ACL IP访问控制列表配置实验.docx
《ACL IP访问控制列表配置实验.docx》由会员分享，可在线阅读，更多相关《ACL IP访问控制列表配置实验.docx（14页珍藏版）》请在冰豆网上搜索。
ACLIP访问控制列表配置实验
IP访问控制列表配置
目录：
▲表示重要的
一、IP标准访问控制列表的建立及应用
工作任务
你是学校网络管理员，学校的财务处、教师办公室和校办企业财务科分属不同的3个网段，三个部门之间通过路由器进行信息传递，为了安全起见，学校领导要求你对网络的数据流量进行控制，实现校办企业财务科的主机可以访问财务处的主机，但是教师办公室主机不能访问财务处主机。
首先对两路由器进行基本配置，实现三个网段可以相互访问；然后对距离控制目的地址较近的路由器RouterB配置IP标准访问控制列表，允许192.168.1.0网段（校办企业财务科）主机发出的数据包通过，不允许192.168.2.0网段（教师办公室）主机发出的数据包通过，最后将这一策略加到路由器RouterB的Fa0端口，如图所示。
第1步：
基本配置
路由器RouterA：
R>enable
R#configureterminal
R（config）#hostnameRouterA
RouterA（config）#linevty04
VTY是路由器的远程登陆的虚拟端口,04表示可以同时打开5个会话,linevty04是进入VTY端口,对VTY端口进行配置,比如说配置密码,
RouterA（config-line）#login
RouterA（config-line）#password100
RouterA（config-line）#exit
RouterA（config）#enablepassword100
RouterA（config）#interfacefastethernet0/0
RouterA（config-if）#ipaddress192.168.1.1255.255.255.0
RouterA（config-if）#noshutdown
RouterA（config-if）#Exit
RouterA（config）#interfaces0/3/0
RouterA（config-if）#ipaddress192.168.12.1255.255.255.0
RouterA（config-if）#noshutdown
RouterA（config-if）#Exit
RouterA（config）#interfaces0/3/0
RouterA（config-if）#ipaddress192.168.2.1255.255.255.0
RouterA（config-if）#noshutdown
RouterA（config-if）#Exit
RouterA（config）#iproute192.168.3.0255.255.255.0192.166.12.2
路由器RouterB：
R>enable
R#configureterminal
R（config）#hostnameRouterB
RouterB（config）#linevty04
RouterB（config-line）#login
RouterB（config-line）#password100
RouterB（config-line）#exit
RouterB（config）#enablepassword100
RouterB（config）#interfacefastethernet0/0
RouterB（config-if）#ipaddress192.168.3.1255.255.255.0
RouterB（config-if）#noshutdown
RouterB（config-if）#Exit
RouterB（config）#interfaces0/3/1
RouterB（config-if）#ipaddress192.168.12.2255.255.255.0
RouterB（config-if）#noshutdown
RouterB（config-if）#Exit
RouterB（config）#iproute192.168.1.0255.255.255.0192.166.12.1
RouterB（config）#iproute192.168.2.0255.255.255.0192.166.12.1
第2步：
▲在路由器RouterB上配置IP标准访问控制列表
RouterB（config）#access-list1deny192.168.2.00.0.0.255
RouterB（config）#access-list1permit192.168.1.00.0.0.255
RouterB#showaccess-list1
第3步：
▲应用在路由器RouterB的Fa0/0接口输出方向上
RouterB（config）#interfacefastethernet0/0
RouterB（config-if）#ipaccess-group1out
验证测试
RouterB#showipinterfacefastethernet0/0
第4步：
▲验证测试
在校企主机的命令提示符下Ping192.168.3.10，能Ping通。
在老师办公室主机的命令提示符下Ping192.168.3.10，不能Ping通。
第二：
任务如图所示，
首先对交换机进行基本配置，实现三个网段可以相互访问；然后对交换机配置IP标准访问控制列表，允许192.168.1.0网段（校企财务科）主机发出的数据包通过，不允许192.168.2.0网段（教师办公室）主机发出的数据包通过，最后将这一策略加到交换机VLAN30的SVI端口输出方向上。
根据拓扑图：
第1步：
交换机的基本配置
Switch#configureterminal
Switch（config）#hostnames3550
Switch（conifg）#iprouting
Switch（conifg）#vlan10
Switch（config-vlan）#exit
Switch（conifg）#vlan20
Switch（config-vlan）#exit
Switch（conifg）#interfacefastethernet0/1
Switch（conifg-if）#switchportmodeaccess
Switch（conifg-if）#switchportaccessvlan10
Switch（conifg-if）#exit
Switch（conifg）#interfacefastethernet0/6
Switch（conifg-if）#switchportmodeaccess
Switch（conifg-if）#switchportaccessvlan20
Switch（config-vlan）#exit
Switch（conifg）#interfacefastethernet0/20
Switch（conifg-if）#switchportmodeaccess
Switch（conifg-if）#switchportaccessvlan30
Switch（config-vlan）#exit
Switch（conifg）#
Switch（config）#interfacevlan10
Switch（conifg-if）#ipaddress192.168.1.1255.255.255.0
Switch（conifg-if）#noshutdown
Switch（conifg-if）#exit
Switch（config）#interfacevlan20
Switch（conifg-if）#ipaddress192.168.2.1255.255.255.0
Switch（conifg-if）#noshutdown
Switch（conifg-if）#exit
Switch（config）#interfacevlan30
Switch（conifg-if）#ipaddress192.168.3.1255.255.255.0
Switch（conifg-if）#noshutdown
Switch（conifg-if）#end
Switch#
查看三层交换机的路由表
Switch#showiproute
第2步：
▲配置命名IP标准访问控制列表
Switch（config）#ipaccess-liststandardABC
既可以列表好，也可以直接名字就可以了
Switch（config-std-nacl）#deny192.168.2.00.0.0.255
Switch（config-std-nacl）#permit192.168.1.00.0.0.255
Switch（config-std-nacl）#exit
Switch（config）#interfacevlan30
Switch（config-if）#ipaccess-groupABCout
验证测试
Switch#showipinterfacevlan30
第3步：
▲验证测试
在PC1主机的命令提示符下Ping192.168.3.10，能Ping通。
在PC2主机的命令提示符下Ping192.168.3.10，不能Ping通。
二、IP【扩展访问控制列表】的建立及应用
工作任务
你是学校网络管理员，学校的网管中心分别架设FTP、Web服务器，其中FTP服务器供教师专用，学生不可使用；
Web服务器教师和学生都可访问。
FTP及Web服务器、教师办公室和学生宿舍分属不同的3个网段，三个网段之间通过路由器进行信息传递，要求你对路由器进行适当设置实现网络数据流量控制。
首先对两路由器进行基本配置，实现三个网段相互访问；然后对离控制源地址较近的路由器RouterA配置IP扩展访问控制列表，不允许192.168.1.0网段（学生宿舍）主机发出的去192.168.3.0网段的FTP数据包通过，允许192.168.1.0网段主机发出的其它服务数据包通过，最后将这一策略加到路由器RouterA的Fa0端口，如图所示。
根据相应的图画出拓扑图：
第1步：
基本配置
路由器RouterA：
R>enable
R#configureterminal
R（config）#hostnameRouterA
RouterA（config）#linevty04
RouterA（config-line）#login
RouterA（config-line）#password100
RouterA（config-line）#exit
RouterA（config）#enablepassword100
RouterA（config）#interfacefastethernet0/0
RouterA（config-if）#ipaddress192.168.1.1255.255.255.0
RouterA（config-if）#noshutdown
RouterA（config-if）#Exit
RouterA（config）#interfaces0/3/0
RouterA（config-if）#ipaddress192.168.12.1255.255.255.0
RouterA（config-if）#noshutdown
RouterA（config-if）#Exit
RouterA（config）#interfacefastethernet0/1
RouterA（config-if）#ipaddress192.168.2.1255.255.255.0
RouterA（config-if）#noshutdown
RouterA（config-if）#Exit
RouterA（config）#iproute192.168.3.0255.255.255.0192.166.12.2
路由器RouterB：
R>enable
R#configureterminal
R（config）#hostnameRouterB
RouterB（config）#linevty04
RouterB（config-line）#login
RouterB（config-line）#password100
RouterB（config-line）#exit
RouterB（config）#enablepassword100
RouterB（config）#interfacef0/0
RouterB（config-if）#ipaddress192.168.3.1255.255.255.0
RouterB（config-if）#noshutdown
RouterB（config-if）#Exit
RouterB（config）#interfaces0/1
RouterB（config-if）#ipaddress192.168.12.2255.255.255.0
RouterB（config-if）#noshutdown
RouterB（config-if）#Exit
RouterB（config）#iproute192.168.1.0255.255.255.0192.166.12.1
RouterB（config）#iproute192.168.2.0255.255.255.0192.166.12.1
第2步：
▲在路由器RouterA上配置IP扩展访问控制列表
▲拒绝来自192.168.1.0网段去192.168.3.0网段的FTP流量通过
RouterA（config）#access-list101denyTCP192.168.1.00.0.0.255192.168.3.00.0.0.255eqFTP
▲还可以控制某一些端口的出入
允许其它服务的流量通过
RouterA（config）#access-list101permitIPanyany
验证测试
RouterA#showaccess-list101
第3步：
把访问控制列表应用在路由器RouterA的Fa0/0接口输入方向上。
RouterA（config）#interfacefastethernet0/0
RouterA（config-if）#ipaccess-group101in
第4步：
分别配置FTP和Web服务器
FTP服务器
Web服务器
第5步：
验证测试
在PC1主机的命令提示符下Ping192.168.3.10，能Ping通。
但是发送FTP包就不能通，如下图：
PC2
五、▲总结：
●本次实验难度不大，主要小心一下端口的配置，还有一些IP访问的规则就行了。
●WEB服务器配置时，要自己去定义发送FTP数据包，这样才能测试到结果。
●RouterA（config）#linevty04
●VTY是路由器的远程登陆的虚拟端口,04表示可以同时打开5个会话,linevty04是进入VTY端口,对VTY端口进行配置,比如说配置密码
●RouterB（config）#interfacefastethernet0/0
RouterB（config-if）#ipaccess-group1out
列表1所定义的条件应用到从本路由器禁止从此接口出去
●RouterA（config-line）#login
RouterA（config-line）#password100
RouterA（config-line）#exit
RouterA（config）#enablepassword100
●配置进入路由器配置需要密码：
而且不显示的
●▲易发生错误的是：
交换机要启动路由协议
Switch（conifg）#iprouting
●RouterA（config）#access-list101denyTCP192.168.1.00.0.0.255192.168.3.00.0.0.255eqFTP
●▲把访问控制列表应用在路由器RouterA的Fa0/0接口输入方向上。
RouterA（config）#interfacefastethernet0/0
RouterA（config-if）#ipaccess-group101in
●▲in和out都是对端口而言的。
in表示进站，从外到内的进入端口的数据方向。
一般是接收。
【进入端口的数据方向】
out表示出站，从内到外离开端口的数据方向。
一般是发送。
【离开端口的数据方向】
升级会员 