【正文】 sport 100 anydestination dport 40000 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) 舉例：拒絕任意源 MAC 地址及目的 MAC 地址，任意源 IP 地址及目的 IP 地址，且源端口是 100，目的端口是 40000 的 UDP 報(bào)文通過。 Switch(Config) accesslist 3100 deny anysourcemac anydestinationmac udp anysource sport 100 anydestination dport 40000 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) 例 10號(hào)端口連接的網(wǎng)段 MAC地址是 00111111xxxx 并且 IP地址是 ，管理員不希望使用 FTP，也不允許外網(wǎng) PING 此網(wǎng)段的任何一臺(tái)主機(jī)。 配置如下： switch(Config)accesslist 3110 deny 001111110000 00000000ffff anydestinationmac tcp anydestination dport 21 switch(Config)accesslist 3120 deny anysourcemac 001111110000 00000000ffff icmp anysource switch(Config)firewall enable switch(Config)firewall default permit switch(Config)interface ether 0/0/10 switch(ConfigEther0/0/10)macip accessgroup 3110 in switch(ConfigEther0/0/10)macip accessgroup 3120 out 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) 配置命名擴(kuò)展 MACIP訪問列表的步驟 創(chuàng)建一個(gè)命名擴(kuò)展 MACIP 訪問列表 指定多條 permit 或 deny 規(guī)則 開啟交換機(jī)的包過濾功能，并設(shè)置其默認(rèn)動(dòng)作 將訪問列表應(yīng)用到指定端口 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) 創(chuàng)建一個(gè)命名擴(kuò)展 IP 訪問列表 命令： Macipaccesslist extended name 說明： name為訪問列表的名字，字符串長度為 1—16個(gè)字符，第一個(gè)字符不能為數(shù)字。 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) 第七次實(shí)驗(yàn) ACL配置（三） 實(shí)驗(yàn)?zāi)康? 1. 理解交換機(jī)的 MAC ACL和 MACIP ACL的作用 2. 掌握交換機(jī)的 MAC ACL和 MACIP ACL的配置方法 實(shí)驗(yàn)內(nèi)容 在一臺(tái) DCS5526交換機(jī)上面劃分了三個(gè) VLAN： ? Eth0/0/1—VLAN10（接 Inter） ? Eth0/0/2—VLAN20（ Server） ? Eth0/0/3—DCS3926， 3926上的端口全部劃入 VLAN30 現(xiàn)在要在非工作時(shí)間， VLAN30中的 PC不能接入 Inter，請(qǐng)給出其 ACL配置。 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) 步驟 1. 建立時(shí)間范圍 2. 建立 ACL 3. 啟用防火墻功能 4. 應(yīng)用于接口 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) 第八次實(shí)驗(yàn) ACL配置（四） 實(shí)驗(yàn)?zāi)康? 掌握交換機(jī)上 ACL的配置 網(wǎng)絡(luò)拓?fù)鋱D如下 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) 實(shí)驗(yàn)內(nèi)容 公司企業(yè)網(wǎng)通過 Switch實(shí)現(xiàn)各部門之間的互連。管理部門由 E0/0/4端口接入，技術(shù)支援部門由 E0/0/3端口接入，研發(fā)部門由 E0/0/1端口接入。工資查詢服務(wù)器子網(wǎng)地址 ， MAC為 00e0fc010303，技術(shù)支援部門 IP為 ，研發(fā)部門主機(jī) MAC為 00e0fc010101。 組網(wǎng)需求： 1．要求正確配置 ACL，限制研發(fā)部門在上班時(shí)間 8:00至 18:00訪問工資查詢服務(wù)器。 2．通過基本訪問控制列表，實(shí)現(xiàn)在每天 8:00～ 18:00時(shí)間段內(nèi)對(duì)源 IP為 。 3．通過二層訪問控制列表，實(shí)現(xiàn)在每天 8:00～ 18:00時(shí)間段內(nèi)對(duì)源MAC為 00e0fc010101目的 MAC為 00e0fc010303報(bào)文的過濾。 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) ACL配置技術(shù) 某電子商務(wù)公司為適應(yīng)市場的發(fā)展組建了一個(gè)企業(yè)網(wǎng)，其網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如下圖所示。 該網(wǎng)絡(luò)邏輯結(jié)構(gòu)上分成核心層和接入層，核心層使用了一臺(tái)三層交換機(jī)。網(wǎng)管員按照各部門的職能將公司內(nèi)部網(wǎng)絡(luò)分成了 8個(gè) VLAN，分別是公司網(wǎng)絡(luò)設(shè)備及網(wǎng)管機(jī) VLAN1（ ）、內(nèi)網(wǎng)服務(wù)器 VLAN2（ ）、非軍事區(qū) DMZ VLAN3（ ）、財(cái)務(wù)部VLAN4（ ）、市場部 VLAN5（ ）、研發(fā)部VLAN6（ ）、接待室 VLAN（ ）。每個(gè)網(wǎng)段的缺省網(wǎng)關(guān)地址由從高位向下分配，其他節(jié)點(diǎn)地址均從低位向上分配；例如，接待室 VLAN中每一臺(tái)客戶機(jī)的網(wǎng)關(guān)地址為 ，客戶機(jī) 1的 IP地址為 ，客戶機(jī) 2的 IP地址為 。 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) 【 問題 1】 （ 2分） 通常路由器都支持兩種類型的訪問控制列表：基本訪問控制列表和擴(kuò)展訪問控制列表。請(qǐng)用 120字以內(nèi)的文字說明這兩種訪問列表之間的區(qū)別。 【 問題 2】 （ 2分） 該商務(wù)公司有多臺(tái)游戲服務(wù)器用于提供各種在線游戲，保護(hù)這些服務(wù)器內(nèi)部數(shù)據(jù)的安全性是公司網(wǎng)管員第一工作要責(zé)。該公司還有一臺(tái)專門為用戶提供在線購買游戲幣服務(wù)的 Web服務(wù)器（以下簡稱為游戲幣 Web服務(wù)器），用戶可使用游戲幣購買各種游戲裝備。從訪問控制列表技術(shù)角度考慮，應(yīng)將這些游戲服務(wù)器和游戲幣 Web服務(wù)器部署在網(wǎng)絡(luò)拓?fù)涞哪男┪恢?? 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) 【 問題 3】 （ 2分） 訪問控制表是實(shí)現(xiàn)安全管理的重要手段。如果在三層交換機(jī)的 1接口上進(jìn)行如下 ACL配置，那么這些配置語句將完成哪些安全任務(wù)？ accesslist 11 permit hostsource accesslist 11 deny any int VLAN 1 ip accessgroup 11 out 【 問題 4】 （ 2分） 請(qǐng)將以下訪問規(guī)則控制列表中（ 1）、（ 2）空缺處填寫完整，以完成不允許市場部所有主機(jī)訪問外部 IP地址段為。 accesslist 102 （ 1） tcp （ 2） eq 80 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) 【 問題 5】 （ 3分） 在三層交換機(jī)的內(nèi)網(wǎng)服務(wù)器 VLAN2接口上，要求完成以下安全規(guī)則：允許公司研發(fā)部全體員工通過 FTP方式訪問放置資源代碼的服務(wù)器（ IP地址為 ），而其他內(nèi)部員工及外網(wǎng)所有主機(jī)均不能以 FTP方式訪問該服務(wù)器。 請(qǐng)寫出相應(yīng)的訪問控制列表的命令行。 【 問題 6】 （ 4分） 在 IP訪問控制列表的語法中，關(guān)鍵字 option有一個(gè)常用的 “ log”選項(xiàng)，主要用于對(duì)那些能夠匹配訪問表中的 permit和 deny語句的報(bào)文進(jìn)行日志記錄；另一個(gè)常用的選項(xiàng)是 “ established”，只對(duì) TCP協(xié)議有效且只在一個(gè)方向上來響應(yīng)由另一端發(fā)起的會(huì)話。要在三層交換機(jī)上實(shí)現(xiàn)內(nèi)網(wǎng)服務(wù)器免受來自市場部網(wǎng)段病毒攻擊的任務(wù)，結(jié)合 option選項(xiàng)，寫出相應(yīng)的訪問控制列表 ACL命令行。 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) NAT配置技術(shù) 網(wǎng)絡(luò)地址轉(zhuǎn)換 NAT技術(shù)可用來緩解 IP地址短缺問題和實(shí)現(xiàn)TCP負(fù)載均衡功能。 IP偽裝技術(shù)是 NAT的一種實(shí)現(xiàn)技術(shù)，它通過使用邊界路由器的 IP地址可以把子網(wǎng)中所有主機(jī)的IP地址隱藏起來，因此它即可以作為一種安全手段使用，借以限制外部對(duì)內(nèi)部主機(jī)的訪問；還可以用來實(shí)現(xiàn)虛擬主機(jī)和虛擬路由，以便達(dá)到負(fù)載均衡和提高可靠性的目的。 在下圖的網(wǎng)絡(luò)設(shè)計(jì)方案中，在邊界路由器 Router上進(jìn)行了TCP負(fù)載均衡技術(shù)的配置，其部分網(wǎng)絡(luò)地址映射 NAT表見下表。 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) 【 問題 1】 （ 5分） 閱讀圖中給出的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖，結(jié)合邊界路由器 Router的 NAT表，將以下關(guān)于主機(jī) B向內(nèi)部網(wǎng)絡(luò)發(fā)出請(qǐng)求時(shí)，邊界路由器 Router實(shí)現(xiàn)TCP負(fù)載均衡的通信過程填寫完整（以 NAT表中第 1行為例）。 ① 外部主機(jī) B（ ）發(fā)出請(qǐng)求，建立主機(jī) B到（ 1）的連接。 ② 當(dāng)邊界路由器 Router接到這個(gè)連接請(qǐng)求后，查詢本機(jī)中的（ 2），建立一個(gè)新的地址轉(zhuǎn)換映射。如：為虛擬主機(jī)（ ）分配一個(gè)真實(shí)主機(jī)的 IP地址 。 ③ 邊界路由器用所選真實(shí)地址替換目的地址，轉(zhuǎn)發(fā)這個(gè)修改后的 IP數(shù)據(jù)包。（ 3）接收到該數(shù)據(jù)包，并作出應(yīng)答。 ④ 邊界路由器接到應(yīng)答包后，根據(jù)（ 4）和（ 5），從 NAT映射表中查找對(duì)應(yīng)的內(nèi)部虛擬主機(jī)地址及端口號(hào)。 ⑤ 邊界路由器將 IP應(yīng)答數(shù)據(jù)包中源地址轉(zhuǎn)換為虛擬主機(jī)地址，并轉(zhuǎn)發(fā)這個(gè)修改后的 IP應(yīng)答包；主機(jī) B接收到源地址為 IP應(yīng)答包。 ⑥ 當(dāng)主機(jī) C發(fā)出下一個(gè)請(qǐng)求時(shí)，邊界路由器可能為其分配下一個(gè)內(nèi)部局部地址，如 。 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) 【 問題 2】 （ 6分） 以下是圖 35中邊界路由器 Router的部分配置信息，請(qǐng)?jiān)冢?6）～（ 11）空缺處填寫上合適的命令或參數(shù)，以實(shí)現(xiàn) TCP負(fù)載均衡的配置任務(wù)。 router（ config） ip nat pool internal （ 6） （實(shí)現(xiàn) TCP負(fù)載平衡） router（ config） （ 7） destination list 2 pool internal （將虛擬主機(jī)地址轉(zhuǎn)換成由映射表中定義的內(nèi)部地址） router（ config） （ 8） router（ config） interface serial 0 router（ configif） ip address router（ configif） （ 9） router（ configif） no shutdown router（ configif） （ 10） router（ configif） ip address router（ configif） （ 11） router（ configif） no shutdown 企業(yè)網(wǎng)綜合實(shí)戰(zhàn) 【 問題 3】 （ 2分） 請(qǐng)指出在網(wǎng)絡(luò)中使用 NAT的 TCP負(fù)載均衡技術(shù)將帶來哪些缺點(diǎn)？ 【 問題 4】 （ 2分） 如果 Intra網(wǎng)使用 IPSec技術(shù)進(jìn)行通信加密，那么如何部署該網(wǎng)絡(luò)中的 NAT設(shè)備？