路由与交换技术课程设计报告Word格式文档下载.docx
《路由与交换技术课程设计报告Word格式文档下载.docx》由会员分享，可在线阅读，更多相关《路由与交换技术课程设计报告Word格式文档下载.docx（27页珍藏版）》请在冰豆网上搜索。
访问控制列表的策略性非常强，并且牵涉到网络的整体规划，它的使用对于策略制定及网络规划的人员的技术素质要求比拟高。
因此，是否采用ACL技术及在多大的程度上利用它，是管理效益与网络平安之间的一个权衡。
访问控制列表〔AccessControlList，ACL〕是路由器和交换机接口的指令列表，用来控制端口进出的数据包。
ACL适用于所有的被路由协议，如IP、IPX、AppleTalk等。
这表中包含了匹配关系、条件和查询语句，表只是一个框架构造，其目的是为了对某种访问进展控制。
ACL可以限制网络流量、提高网络性能；
ACL可以提供对通信流量的控制手段；
ACL是提供网络平安访问的根本手段；
ACL可以在路由器端口处决定哪种类型的通信流量被转发或被阻塞。
目前有两种主要的ACL:
标准ACL和扩展ACL。
标准的ACL使用1~99以及1300~1999之间的数字作为表号，扩展的ACL使用100~199以及2000~2699之间的数字作为表号。
标准ACL可以阻止来自某一网络的所有通信流量，或者允许来自某一特定网络的所有通信流量，或者拒绝某一协议簇〔比方IP〕的所有通信流量。
扩展ACL比标准ACL提供了更广泛的控制围。
例如，网络管理员如果希望做到“允许外来的Web通信流量通过，拒绝外来的FTP和Telnet等通信流量〞，那么，他可以使用扩展ACL来到达目的，标准ACL不能控制这么准确。
路由器工作在网络层，是信息出入的必经之路，能有效的防止外部用户对局域网的平安访问。
同时可以限制网络流量，也可以限制局域网的用户或设备使
用网络资源。
因此，网络路由过滤对网络的平安具有举足轻重的作用。
目前大局部的路由器都是通过访问控制列表技术来允许或拒绝报文通过。
当路由器的访问控制列表的平安特性被充分利用时，路由器将变成一个有效的、稳
定的、平安的、巩固的防御体系，既能抵御外部的攻击，又能限制部用户对外部的非法访问，在很大程度上提高了网络的平安性。
因此，可以说访问控制列表是网络防御外来攻击的第一道关卡。
本文以某企业真实拓扑图为例，讨论如何利用路由器的访问控制列表技术提高网络的平安性。
2访问控制列表（ACL）
访问控制列表是应用在路由器接口的指令列表，这些指令列表用来告诉路由器哪些数据包可以接收，哪些数据包需要拒绝。
至于数据包是被接收还是被拒绝，可以由类似于源地址、目的地址、端VI号、协议等特定指示条件来决定。
通过灵活地增加访问控制列表，ACL可以当作一种网络控制的有力工具，用来过滤流入和流出路由器接口的数据包。
选题的意义：
本次实验主要通过理解上述ACL的意义及功能，通过自己配置ACL来实现对任意网段的数据的阻塞和对任意网段的ping效劳进展阻塞，以到达学会ACL根本配置，理解ACL的功能及实现为目的。
访问控制列表的作用：
各种数据在其上快速通过，今天的网络就好比一条复杂的高速公路，各种数据在其上快速通过，为了正确的规划流量，保证网络的畅通，平安。
为了正确的规划流量，保证网络的畅通，平安。
我们就要设一些禁行标志、规定单行线等等，标志、规定单行线等等，这就是网络上的ACL其实在网络上有很多种方法可以实现以上的作用，其实在网络上有很多种方法可以实现以上的作用，但是最简单易行的还是访问控制列表。
还是访问控制列表。
访问控制列表：
就是用来在使用路由技术的网络里，识别和过滤那些由某些网络发出的或者被发送出去到某些网络的符合我们所规定条件的数据流量，符合我们所规定条件的数据流量，以决定这些数据流量是应该转发还是应该丢弃的技术。
该转发还是应该丢弃的技术。
由于以上的定义我们可以看出，在路由器上实现ACL就是一种实现防火墙的手段。
ACL的应用放置在路由器的接口上，预先把建好的ACL放置在路由器的接口上，对接口上进方向或者出方向的数据包进展过滤，但是访问控制列表只能过滤经过路者出方向的数据包进展过滤，路由器的数据包，路由器的数据包，不能过滤其本身产生的数据包。
不能过滤其本身产生的数据包。
二、主要研究容
本次实验设计在ciscopackettracer这款虚拟配置电脑平台的软件上操作的。
要求用1841路由器，2950-24交换机，以及6台PC机，连接3个网络192.168.10.0/24，192.168.1.0/30，192.168.11.0/24;
本次实验LAN_B只允许LAN_A的访问，拒绝其他网段的数据。
ACL的配置可分为两个步骤：
（1）在全局配置模式下，使用以下命令创立ACL
Router（config）#access-listaccess-list-number{permit/deny}{test-conditions}
其中access-list-number为ACL的序列号。
人们使用较频繁的序列号是标准的IPACL（1-99）和扩展的IPACL（100-199）.
注意，在路由器中，如果使用ACL的序列号进展配置，那么列表不能插入或删除行〔动态编辑〕。
如果列表要插入或删除一行，必须先去掉ACL，然后重新配置。
（2）在接口模式下，使用access-group命令将第一步中创立的ACL应用到某一接口上。
（3）Router（config-if）#ipaccess-groupaccess-list-number{in/out}
其中，in和out参数可以控制接口中不同方向的数据包，ACL在一个接口可以进展双向控制即配置两条命令，一条in，一条out，但是在一个接口的一个方向上，只能有一个ACL控制。
注意，把定义好的ACL应用在网络的什么地方，是能否实现原有的目的和有效地减少不必要的通信流量的关键。
通常情况下标准的ACL要尽量靠近目的端；
扩展的ACL要尽量靠近源端。
当然这不是绝对的，具体放在哪个位置，要根据具体的情况分析。
三、方案设计〔小四号黑体，段前3磅，段后1磅，行间距20磅〕
1）某企业真实拓扑图
如下：
图1-1
2）IP地址规划：
网络
PC机或端口
IP地址
子网掩码
1
PC_A
192.168.10.1/24
255.255.255.0
PC_B
192.168.10.2/24
PC_E
192.168.10.3/24
2
S0/0/0（Router0）
192.168.1.1/30
255.255.255.252
S0/0/0（Router1）
192.168.1.2/30
3
PC_C
192.168.11.1/24
PC_D
192.168.11.2/24
PC_F
192.168.11.3/24
表1-1
3）关键技术及实现原理
ACL信息点间通信和外网络的通信都是企业网络中必不可少的业务需求，但是为了保证网的平安性，需要通过平安策略来保障非授权用户只能访问特定的网络资源，从而到达对访问进展控制的目的。
简而言之，ACL〔访问控制列表〕可以过滤网络中的流量，控制访问的一种网络技术手段。
实际上，ACL的本质就是用于描述一个IP数据包、以太网数据帧假设干特征的集合。
然后根据这些集合去匹配网络中的流量〔由大量数据包组成〕，同时根据策略来“允许〞或者“制止〞。
作用：
①ACL可以限制网络流量、提高网络性能。
②ACL提供对通信流量的控制手段。
③ACL是提供网络平安访问的根本手段。
④ACL可以在路由器端口处决定哪种类型的通信流量被转发或被阻塞。
ACL的分类〔基于IP〕
①标准ACL标准型ACL只能匹配源IP地址，在应用中有三种匹配的方式：
1、any，指任意地址
2、<
net>
<
mask>
，指定某个IP网段
3、src_range，指定IP的地址围配置命令：
ipaccess-liststandard<
name>
//标准ACL，name为名字{permit|deny}any{permit|deny}<
network>
<
net-mask>
{permit|deny}src_range<
start-ip>
end-ip>
②扩展型ACL扩展型ACL可匹配多个条目，常用的工程有源、目的IP，源、目的端口号，以及ip协议号〔种类〕等，可以用来满足绝大多数的应用。
在一个条件中，这些工程的前后顺序如下：
协议号，源ip地址，源端口号，目的ip地址，目的端口号。
配置命令：
ipaccess-listextended<
{permit|deny}{ip|icmp|tcp|udp}{any|network|src_range}[src_port]{any|network|src_range}[dst_port]
2）Eigrp
EIGRP:
EnhancedInteriorGatewayRoutingProtocol即增强部网关路由线路协议。
也翻译为加强型部网关路由协议。
EIGRP是Cisco公司的私有协议。
Cisco公司是该协议的创造者和唯一具备该协议解释和修改权的厂商。
EIGRP结合了链路状态和距离矢量型路由选择协议的Cisco专用协议，采用弥散修正算法〔DUAL〕来实现快速收敛，可以不发送定期的路由更新信息以减少带宽的占用，支持Appletalk、IP、Novell和NetWare等多种网络层协议。
是Cisco的私有路由协议，它综合了距离矢量和链路状态2者的优点，它的特点包括：
1.快速收敛
链路状态包〔Link-StatePacket,LSP〕的转发是不依靠路由计算的，所以大型网络可以较为快速的进展收敛.它只宣告链路和链路状态，而不宣告路由，所以即使链路发生了变化，不会引起该链路的路由被宣告.但是链路状态路由协议使用的是Dijkstra算法，该算法比拟复杂，并且和其他路由协议单独计算路由相比拟占CPU和存资源，EIGRP采用弥散更新算法〔diffusingputations〕，通过多个路由器并行的进展路由计算，这样就可以在无环路产生的情况下快速的收敛.
2.减少带宽占用
EIGRP不作周期性的更新，它只在路由的路径和速度发生变化以后做局部更新.当路径信息改变以后，DUAL只发送那条路由信息改变了的更新，而不是发送整个路由表.和更新传输到一个区域的所有路由器上的链路状态路由协议相比，DUAL只发送更新给需要该更新信息的路由器。
在WAN低速链路上，EIGRP可能会占用大量带宽，默认只占用链路带宽50%，之后发布的IOS允许使用命令ipbandwidth-percenteigrp来修改这一默认值.
3.支持多种网络层协议
EIGRP通过使用“协议相关模块〞〔即protocol-dependentmodule<
PDM>
）,可以支持IPX,ApplleTalk,IP,IPv6和NovellNetware等协议.
4.无缝连接数据链路层协议和拓扑构造
EIGRP不要求对OSI参考模型的层2协议做特别的配置.不像OSPF,OSPF对不同的层2协议要做不同配置，比方以太网和帧中继,EIGRP能够有效的工作在LAN和WAN中，而且EIGRP保证网络及不会产生环路〔loop-free〕；
而且配置起来很简单；
支持VLSM；
它使用组播和单播，不使用播送，这样做节约了带宽；
它使用和IGRP一样的度的算法，但是是32位长的；
它可以做非等价的路径的负载平衡.
四、主要设备命令配置
1〕.配置使得各PC机之间可以相互通信
routerA配置文档：
Router>
enable
Router#configureterminal
Enterconfigurationmands,oneperline.EndwithTL/Z.
Router（config）#hostnameRouterA
RouterA（config）#ints0/0/0
RouterA（config-if）#ipaddress192.168.1.1255.255.255.252
RouterA（config-if）#clockrate64000
RouterA（config-if）#noshutdown
RouterA（config-if）#exit
RouterA（config）#intf0/0
RouterA（config-if）#ipaddress192.168.10.254255.255.255.0
RouterA#configt
RouterA（config）#routereigrp1
RouterA（config-router）#network192.168.1.0
RouterA（config-router）#network192.168.10.0
RouterA（config-router）#noauto
RouterA（config-router）#noauto-summary
RouterA（config-router）#exit
routerB的配置文档：
Router（config）#hostnameRouterB
RouterB（config）#ints0/0/0
RouterB（config-if）#ipaddress192.168.1.2255.255.255.252
RouterB（config-if）#noshutdown
%LINK-5-CHANGED:
InterfaceSerial0/0/0,changedstatetoup
RouterB（config-if）#
%LINEPROTO-5-UPDOWN:
LineprotocolonInterfaceSerial0/0/0,changedstatetoup
RouterB（config-if）#exit
RouterB（config）#intf0/0
RouterB（config-if）#ipaddress192.168.11.254255.255.255.0
RouterB#configt
RouterB（config-router）#network192.168.1.0
RouterB（config-router）#
%DUAL-5-NBRCHANGE:
IP-EIGRP1:
Neighbor192.168.1.1（Serial0/0/0）isup:
newadjacency
RouterB（config-router）#network192.168.11.0
RouterB（config-router）#noauto
RouterB（config-router）#noauto-summary
RouterB（config-router）#exit
RouterB（config）#exit
先查看RouterA和RouterB上的路由表：
图1-2
图1-3
PC_A访问PC_F以及192.168.1.2
图1-4
192.168.1.0的网络访问LAN_B
图1-5
3）本次实验LAN_B只允许LAN_A的访问，拒绝其他网段的数据。
Router〔config-if〕#access-list1permit192.168.10.00.0.0.255
分析我们应该将此访问列表放置在哪个网络的位置能最好的实现此功能
设想一：
将定义的ACL放置在RouterA的f0/0接口时，
RouterA>
en
RouterA（config）#access-list1permit192.168.10.10.0.0.255
RouterA（config）#exit
RouterA#
%SYS-5-CONFIG_I:
Configuredfromconsolebyconsole
RouterA（config-if）#ipaccess-group1in
RouterA#showacc
RouterA#showaccess-lists
StandardIPaccesslist1
permit192.168.10.00.0.0.255
设想二：
将定义的ACL放置在RouterA的s0/0/0接口时；
RouterA（config-if）#ipaccess-group1out
设想三：
将定义的ACL放置在RouterB的s0/0/0接口时；
RouterB（config）#acc
RouterB（config）#access-list1permit192.168.10.0
RouterB（config-if）#ipacc
RouterB（config-if）#ipaccess-group1in
RouterB#show
Neighbor192.168.1.1（Serial0/0/0）isdown:
holdingtimeexpired
acc
RouterB#showaccess-lists
permithost192.168.10.0
RouterB#showiproute
Codes:
C-connected,S-static,I-IGRP,R-RIP,M-mobile,B-BGP
D-EIGRP,EX-EIGRPexternal,O-OSPF,IA-OSPFinterarea
N1-OSPFNSSAexternaltype1,N2-OSPFNSSAexternaltype2
E1-OSPFexternaltype1,E2-OSPFexternaltype2,E-EGP
i-IS-IS,L1-IS-ISlevel-1,L2-IS-ISlevel-2,ia-IS-ISinterarea
*-candidatedefault,U-per-userstaticroute,o-ODR
P-periodicdownloadedstaticroute
Gatewayoflastresortisnotset
192.168.1.0/30issubn
升级会员 