕 or 192. 168.1. Z (Ser ia l 0/ 0/ 0 ) is up:l'l仑T/1 adJ缸 El'J.eyRout 过乒how .p r out 已Co rl 色 竺 C - conn 色 ct 色 d, g - 竺 t a.t .c , I - IGRP, R - RIP, !I - mob.l 色 ， B - BGP D - E I GRP, EX - EI GR J xtrna.l, 0 - OSPF, IA - OSPF .nt r a.r 已 a肛 OSPF llSSA e欢 e rn.il t 叩 e 1, N2 - OSPF NSSA ei:tem.il t吓心 2扎 OSPF 钮 t 釭 姐 ，1 t 吓 心 1 , E2 - OSPF 吐 店 心 迳 1 C.吓 心 Z , E - EC:Pi - I 一 IS, Ll - I S- I S l evel 一 1 , L 2 一 IS- IS level-2, i.i - IS-IS inter.irea t - 巳 w di da过 d吐斗l.l t , U - p釭 飞 钰 r :.屯 t i e E 讥归， o - OHP - pem.0d 沁 do 吓 ,l oaded static route必t 的 ay ot l 旺 t re50rt 15 闷 t 琵 t192_168.l_0/30_s :,;ubn et t 述 ， l :,; 池 n 吐 :,;C1 92 _ 1 68 _1 0 _:,; d_r 色 ct l y connE!ct 吐 ， 知 r _ 斗 0/ 0/ 0C1 92. 168.10. 0/ 24 i :; di t 己已t 1y C 0比 ei:七ed, Fa； t Et hernet O / DD192.168. ll. 012 斗 90/2 112416 vis. 192.168. l.Z, 00: 00: 1 B , ： eri s.10 / 0/ 0如 UE er A j!VII二三图 12| 、K o u t e 诅己 回 区 Physical II Config I cu匕 口 上 上 上 土 上 已 v I"IOS Command Line I nterface今DUAL- 5 症 RC辽扭 Cl!: I P- l!I CRP l.: Neighbor l.3Z:. l. 已8 . l. L ( :Ser i al. 0 / 0 / 0 ) is up:new ad:) acencyRouterB ( c on f i g -r ou t e r ) #exit RouterB (con f i g ) #exit廷 YS - .5一CO对 F立 I : Con f i 妇 工已 d f 士0 m 己0 正 Ol. = k ,. 已 om=o l. . Rou 七己王王'#" l 沁 切 工pEO卫七 巳Cod ., :o: C - 仁 0 mm= 七 =,ds 三 七 . 七 工 仁 ， 工 一 工 GR P , R - RI ,PH - 皿 ob i l." , B - BGPD - l! I GP.,Pl!X - I! 工 GP. 卫 e xt er n .l., o - 0 S PF ， 工 ;. - OS PI' 1 nt er areaNl - OSPF NSSil. e xt er n a l type 1, N2 - OSPF NSSA external t 邓 e 2 El - OSPF external type 1, E - OSPF external type 2, E - EGPi - IS-I,S. -L-l - IS-I S-le-.e-l-1-,. L2 - IS-ISl 仑v e l - 2 . ia - IS-IS;inter area"'- candidate def a u l t, U - p 红 u s er static rout e, o - ODR P - i,eriodic do 元 l oaded static routeC三七3 W己y o£ l."云七 工之云0 亡七 :,_ 云 比 0 七 云已 七l， 芒 1 6 8 . l. 0/30 1.ss 心 ne 匕 c e(1， l s 心 n e 匕 三CJ.3 Z: . 1 6 8 . l. 0 1 三 (11r e c1 二 1.y c onn e c 七 e (1， 5 e r 1 a 1.o r o ; oD192.168.10. 0/24 90/21?2416 了 迳 192. 168. l. 1, 00: 00: 10, Serial0/0/0三lv-C1 9 2 . 1 6 8 . 1 1 . 0 / 2 4 is d ir ect l y 已 onn e 己 t e d , Fs.stEthernet0/0 RouterB#c op yP ast e |图 13PC_A 访问 PC_F 以及 192。168.1。2图 1-4192.168。1.0 的网络访问 LAN_BI 勺R out er人： 芦Config I CLII OS Command Line InterfaceARoute r沁·enRouce rA$ping 19 t _1 68 _ l 1 _ 2Type escape s吁Renee to abort.Serul.ing 5, 100一切t e ICMP Echos to 192.168.11. 2, timeout is 2 secon 心：1111Success rs.te is 80 pe rcent ( 4/ 5),round-trip 11i n/a.vgm/ a.x ； ？8/ 82/93 msP.outerA#ping 19 . 168. Ll. lType es('ape se 叩 en('e to abort_Sending 5, 100- byte I 渭 P Echos to 192.168.11.1, timeout is 2 second 女1111Su,CC巳ss rELt1= is 80 p1; rc1=nt (4/ 5), rou让d·t ri p 11.in/avg/max = 78/ 90/ 94 ms P.outerA#ping 19 . 168. ll. 3T开e e5eape 5仑叩 ence ta 昢a rt _注沁ing 5, 100切忱 I喟 P E rh归 t a 192 _1 68 _1 1- 3, t i 值的 ut i; 2 ; 巳 mn归 ：! ! ! ! !uccess rate is 100 percent (5/ 5), round-t ri p 皿i n/ 8 V(J/ Ill8 J = 93/93/94 IllS言了V·RouterM图 1-53) 本次实验 LAN_B 只允许 LAN_A 的访问，拒绝其他网段的数据.Router（config-if）#access-list 1 permit 192。168.10。0 0.0。0.255分析我们应该将此访问列表放置在哪个网络的位置能最好的实现此功能设想一：将定义的 ACL 放置在 RouterA 的 f0/0 接口时，RouterA en RouterA#config tEnter configuration commands, one per line。End with CNTL/Z. RouterA(config）access-list 1 permit 192。168.10。1 0.0.0。255 RouterA（config)#exitRouterA%SYS5-CONFIG_I： Configured from console by console RouterA#config tEnter configuration commands， one per line。End with CNTL/Z。RouterA(config）int f0/0RouterA(config-if)ip accessgroup 1 in RouterA(configif)exit RouterA（config)exit%SYS-5CONFIG_I: Configured from console by console RouterAshow accRouterAshow accesslistsStandard IP access list 1permit 192。168.10.0 0.0.0。255设想二：将定义的 ACL 放置在 RouterA 的 s0/0/0 接口时;RouterA（config）int s0/0/0 RouterA（configif)#ip accessgroup 1 outRouterA(configif)#exit RouterA（config)#exit RouterA#show access-listsStandard IP access list 1permit 192。168。10。0 0.0。0。255设想三：将定义的 ACL 放置在 RouterB 的 s0/0/0 接口时；RouterBconfig tEnter configuration commands, one per line.End with CNTL/Z。RouterB（config)#accRouterB(config）accesslist 1 permit 192.168.10。0 RouterB(config)int s0/0/0RouterB(configif)#ip acc RouterB(configif)#ip accessgroup 1 in RouterB（configif）#exit RouterB(config）#exitSYS-5-CONFIG_I: Configured from console by console RouterBshowDUAL5NBRCHANGE: IP-EIGRP 1： Neighbor 192。168。1.1 (Serial0/0/0） is down： holding time expiredaccRouterB#show access-lists Standard IP access list 1permit host 192.168.10。0%SYS5CONFIG_I： Configured from console by console RouterB#show ip routeCodes: C connected， S static， I IGRP， R RIP, M - mobile, B BGP D - EIGRP， EX EIGRP external, O OSPF， IA - OSPF inter area N1 OSPF NSSA external type 1， N2 - OSPF NSSA external type 2E1 OSPF external type 1, E2 OSPF external type 2， E EGPi - IS-IS， L1 - IS-IS level1， L2 IS-IS level2, ia - IS-IS inter area* - candidate default， U - peruser static route, o ODR P periodic downloaded static routeGateway of last resort is not set192.168。1.0/30 is subnetted， 1 subnetsC192。168.1.0 is directly connected, Serial0/0/0D192。168.10.0/24 90/2172416 via 192.168。1.1， 00:03：12， Serial0/0/0 C192.168。11.0/24 is directly connected, FastEthernet0/0此时显示：%DUAL-5-NBRCHANGE： IP-EIGRP 1: Neighbor 192.168。1.1 （Serial0/0/0） is down: holding time expired再次查看路由表RouterB#show ip routeCodes: C connected, S static, I - IGRP, R - RIP, M - mobile， B BGPD - EIGRP, EX EIGRP external， O OSPF, IA OSPF inter area N1 - OSPF NSSA external type 1， N2 OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, E EGPi - ISIS， L1 - IS-IS level1， L2 - IS-IS level-2, ia ISIS inter area* candidate default， U - per-user static route, o - ODR P periodic downloaded static routeGateway of last resort is not set192.168。1.0/30 is subnetted， 1 subnetsC192.168.1.0 is directly connected， Serial0/0/0C192.168。11.0/24 is directly connected, FastEthernet0/0在 RouterA 上此时显示：DUAL-5NBRCHANGE： IP-EIGRP 1： Neighbor 192.168