基于Cisco的訪問控制列表技術(shù)的網(wǎng)絡(luò)實踐

李蔓菲，周 瑋

（四川工商學(xué)院電子信息工程學(xué)院，四川 成都 611745）

1 方案設(shè)計

1.1 設(shè)計背景

本次設(shè)計的題目就是要構(gòu)建一個小型的校園局域通信網(wǎng)絡(luò)，選取成都市某實驗中學(xué)為例。學(xué)校設(shè)施分為致遠(yuǎn)樓、靜思樓、崇德樓三棟教學(xué)樓，圖書館、學(xué)生食堂、教師食堂、行政樓以及教師公寓、學(xué)生公寓、三個小型實驗樓等主要建筑設(shè)施。因為構(gòu)建的是一個小型的校園局域網(wǎng)，所以在拓?fù)湟?guī)劃中只劃分出了三棟教學(xué)樓，行政樓以及教師公寓、學(xué)生公寓和三個實驗樓。設(shè)計的最終目的就是通過相關(guān)設(shè)備的協(xié)議及技術(shù)配置使該校園網(wǎng)絡(luò)能夠全網(wǎng)互通并且能夠安全訪問。

1.2 確定的方案

經(jīng)過一系列的資料搜集和導(dǎo)師的指導(dǎo)，最終確定的設(shè)計方案是利用思科模擬器來完成小型校園局域網(wǎng)的拓?fù)浣Y(jié)構(gòu)搭建。拓?fù)浣Y(jié)構(gòu)共有1 個公共服務(wù)器、8臺路由器、8 臺三層交換機、10 臺二層交換機及15臺PC 機，劃分9 個部門及8 個子網(wǎng)，并在相關(guān)設(shè)備上運行OSPF、NAT、HSRP 協(xié)議，配置標(biāo)準(zhǔn)ACL 和擴展ACL 限制相關(guān)部門之間的訪問，同時在拓?fù)渲型ㄟ^其中一臺路由器能夠telnet 訪問登錄別的路由器，并做OSPF 認(rèn)證，實現(xiàn)整個網(wǎng)絡(luò)互通和安全訪問，最后進以一步加強網(wǎng)絡(luò)安全。具體搭建的校園網(wǎng)絡(luò)拓?fù)鋱D如圖1 所示：

圖1 拓?fù)湓O(shè)計圖

2 詳細(xì)設(shè)計

2.1 IP 的規(guī)劃和VLAN 的劃分

此部分一共分為了三個模塊，即PC 機的IP 和網(wǎng)關(guān)規(guī)劃、三層交換機以及路由器的相關(guān)VLAN 和IP 規(guī)劃，每個模塊具體闡述如下部分。

整個拓?fù)渲懈鶕?jù)教師公寓、行政樓、學(xué)生公寓、教學(xué)樓（崇德樓、致遠(yuǎn)樓、靜思樓）、實驗樓1、實驗樓2、實驗樓3 部門需要共設(shè)置15 臺PC 機，因為本設(shè)計搭建的是小型的校園局域網(wǎng)絡(luò)，C 類地址適用于校園網(wǎng)和辦公網(wǎng)絡(luò)等小型網(wǎng)絡(luò)，所以在本設(shè)計中使用C 類地址，采用192.168.0.0 網(wǎng)段來劃分它們的IP地址、子網(wǎng)掩碼及默認(rèn)網(wǎng)關(guān)。根據(jù)不同的部門，一共劃分了8 個VLAN，分別對應(yīng)的是教師公寓、行政樓、學(xué)生公寓崇德樓、致遠(yuǎn)樓、靜思樓、實驗樓1、實驗樓2 及實驗樓3。

2.2 基本配置及協(xié)議配置

完成二層交換機、三層交換機以及路由器的相關(guān)配置以后完成相關(guān)協(xié)議及技術(shù)配置。

（1）協(xié)議配置

協(xié)議及技術(shù)配置分為OSPF 協(xié)議和動態(tài)NAT 及HSRP 配置三個部分。配置OSPF 協(xié)議以實現(xiàn)全網(wǎng)互通。使用公有地址池進行動態(tài)轉(zhuǎn)換時，分配這些地址使用的原則是先到先得，當(dāng)私有IP 地址的主機請求訪問外網(wǎng)時，NAT 將從公有地址池中選擇未被占用的IP 地址對其進行一對一的轉(zhuǎn)化。當(dāng)完成數(shù)據(jù)會話后，路由器會將公有IP 地址釋放并使其回到地址池，以提供其他內(nèi)部私有IP 地址的轉(zhuǎn)換。配置HSRP 是為了實現(xiàn)路由備份的目的。

（2）動態(tài)NAT 配置

校園內(nèi)網(wǎng)中有設(shè)備需要去訪問公網(wǎng)，則需要通過NAT 把私網(wǎng)的IP 地址轉(zhuǎn)換成公網(wǎng)的IP 地址，在配置時，使用公有地址池中的地址進行IP 地址轉(zhuǎn)換，以達到訪問公網(wǎng)的目的。在router0 上通過動態(tài)NAT 實現(xiàn)校園內(nèi)網(wǎng)地址轉(zhuǎn)換為公網(wǎng)地址，訪問外網(wǎng)114.114.100.0/24，通過向ISP（Internet 服務(wù)提供商）申請得到地址池，內(nèi)網(wǎng)主機訪問外網(wǎng)，內(nèi)網(wǎng)的私有地址將被動態(tài)的、隨機的轉(zhuǎn)換成合法地址。

（3）HSRP 協(xié)議配置

HSRP 的可靠性較高，在網(wǎng)絡(luò)的一組路由器中，只有一臺活動的用來轉(zhuǎn)發(fā)數(shù)據(jù)包的路由器，如果該路由器出故障了，備份路由器將接管主動路由器的任務(wù)。當(dāng)拓?fù)渲袃膳_路由器中的其中一臺壞掉時，HSRP 可保證順利切換成另一臺備份的路由器，這就解決了當(dāng)主路由器出故障時路由器切換的問題。

2.3 ACL 技術(shù)實現(xiàn)

訪問控制列表(Access Control List,ACL)是路由器與交換機接口的指令列表，其工作在OSI 參考模型三層以上設(shè)備，用來控制端口進出的數(shù)據(jù)包。按照給定的規(guī)則，將數(shù)據(jù)包中的第三、四層中的包頭信息進行分析處理，并判斷是否轉(zhuǎn)發(fā)該數(shù)據(jù)包。ACL 可在路由器上配置，也可在具有ACL 功能的業(yè)務(wù)軟件上配置。

ACL 技術(shù)能保護網(wǎng)絡(luò)中的用戶，使其免遭病毒的干擾，它適用于中小型局域網(wǎng)，配置ACL 后，不僅可以限制網(wǎng)絡(luò)流量，還能允許特定的設(shè)備訪問網(wǎng)絡(luò)，例如，配置ACL 禁止局域網(wǎng)內(nèi)的設(shè)備訪問外部公網(wǎng)。此外，它可以阻止非法用戶的訪問，保護資源節(jié)點，特定的用戶節(jié)點具備的訪問權(quán)限也能被ACL 限制。

（1）ACL 的工作原理

當(dāng)一個數(shù)據(jù)包傳輸?shù)铰酚善鞯慕涌跁r，第一步就是檢查它的訪問控制列表，若執(zhí)行控制列表中有拒絕和允許的操作，路由器將會丟棄被拒絕的數(shù)據(jù)包，然后，被允許的數(shù)據(jù)包進入到路由選擇狀態(tài)，根據(jù)路由表，對進入路由選擇狀態(tài)的數(shù)據(jù)包執(zhí)行路由選擇，如果路由表中沒有到達目標(biāo)網(wǎng)絡(luò)的路由，相應(yīng)的數(shù)據(jù)包就會被路由器丟棄，反之，則數(shù)據(jù)包被送到相應(yīng)的網(wǎng)絡(luò)接口。當(dāng)ACL 處理數(shù)據(jù)包時，如果包中的內(nèi)容與控制列表中某條ACL 語句的內(nèi)容是匹配的，就跳過列表中剩余的語句，以這條匹配的語句內(nèi)容作為依據(jù)，從而決定該數(shù)據(jù)包是被允許還是被拒絕，反之，ACL 列表中的下一條語句就會依次對分組進行測試，該匹配過程會一直持續(xù)到列表末尾的時候。ACL 應(yīng)用在接口上，接下來以ACL 應(yīng)用在入接口上為例進行說明，工作流程如圖2 所示：

圖2 應(yīng)用于入接口的ACL

ACL 規(guī)則在配置時需要遵循的三個基本原則為：第一個是最小特權(quán)原則，它僅向受控對象提供完成任務(wù)所需的最小特權(quán)。第二個最接近控制原理的方法，即使用規(guī)則檢查自身時，如果找到匹配項，則會在ACL 列表中從上到下逐一檢測，找到匹配項后，會立即將其交付，檢測到的ACL 語句將不會再繼續(xù)。第三是基本處置原則。默認(rèn)規(guī)則“全部拒絕”將自動添加到每個訪問控制列表的末尾。換句話說，該數(shù)據(jù)包將被拒絕并被丟棄，因為在執(zhí)行所有ACL 語句后找不到匹配的數(shù)據(jù)包。

（2）ACL 的分類

ACL 有兩類，分別為標(biāo)準(zhǔn)ACL 和擴展ACL。標(biāo)準(zhǔn)ACL 編號范圍為1-99，匹配的是IP 包中的源地址，可以拒絕或允許匹配的包。擴展ACL 的編號范圍為100-199，它有更多的匹配項，如協(xié)議類型、源或目的地址、源端口及目的端口等。

a.標(biāo)準(zhǔn)ACL

標(biāo)準(zhǔn)ACL 可以拒絕或允許來自某一特定網(wǎng)絡(luò)的通信流量。 其格式為：access-list accesslist-number{permit|deny}{source[sourcewildcard]|any}。標(biāo)準(zhǔn)ACL 對整個TCP/IP 協(xié)議生效，使用源IP 地址過濾數(shù)據(jù)包，從而允許或拒絕基于子網(wǎng)或主機的IP 地址的所有通信流量通過路由器的接口。

b.擴展ACL

擴展ACL 在數(shù)據(jù)包的過濾方面靈活性更強，其編號范圍為100-199 或2000-2699，擴展ACL 能提供多種匹配項（源地址及目的地址、源端口及目的端口、協(xié)議類型等），并對它們進行過濾，擴展ACL 可以更精確的過濾流量[10]。擴展ACL 的通用格式：accesslistaccess-listnumber{permit|deny}{protocolprotocol-keyword}{source[source-wildcard]|any}{destination-wildcard|any}[protocol-specific options][log]。

綜上，ACL 是一種語句集合，表示允許或拒絕的規(guī)則，這些語句通過檢查數(shù)據(jù)包地址、端口號等來控制網(wǎng)絡(luò)通信過程中的數(shù)據(jù)流，總之，它能保護網(wǎng)絡(luò)的安全，提高網(wǎng)絡(luò)通信質(zhì)量。

（3）ACL 的作用

ACL的作用有很多，首先，它能限制網(wǎng)絡(luò)中的流量。其次，它能在路由器的端口處決定哪一類或哪幾類的數(shù)據(jù)流量能夠被轉(zhuǎn)發(fā)或被阻塞，同時可以提供手段去控制通信流量。再次，ACL 是提供對網(wǎng)絡(luò)的安全訪問的主要方法。最后，ACL 能提高網(wǎng)絡(luò)性能。

（4）ACL 的應(yīng)用場景

a.登錄控制:就是控制登錄權(quán)限，允許合法用戶登錄并拒絕非法用戶訪問，有效防止未經(jīng)授權(quán)的用戶的非法訪問，以保證網(wǎng)絡(luò)的安全性。

配置ACL 后，telnet 不成功，但仍可使用ping 命令驗證router0 到router2 的互通性，由于只拒絕了telnet協(xié)議而放行了icmp協(xié)議，所以是能夠ping通的。

b.相關(guān)部門訪問權(quán)限配置:ACL 可以通過定義規(guī)則允許或拒絕流量的通過。本設(shè)計中利用標(biāo)準(zhǔn)ACL 用來限制學(xué)生公寓不能訪問教師公寓和行政樓，從而保護了行政樓和教師公寓的信息。標(biāo)準(zhǔn)ACL 在三層交換機2 上配置。

選用擴展ACL 通過限制行政樓的電腦訪問教學(xué)樓的網(wǎng)絡(luò),擴展ACL 用來限制行政樓不能訪問教學(xué)樓，保證該樓電腦無法訪問教學(xué)樓的網(wǎng)，但能訪問內(nèi)網(wǎng)其他的電腦，實現(xiàn)了行政樓電腦對互聯(lián)網(wǎng)的防護。擴展ACL 在三層交換機1 上配置。

ACL 配置完后，行政樓不能訪問教學(xué)樓、學(xué)生公寓不能訪問教師公寓和行政樓的目的即可實現(xiàn)，相關(guān)驗證在測試與驗證部分。

3 測試及驗證

該設(shè)計完成了全網(wǎng)互通以及相關(guān)協(xié)議的配置，接下來，完成測試及驗證。該部分分成三個測試模塊，分別為全網(wǎng)互通測試、內(nèi)外網(wǎng)互通、ACL效果配置驗證。配置好ACL 后，限制訪問的部門之間是不能夠互通的，通過以上驗證，ACL 技術(shù)起到了作用，即設(shè)計目的已經(jīng)實現(xiàn)。