计算机网络技术基础及应用王爱民郑霞主编11课件教学.pptVIP

第11章 网络可靠性与安全性配置和应用 本章导读 本章在第8、9章交换机和路由器配置的基础上，阐述了网络可靠性与安全性配置和应用。在讲述相关技术的同时，提供了详尽的操作实例，主要包括IP访问控制列表、网络地址转换、接口备份和VRRP配置。 本章要点 ACL访问列表配置 接口备份配置 VRRP配置 11.1 访问列表ACL配置 访问控制列表（Access Control Lists）也称为访问列表（Access Lists），俗称防火墙，有的文档中还称之为包过滤，是通过定义一些准则对经过路由器接口上的数据报文进行控制：允许通过或丢弃，从而提高网络的可管理性和安全性。 访问列表一般配置在内部网和外部网之间的路由器或网络两个部分交界的路由器。 11.1 访问列表ACL配置 基本访问列表包括标准访问列表和扩展访问列表，访问列表中定义的典型准则主要有源地址、目标地址、上层协议和时间区。 标准IP访问列表（编号范围：1～99，1300～1999）主要是根据源地址来进行转发或阻断分组的。扩展IP访问列表（编号范围：100～199，2000～2699）使用以上4种组合来进行转发或阻断分组的。其他类型的访问列表根据相关代码来转发或阻断分组。 11.1 访问列表ACL配置 基本访问列表的配置包括两步：①定义基本访问列表；②将基本访问列表应用于特定接口。 配置命令：access-list 命令格式：access-list access-list-number { deny | permit } protocol source source-wildcard destination destination-wildcard [ precedence precedence ] [ tos tos ] [time-range time-range-name] 命令功能：创建访问列表。 参数说明：access-list-number为访问列表编号，十进制，可用范围为1～99，100～199，1300～1999，2000～2699；deny表示如果匹配则拒绝访问；permit表示如果匹配则允许访问；protocol为IP协议编号，可以是ICMP、IP、TCP、UDP中的一个，也可以是代表IP协议的0～255编号；source为报文源地址；source-wildcard为源地址通配符；destination为报文目标地址；destination-wildcard为目标源地址通配符；precedence为报文的优先级别；precedence为报文的优先级别值（0～7）；tos为报文的服务类型；tos为报文的服务类型值（0～15）；time-range为报文过滤的时间区；time-range-name为报文过滤的时间区名称。 11.1.1 标准访问列表配置 【例11-1】在图11-1中，通过配置标准ACL实现以下功能：网段的主机可以与网段的主机通信，网段的主机不可以与网段的主机通信。 11.1.2 基于时间的扩展访问列表配置 【例11-2】在一个扩展访问列表的基础上再加上时间控制，编号要在100～199之间。本例实现的功能是：PCA周一到周五工作时间8点到19点不能访问Server的Web服务，其他时间可以进行对任何服务器的任何访问。 11.1.3 专家级访问列表配置 【例11-3】专家级访问控制列表可以对MAC地址、IP地址、VLAN号、传输号、协议类型、时间ACL等元素进行灵活组合定义规则，从而更加灵活地控制网络的流量，保证网络的安全运行。编号范围为2700～2899。本例在交换机上配置专家级访问列表实现的流量控制，实现的功能为：PCC能访问PCB但不能访问PCA，PCB能访问PCA。当然专家级访问列表也可以在路由器上进行配置。 11.2 NAT和NAPT配置 NAT（网络地址转换）是指将网络地址从一个地址空间转换为另一个地址空间的行为。 NAT使得一个组织的IP网络呈现给外部网络的IP地址可以与正在使用的IP地址空间完全不同，这样一个组织就可以将本来非全局可路由地址通过NAT转换后变为全局可路由地址，实现了原有网络与互联网的连接，而不需要重新给每台主机分配IP地址。 当主机没有全局唯一的可路由IP地址，却需要与互联网连接时，NAT在连接内部网络和外部网络的边界路由器上进行配置，当内部网络主机访问外部网络时，将内部网络地址转换为全局唯一的可路由IP地址，如此，使用非注册IP地址构建的私有网络可以与互联网连通。 11.2 NAT和NAPT配置 NAT将网络划分为内部网络和外部网络两部分。 NAT分为两种类型：NAT（网络地址转换）和NAPT（网络地址端口转换）。NAT一般是指一对一的地址映射，不能同时满足所有的内部网络主机与外部