《网络设备配置与管理》教案——认识网络：访问控制及地址转换教案概述：本教案旨在帮助学生理解网络中的访问控制以及地址转换的概念和原理。
通过学习，学生将能够掌握网络访问控制列表的配置和使用，以及理解网络地址转换（NAT）的工作原理和配置方法。
教学目标：1. 了解访问控制列表（ACL）的基本概念和作用。
2. 学会配置基本ACL并应用到网络设备上。
3. 掌握网络地址转换（NAT）的概念和分类。
4. 学会配置NAT并解决内网访问外网的问题。
5. 能够分析并解决常见的访问控制和地址转换问题。
教学内容：一、访问控制列表（ACL）概述1. ACL的概念2. ACL的类型与编号3. ACL的匹配条件4. ACL的应用位置二、ACL的配置与管理1. 基本ACL的配置步骤2. 高级ACL的配置步骤3. ACL的调度与管理4. ACL的调试与监控三、网络地址转换（NAT）1. NAT的概念与作用2. NAT的类型与工作原理3. NAT的配置方法4. NAT的优缺点及适用场景四、NAT的高级应用1. PAT（端口地址转换）2. NAT Overload3. 负向NAT4. NAT与其他网络技术（如VPN、防火墙）的结合应用五、案例分析与实战演练1. 案例一：企业内网访问外网资源的安全控制2. 案例二：NAT解决内网设备访问外网问题3. 案例三：复杂网络环境下的NAT配置与应用4. 案例四：ACL与NAT在实际网络中的综合应用教学方法：1. 理论讲解：通过PPT、教材等辅助材料，系统讲解访问控制和地址转换的相关知识。
2. 实操演示：现场演示ACL和NAT的配置过程，让学生直观地了解实际操作。
3. 案例分析：分析实际案例，让学生学会将理论知识应用于实际工作中。
4. 互动问答：课堂上鼓励学生提问，解答学生关于访问控制和地址转换的疑问。
5. 课后作业：布置相关练习题，巩固学生所学知识。
教学评估：1. 课堂问答：检查学生对访问控制和地址转换的理解程度。
一、实验目的配置访问控制列表：PC3不能访问192.168.1.0网络，192.168.5.0网段不能访问192.168.4.0网络。
二、设备需求3个路由器，若干PC机，若干连线。
三、拓扑结构及接口IP配置实验的拓扑结构如图所示。
实验的拓扑结构四、实验配置文档R0配置：Router>enRouter#conf tEnter configuration commands, one per line. End with CNTL/Z.Router(config)#hostname R-0R-0(config)#int f0/0R-0(config-if)#ip add 192.168.1.1 255.255.255.0R-0(config-if)#no shut%LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up第10章实验指导213%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to up R-0(config-if)#int s0/0R-0(config-if)#ip add 192.168.2.1 255.255.255.0R-0(config-if)#no shutR-0(config)#route ripR-0(config-router)#network 192.168.1.0R-0(config-router)#network 192.168.2.0R-0(config-router)#^ZR-0>enR-0#conf tEnter configuration commands, one per line. End with CNTL/Z.R-0(config)#access-list 10 deny host 192.168.5.2R-0(config)#permit any^% Invalid input detected at '^' marker.R-0(config)#access-list 10 permit anyR-0(config)#int s0/0R-0(config-if)#ip access-group 10 inR-0(config-if)#^ZR-0#%SYS-5-CONFIG_I: Configured from console by consoleR-0#copy run startDestination filename [startup-config]?Building configuration...[OK]R-0#R2配置：Router>enRouter#conf tEnter configuration commands, one per line. End with CNTL/Z.Router(config)#hostname R-2R-2(config)#int f0/0R-2(config-if)#ip add 192.168.4.1 255.255.255.0R-2(config-if)#no shut%LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up214网络设备配置与管理%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to up R-2(config-if)#int s0/0R-2(config-if)#ip add 192.168.2.2 255.255.255.0R-2(config-if)#clock rate 64000R-2(config-if)#no shutR-2(config-if)#int s0/1R-2(config-if)#ip add 192.168.3.1 255.255.255.0R-2(config-if)#clock rate 64000R-2(config-if)#no shut%LINK-5-CHANGED: Interface Serial0/1, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/1, changed state to upR-2(config-if)#^ZR-2#conf tEnter configuration commands, one per line. End with CNTL/Z.R-2(config)#access-list 11 deny 192.168.5.0 0.0.0.255R-2(config)#access-list 11 permit anyR-2(config)#int f0/0R-2(config-if)#ip access-group 11 outR-2(config-if)#^ZR3:Router>enRouter#conf tEnter configuration commands, one per line. End with CNTL/Z.Router(config)#hostname% Incomplete command.Router(config)#hostname R-3R-3(config-if)#int s0/1R-3(config-if)#ip add 192.168.3.2 255.255.255.0R-3(config-if)#no shut%LINK-5-CHANGED: Interface Serial0/1, changed state to upR-3(config-if)#int f0/0R-3(config-if)#%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/1, changed state to upR-3(config-if)#int f0/0R-3(config-if)#ip add 192.168.5.1 255.255.255.0R-3(config-if)#no shutR-3(config-if)^z第10章实验指导215R-3#show ip routeCodes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGPD - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter areaN1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGPi - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area* - candidate default, U - per-user static route, o - ODRP - periodic downloaded static routeGateway of last resort is not setR 192.168.1.0/24 [120/2] via 192.168.3.1, 00:00:16, Serial0/1R 192.168.2.0/24 [120/1] via 192.168.3.1, 00:00:16, Serial0/1C 192.168.3.0/24 is directly connected, Serial0/1R 192.168.4.0/24 [120/1] via 192.168.3.1, 00:00:16, Serial0/1C 192.168.5.0/24 is directly connected, FastEthernet0/0R-3#五、验证实验结果未配置控制列表前，我们测试从PC3到PC0,结果如下：216网络设备配置与管理证明以上配置正确配置列表后我们测试从PC3到PC0,结果如下结果表明配置列表生效。
访问控制列表(ACL)的综合应用实验-风行版访问控制列表的综合应用实验拓扑：实验要求：1、在R2上配置标准访问列表，拒绝所有来自3.3.3.0网络的数据包。
2、在R2上配置扩展访问列表，阻塞来自网络23.1.1.0/24发往12.1.1.1地址的ICMP包。
3、用命名的访问列表完成上述两个实验。
4、 R1路由器只允许23.1.1.3的IP地址能够Telnet到路由器上。
5、在第4步骤中，R1路由器只允许R3在2006年11月1日至2006年11月30日的每周一到周五的8：00到18：00和周末的9：00到21：00才可以Telnet到R1。
6、只允许R1能够主动发起连接Telnet到R3，不允许R3主动发起连接到R1路由器（Established）。
7、在R2上配置Lock-and-key，R3与R1建立连接前需要在R2上进行认证（Telnet），在R2上的认证方式为本地数据库（在VTY线路下面开启Login local），R2自动生成临时动态访问列表，并配置绝对超时时间为5分钟，空闲时间为3分钟，自动生成的访问列表中的源地址必须用认证主机IP地址来进行替换。
8、在R2上配置自反列表，使R1可以Ping通R3，R3不能Ping通R1。
IP地址表：（如图）实验配置如下：一、基本配置：配置R1：Router>enRouter#conf tRouter(config)#hostname R1R1(config)#int S0R1(config-if)#ip add 12.1.1.1 255.255.255.0 R1(config-if)#no shutR1(config-if)#router ripR1(config-router)#network 12.1.1.1R1(config-router)#endR1#sh run配置R2：Router>enRouter#conf tRouter(config)#hostname R2R2(config)#int S0R2(config-if)#ip add 12.1.1.2 255.255.255.0 R2(config-if)#no shutR2(config-if)#clock rate 64000R2(config-if)#int S1R2(config-if)#ip add 23.1.1.2 255.255.255.0 R2(config-if)#no shutR2(config-if)#clock rate 64000R2(config-if)#router ripR2(config-router)#network 12.1.1.2R2(config-router)#network 23.1.1.2R2(config-router)#endR2#sh run配置R3：Router>enRouter#conf tRouter(config)#hostname R3R3(config)#int S0R3(config-if)#ip add 23.1.1.3 255.255.255.0R3(config-if)#no shutR3(config-if)#int loop0R3(config-if)#ip add 3.3.3.3 255.255.255.0R3(config-if)#no shutR3(config-if)#router ripR3(config-router)#network 3.3.3.3R3(config-router)#network 23.1.1.3R3(config-router)#endR3#sh run二、访问控制列表综合应用：1. 在R2上配置标准访问列表，拒绝所有来自3.3.3.0网络的数据包.R2#conf tR2(config)#access-list 10 deny 3.3.3.0 0.0.0.255R2(config)#access-list 10 permit anyR2(config)#int S1R2(config-if)#ip access-group 10 in2. 在R2上配置扩展访问列表，阻塞来自网络23.1.1.0/24发往12.1.1.1地址的ICMP包. R2#conf tR2(config)#access-list 100 deny icmp 23.1.1.0 0.0.0.255 host 12.1.1.1R2(config)#access-list 100 permit ip any anyR2(config)#int S1R2(config-if)#ip access-group 100 in3.R1路由器只允许23.1.1.3的IP地址能够Telnet到路由器上.R1#conf tR1(config)#access-list 110 permit tcp host 23.1.1.3 host 12.1.1.1 eq 23R1(config)#int S0R1(config-if)#ip access-group 110 in4. 在第3步骤中，R1路由器只允许R3在2006年11月1日至2006年11月30日的每周一到周五的8：00到18：00和周末的9：00到21：00才可以Telnet到R1.R1#conf tR1(config)#time-range telnettime //建立允许访问的时间范围R1(config-time-range)#absolute start 00:00 1 nov 2006 end 00:00 1 dec 2006R1(config-time-range)#periodic weekday 08:00 to 18:00R1(config-time-range)#periodic weekend 09:00 to 21:00R1(config-time-range)#exitR1(config)#access-list 110 permit tcp host 23.1.1.3 host 12.1.1.1 eq 23 time-range telnettime//建立访问控制列表只允许R3telnet登入到R1，将允许时间范围应用上R1(config)#int S0R1(config-if)#ip access-group 110 in5. 只允许R1能够主动发起连接Telnet到R3，不允许R3主动发起连接到R1路由器（Established）.R1#conf tR1(config)#access-list 110 permit tcp host 23.1.1.3 host 12.1.1.1 eq 23 time-range telnettime established //建立Established列表，只允许R1主动发起连接Telnet 到R3, 这里的源地址指的是 R3的接口地址23.1.1.3，因为要检查的是R3回应的数据流，只有回应的数据流中TCP的ACK或RST比特才会被设置成1，主动发起连接的设备R1数据流中的TCP的ACK为0,establish关键字只能用在TCP数据流上，不能用在UDP、ICMP和其他的IP协议上，否则无效。
