基于ENSP访问控制列表的典型应用与实现.pdf

信息记录材料 年 月 第 卷第 期基于 访问控制列表的典型应用与实现王 格(湖北国土资源职业学院 湖北 武汉)【摘摘要要】信息化时代保障网络安全和可靠的网络服务质量显得尤为重要以学校华为信息与网络技术学院建设和计算机网络建设与运维“”制度试点工作为背景介绍访问控制列表的工作原理基于虚拟仿真平台()从场景目的、设计实现、效果测试 个环节对访问控制列表在四大典型场景(网络地址转换、服务访问控制、路由策略、策略路由)中进行设计应用以实现对用户、流量、服务、路由精确识别和控制体现了访问控制列表在实现网络安全和可靠的网络服务质量中的重要作用【关关键键词词】访访问问控控制制列列表表 网网络络安安全全 网网络络地地址址转转换换【中中图图分分类类号号】【文文献献标标识识码码】【文文章章编编号号】()作者简介:王格()女湖北钟祥硕士助教研究方向:计算机网络技术及应用 引言随着网络的飞速发展网络安全和网络服务质量问题日益突出 在网络配置和应用中部分场景需要对某些特定的用户、流量、服务、路由等因素进行控制或者选择过滤从而达到预期安全策略保证网络安全和可靠的网络服务质量 在实现安全控制和选择过滤的过程中访问控制列表()是一项紧密关联且被经常使用到的技术 本文结合学校华为信息与网络技术学院建设和计算机网络建设与运维“”制度试点工作将详细介绍 的作用、分类以及工作机制等并基于虚拟仿真平台()环境将 在四大典型场景(网络地址转换服务访问控制路由策略策略路由)的应用进行设计与实现 原理 的作用与分类 是一个通过配置一系列匹配条件(报文的源地址、目的地址、端口号等)实现对经过路由器的报文及路由进行判断、分类和过滤的工具 它是由一系列(允许)或(拒绝)语句组成的有序规则列表根据编号的不同 可以分为基本(编号范围为)、高级(编号范围为)、二层(编号范围为)、用户自定义(编号范围为)、用户(编号范围为)五大类 其中基本 和高级 应用较多基本 仅仅只能将数据包的源地址(从哪里来)作为匹配或过滤标准即基本 只能实现对数据包的粗略控制 其语法格式为:/网段(或)通配符其中通配符中的 表示严格匹配 表示任意 由于基本 只能过滤源 为了不影响源主机的其他通信需求一般将基本 部署在离目标端比较近的路由器上高级 可以将数据包的源地址(从哪里来)、目的地址(到哪里去)、协议类型(如端口号)及应用类型(做什么)等因素作为匹配或过滤标准即高级 可以实现对数据包更加精确的控制 其语法格式为:/协议(/)网 段(或 )通 配 符 网段(或)通配符 端口 由于高级 可以精准定位某一类数据流为了避免无效的流量占用网段带宽等资源一般将高级 部署在离源端比较近的路由器上 一般是先配置规则最后在路由器的接口上应用生效 不管是基本 还是高级 都可以选择应用部署在数据包进入路由器的方向()或数据包离开路由器的方向()的工作机制 匹配工作流程如图 所示 的工作原则是自上而下顺序处理直到匹配到相应规则然后执行拒绝或允许操作且一旦命中即停止匹配 每个 可以有多个 规则当一个数据包通过配置了 的路由器时首先检查 中的第一条规则如果命中(即匹配判断条件或标准)则根据这条规则的动作(还是)对数据包进行处理 并结束对该数据包的匹配 如果没有命中第一条规则则进行下一条规则的匹配 处理步骤同上 如果一个数据包没有命中 中的任何一条规则那么匹配结果为不匹配该数据包会被丢弃 因为每个 在最后隐含拒绝所有 在典型场景的应用与实现 在网络地址转换技术中的应用()场景目的本场景主要以动态网络地址转换的实现为例使用基本 实现将私网地址转换成公网地址 在网络地址转换技术中应用拓扑图如图 所示()设计实现首先根据拓扑图规划完成相关设备 地址的配置 并完成相关路由协议的配置在路由器 上配置一条静态路由 保信息记录材料 年 月 第 卷第 期证内网主机后期能够访问互联网图 的工作流程图 在网络地址转换技术中应用拓扑图 其次在路由器 上配置基本 将需要转换的内网地址进行匹配捕获 主要命令实现如下:在该环节使用了基本 其编号为 作用是将 /网段和 /网段需要进行转换的私网地址进行匹配捕获在匹配 个目标网段时对 个 网 段 进 行 了 汇 总 处 理 汇 总 后 的 网 段 为 /最后在路由器 创建公有地址池 (地址范围为 到 )并在/接口上将基本 捕获匹配的私有地址转换成公有地址池 中的公有地址 主要命令实现如下:/()效果测试使用 或者 去 测试 同时在 使用命令 查看网络地址转换的情况或者使用 对接口路由器 的/接口进行抓包均可发现地址转换成功即实现了内网主机访问互联网时完成私网地址()到公网地址的转换()实现了场景目的 网络地址转换实现效果如图 所示图 网络地址转换实现效果 在服务访问控制中的应用()场景目的本场景使用高级 实现 可以访问 的 服务不能访问 服务 不能访问 的 服务可以访问 服务 在服务访问控制中应用拓扑图如图 所示图 在服务访问控制中应用拓扑图()设计实现首先根据拓扑图规划完成相关设备 地址的配置其次在路由器器 上配置高级 实现对相关客户端访问相关服务的控制 主要命令实现如下:信息记录材料 年 月 第 卷第 期 语 句 将拒绝 访问 的 服务(端口号)语句 将 拒 绝 访问 的 服务(端口号)最后将高级 部署应用在路由器 的出接口/上/()效果测试发现 可以访问 的 服务不能访问 服务 不能访问 的 服务可以访问 服务实现了场景目的 服务访问控制实验效果如图 所示图 服务访问控制实验效果 在路由策略中的应用()场景目的本场景将使用基本 结合路由策略实现对特定路由信息的重分布 实现将 重分布到 时只重分布 和 的路由信息将 重分布到 时只重分布 和 的路由信息 在路由策略应用拓扑图如图 所示图 在路由策略应用拓扑图()设计实现首先根据拓扑图规划完成相关设备 地址的配置其次在路由器 上创建基本 将需要重分布的路由信息进行捕获 同时在 上创建路由策略将其与相应的 进行关联确保仅仅只重分布目标路由信息 创建基本 的命令实现如下:语句 实现捕获由路由器 产生的 和 的路由信息语句 实现捕获路由器 产生的 和 的路由信息创建路由策略的主要命令实现如下:上述命令创建了 个路由策略其中名为 的路由策略用来关联匹配 名为 的路由策略用来关联匹配 最后在路由器 进行路由重分布分别使用 个已经关联了基本 的路由策略实现对特定路由信息的重分布 主要命令实现如下:()效果测试查看 的路由表可以发现将 重分布到 时只重分布 和 的路由信息查看 的路由表可以发现将 重分布到 时只重分布了 和 的路由信息实现了场景目的 在策略路由中的应用()场景目的本场景将使用高级 结合策略路由实现对特定路由的转发控制 实现 访问百度时通过 访问百度时通过 在策略路由访问控制拓扑图如图 所示图 在策略路由访问控制拓扑图信息记录材料 年 月 第 卷第 期()设计实现根据拓扑图规划完成相关设备 地址的配置 配置路由协议在该案例中采用的是 协议 并在 上配置 在该案例中采用的方式是 最终实现全网互联互通 此时在 上查看路由信息可以发现此时不论是 还是 在访问百度()时均有 条等价路由形成了负载均衡在 上配置高级 分别实现对、访问百度的流量进行匹配捕获 主要命令实现如下:语句 实现将 访问百度的流量进行捕获语句 实现将 访问百度的流量进行捕获通过设置流分类、流行为和流策略完成策略路由的配置并将策略路由应用在 的/接口上设置 个 流 分 类 分 别 关 联 匹 配 和 设置 个 流 行 为 指 定 个 不 同 的 下 一 跳()、()设置流策略将流分类和流行为进行关联确保不同流量走向不同的下一跳 将流策略应用在 的接口/上/()效果测试在 上使用命令 可以发现 访问百度通过()在 上使用命令 可以发现 访问百度通过 ()实现了场景目的 策略路由实验效果如图 所示图 策略路由实验效果 结语综上所述本文通过对 在四大典型场景(网络地址转换服务访问控制路由策略策略路由)中的设计与成功应用实现强调和验证了 在实现保障网络安全和可靠的网络服务的重要作用同时也可以看出使用较多的 的类别集中体现在基本 和高级 基本 主要基于数据包的源地址实现对数据包的粗略控制高级 可以基于数据包的源地址、目的地址、协议类型及应用类型实现对数据包的精准控制避免无效流量占用网络带宽等资源从而提高网络带宽利用率 后期将进一步深入梳理与探讨 在其他典型场景中的应用【参考文献】谢志奇.访问控制列表在网络安全及控制中的应用.网络安全和信息化():.曹园青.访问控制列表技术的实验仿真设计与实现.现代计算机():.王嘉楠 吴军平.基于 芯片的 防攻击研究与实现.电子设计工程 ():.黄培炎.访问控制列表在校园网中的运用.电脑编程技巧与维护():.邢慧芬 车辉.基于 和防火墙的网络安全访问控制的设计与实现.曲靖师范学院学报 ():.