網(wǎng)絡(luò)互聯(lián)技術(shù)第07章訪問控制列表(已修改)
2025-05-12 06:26 本頁面
【正文】 主講教師：趙懷明 江西工業(yè)職業(yè)技術(shù)學(xué)院 第七章 訪問控制列表 （理論課時長： 6節(jié)） ? 【 教學(xué)目的 】 ：通過本章的學(xué)習(xí)，讓學(xué)生知道訪問控制列表的功能和實現(xiàn)機制、訪問控制列表的分類、命名訪問控制列表的配置和應(yīng)用、基于時間的訪問控制列表的使用；掌握訪問控制列表的定義和應(yīng)用、標準訪問控制列表的配置、擴展訪問控制列表的配置、訪問控制列表的工作過程。能為簡單的網(wǎng)絡(luò)根據(jù)用戶的要求設(shè)置訪問控制列表來實現(xiàn)公司網(wǎng)絡(luò)的內(nèi)部管理、流量控制和安全控制。 ? 【 重點難點 】 – 重點：標準訪問控制列表的配置和應(yīng)用；擴展訪問控制列表的配置和應(yīng)用。 – 難點：基于時間的訪問控制列表的理解和配置 第七章：訪問控制列表 ? 【 教學(xué)內(nèi)容 】 – 訪問控制列表定義 – 訪問控制列表功能 – 訪問控制列表實現(xiàn)機制 – 訪問控制列表的工作過程分析 – 訪問控制列表的分類 – 標準訪問控制列表的配置和應(yīng)用 – 擴展訪問控制列表的配置和應(yīng)用 – 命名訪問控制列表的配置和應(yīng)用 – 基于時間的訪問控制列瑤的配置和應(yīng)用 第七章：訪問控制列表 ? 【 教學(xué)方法 】 – 教學(xué)方式：多媒體教學(xué) – 教學(xué)方法：案例分析 +視頻教學(xué) ? 通過對比分析讓學(xué)生徹底掌握標準訪問控制列表和擴展訪問控制列表的區(qū)別。 ? 利用視頻教學(xué)資料，使學(xué)生在任何時間和地點能重溫教學(xué)內(nèi)容，盡一步掌握標準（擴展）訪問控制列表的配置和實際應(yīng)用。 ? 通過上機實驗讓學(xué)生在 boson模擬器的支持下完成標準訪問控制列表和擴展訪問控制列表的配置和應(yīng)用。 第七章：訪問控制列表 第一部分：訪問控制列表概述 一、數(shù)據(jù)包過濾技術(shù) 數(shù)據(jù)包過濾是指路由器對需要轉(zhuǎn)發(fā)的數(shù)據(jù)包，先獲取報頭信息，然后將其和設(shè)定的規(guī)則進行比較，根據(jù)比較的結(jié)果對數(shù)據(jù)包進行轉(zhuǎn)發(fā)或丟棄。實現(xiàn)包過濾的核心技術(shù)是訪問控制列表 (Access Control List,簡稱 ACL)。 Inter 內(nèi)部網(wǎng)絡(luò) 外部網(wǎng)絡(luò) 第一部分：訪問控制列表概述 二、訪問控制列表的定義 訪問控制列表（ Access Control List， ACL）是 用于控制和過濾通過路由器的不同接口去往不同方向的信息流的一種機制 ，這種機制允許用戶使用訪問控制列表來管理信息流，以制作公司內(nèi)部網(wǎng)絡(luò)的相關(guān)策略。 ACL根據(jù)指定的條件來檢測通過路由器的每個數(shù)據(jù)包，從而決定是轉(zhuǎn)發(fā)還是丟棄該數(shù)據(jù)包。 ACL中的條件，既可以是數(shù)據(jù)包的源地址，也可以是目的地址，還可以是上層協(xié)議或其他因素。 通過靈活地增加訪問控制列表 ,可以把 ACL當作一種網(wǎng)絡(luò)控制的有利工具 ,用來過濾流入、流出路由器接口的數(shù)據(jù)包。 第一部分：訪問控制列表概述 三、訪問控制列表的實現(xiàn)機制 （ 1）首先根據(jù)用戶需求定義一組用于控制和過濾數(shù)據(jù)包的訪問控制列表。 （ 2）然后再 將其應(yīng)用在路由器的不同接口的不同方向上。 （ 3）如果指定接口（該接口已應(yīng)用指定的訪問控制列表）指定方向（該方向上已應(yīng)用指定的訪問控制列表）上有數(shù)據(jù)包通過時，路由器將根據(jù)設(shè)定的訪問控制列表的規(guī)則（逐條進行匹配，如果規(guī)則中上一條語句匹配，則下面所有的語句將被忽略）對數(shù)據(jù)包進行過濾，從而確定哪些數(shù)據(jù)包可以接收，哪些數(shù)據(jù)包需要拒絕。 第一部分：訪問控制列表概述 四、訪問控制列表的功能 （ 1）、數(shù)據(jù)包過濾 （ 2）、限制網(wǎng)絡(luò)流量 （ 3）、提高網(wǎng)絡(luò)性能 （ 4）、提高網(wǎng)絡(luò)安全 由于 ACL訪問控制列表是使用包過濾技術(shù)來實現(xiàn)的，過濾的依據(jù)又僅僅只是第三層和第四層包頭中的部分信息，這種技術(shù)具有一些固有的局限性，如無法識別到具體的人，無法識別到應(yīng)用內(nèi)部的權(quán)限級別等。因此，要達到端到端的權(quán)限控制目的，需要和系統(tǒng)級及應(yīng)用級的訪問權(quán)限控制結(jié)合使用。 第一部分：訪問控制列表概述 五、訪問控制列表的分類： 主要分為 標準訪問控制列表 和 擴展訪問控制列表 。 第一部分：訪問控制列表概述 六、訪問控制列表工作過程分析 第二部分：標準訪問控制列表 一、定義標準 IP訪問控制列表 （ 1）語法： Router(config) accesslist [list number][permit|deny][host/any][source][sourcewildcardmask][Log] （ 2）功能：只能根據(jù)數(shù)據(jù)幀的源地址進行過濾，而不能根據(jù)數(shù)據(jù)幀的目的地址進行數(shù)據(jù)過濾；只能拒絕或允許整個協(xié)議族的數(shù)據(jù)包，而不能根據(jù)具體的協(xié)議對數(shù)據(jù)包進行過濾。 （ 3）位置：由于不能根據(jù)數(shù)據(jù)幀的目標地址進行過濾，而只能根據(jù)數(shù)據(jù)幀的源地址進行過濾，因此最好將標準訪問控制列表放置離目標主機（或目標網(wǎng)絡(luò)）最近的位置。 第二部分：標準訪問控制列表 （ 4）參數(shù)說明： ?定義訪問控制列表必須在路由器的全局配置模式下進行 ?list number：訪問控制列表號的范圍，標準 IP訪問控制列表的列表號標識是從 1 到 99 。 ?permit/deny ：關(guān)鍵字 permit 和 deny 用來表示滿足訪問列表項的報文是允許通過接口，還是要過濾掉。 ?permit 表示允許 “ 滿足訪問列表
物理相關(guān)推薦
鄂ICP備17016276號-1