ACLIP訪問控制列表配置實(shí)驗(yàn)

1、IP訪問控制列表配置目錄：第一個(gè)任務(wù)的：驗(yàn)證測試3第二個(gè)任務(wù)的：交換機(jī)的驗(yàn)證測試6第三個(gè)任務(wù)的：擴(kuò)展訪問驗(yàn)證測試10最后-總結(jié)：12表示重要的、IP標(biāo)準(zhǔn)訪問控制列表的建立及應(yīng)用工作任務(wù)你是學(xué)校網(wǎng)絡(luò)管理員，學(xué)校的財(cái)務(wù)處、教師辦公室和校辦企業(yè)財(cái)務(wù)科分屆不同的3個(gè)網(wǎng)段，三個(gè)部門之間通過路由器進(jìn)展信息傳遞，為了平安起見，學(xué)校領(lǐng)導(dǎo)要求你對(duì)網(wǎng)絡(luò)的數(shù)據(jù)流量進(jìn)展控制，實(shí)現(xiàn)校辦企業(yè)財(cái)務(wù)科的主機(jī)可以訪問財(cái)務(wù)處的主機(jī)，但是教師辦公室主機(jī)不能訪問財(cái)務(wù)處主機(jī)首先對(duì)兩路由器進(jìn)展根本配置，實(shí)現(xiàn)三個(gè)網(wǎng)段可以相互訪問;然后對(duì)距離控制目的地址較近的路由器RouterB配置IP標(biāo)準(zhǔn)訪問控制列表，允許192.168.1.舸段校辦企業(yè)

2、財(cái)務(wù)科主機(jī)發(fā)出的數(shù)據(jù)包通過,不允許192.168.2.啊段教師辦公室主機(jī)發(fā)出的數(shù)據(jù)包通過，最后將這一策略加到路由器RouterB的Fa0端口，如下圖。第1步：根本配置路由器RouterA:R>enableR#configureterminalR(config)#hostnameRouterARouterA(config)#linevty04VTY是路由器的遠(yuǎn)程登陸的虛擬端口，04表小可以同時(shí)翻開5個(gè)會(huì)話,linevty04是進(jìn)入VTY端口對(duì)VTY端口進(jìn)展配置，比方說配置密碼，RouterA(config-line)#loginRouterA(config-line)#password10

3、0RouterA(config-line)#exitRouterA(config)#enablepassword100RouterA(config)#interfacefastethernet0/0RouterA(config-if)#ipaddressRouterA(config-if)#noshutdownRouterA(config-if)#ExitRouterA(config)#interfaces0/3/0RouterA(config-if)#ipaddressRouterA(confi

4、g-if)#noshutdownRouterA(config-if)#ExitRouterA(config)#interfaces0/3/0RouterA(config-if)#ipaddressRouterA(config-if)#noshutdownRouterA(config-if)#ExitRouterA(config)#iproute路由器RouterB:R>enableR#configureterminalR(config)#hostnameRouterBR

5、outerB(config)#linevty04RouterB(config-line)#loginRouterB(config-line)#password100RouterB(config-line)#exitRouterB(config)#enablepassword100RouterB(config)#interfacefastethernet0/0RouterB(config-if)#ipaddressRouterB(config-if)#noshutdownRouterB(config-if)#ExitRouterB(config)#

6、interfaces0/3/1RouterB(config-if)#ipaddressRouterB(config-if)#noshutdownRouterB(config-if)#ExitRouterB(config)#iprouteRouterB(config)#iproute第2步：在路由器RouterB±配置IP標(biāo)準(zhǔn)訪問控制列表RouterB(config)#access-list1d

7、eny55RouterB(config)#access-list1permit55RouterB#showaccess-list1第3步：應(yīng)用在路由器RouterB的Fa0/0接口輸出方向上RouterB(config)#interfacefastethernet0/0RouterB(config-if)#ipaccess-group1out驗(yàn)證測試RouterB#showipinterfacefastethernet0/0第4步：驗(yàn)證測試在校企主機(jī)的命令提示符下Ping0能Ping通在教師辦公室主機(jī)

8、的命令提示符下Ping0不能Ping通第二：任務(wù)如下圖，首先對(duì)交換機(jī)進(jìn)展根本配置，實(shí)現(xiàn)三個(gè)網(wǎng)段可以相互訪問；然后對(duì)交換機(jī)配置IP標(biāo)準(zhǔn)訪問控制列表，允許192.168.1.CR段校企財(cái)務(wù)科主機(jī)發(fā)出的數(shù)據(jù)包通過，不允許192.168.2.啊段教師辦公室主機(jī)發(fā)出的數(shù)據(jù)包通過，最后將這一策略加到交換機(jī)VLAN30的SVI端口輸出方向上。1沌睥*.=i網(wǎng)吱（教擬i室根據(jù)拓?fù)鋱D：第1步：交換機(jī)的根本配置Switch#configureterminalSwitch(config)#hostnames3550Switch(conifg)#iproutingSwitch(conifg)#v

9、lan10Switch(config-vlan)#exitSwitch(conifg)#vlan20Switch(config-vlan)#exitSwitch(conifg)#interfacefastethernet0/1Switch(conifg-if)#switchportmodeaccessSwitch(conifg-if)#switchportaccessvlan10Switch(conifg-if)#exitSwitch(conifg)#interfacefastethernet0/6Switch(conifg-if)#switchportmodeaccessSwitch(con

10、ifg-if)#switchportaccessvlan20Switch(config-vlan)#exitSwitch(conifg)#interfacefastethernet0/20Switch(conifg-if)#switchportmodeaccessSwitch(conifg-if)#switchportaccessvlan30Switch(config-vlan)#exitSwitch(conifg)#Switch(config)#interfacevlan10Switch(conifg-if)#ipaddressSwitch(c

11、onifg-if)#noshutdownSwitch(conifg-if)#exitSwitch(config)#interfacevlan20Switch(conifg-if)#ipaddressSwitch(conifg-if)#noshutdownSwitch(conifg-if)#exitSwitch(config)#interfacevlan30Switch(conifg-if)#ipaddressSwitch(conifg-if)#noshutdownSwitch(conifg-if)#

12、endSwitch#查看三層交換機(jī)的路由表Switch#showiproute第2步：配置命名IP標(biāo)準(zhǔn)訪問控制列表Switch(config)#ipaccess-liststandardABCconfiguz&cionroEnrundsonep«rline.EndCKTL/Z.switch(eonfig)ip?EittendsdAeeeasLiatSwiceh(eotiilg)Upeccesa-llii:1SviteJn(accesstfinandard?StandEd.ITaersis-listnmnbflrWORDAcceas-liJtSwitch(config-std-

13、nacl)#deny55Switch(config-std-nacl)#permit55Switch(config-std-nacl)#exitSwitch(config)#interfacevlan30Switch(config-if)#ipaccess-groupABCout驗(yàn)證測試Switch#showipinterfacevlan30第3步：驗(yàn)證測試在PC1主機(jī)的命令提示符下Ping0能Ping通在PC2主機(jī)的命令提示符下Ping0不能Ping通PhysicalGarfi

14、gDesktopSoftware/Servi二、IP【擴(kuò)展訪問控制列表】的建立及應(yīng)用工作任務(wù)你是學(xué)校網(wǎng)絡(luò)管理員，學(xué)校的網(wǎng)管中心分別架設(shè)FTP、Web效勞器，其中FTP效勞器供教師專用，學(xué)生不可使用；Web效勞器教師和學(xué)生都可訪問。FTP及Web效勞器、教師辦公室和學(xué)生宿舍分屆不同的3個(gè)網(wǎng)段，三個(gè)網(wǎng)段之間通過路由器進(jìn)展信息傳遞，要求你對(duì)路由器進(jìn)展適當(dāng)設(shè)置實(shí)現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)流量控制。/學(xué)生宿舍wPC1PC21.101.1Fa0/24教師辦公室RouterAFa2.10Fa08Fa1FaKyg.112.2首先對(duì)兩路由器進(jìn)展根本配置，實(shí)現(xiàn)三個(gè)網(wǎng)段相互訪問；然后對(duì)離控

15、制源地址較近的路由器RouterA配置IP擴(kuò)展訪問控制列表，不允許192.168.1.啊段學(xué)生宿舍主機(jī)發(fā)出的去192.168.3.舸段的FTP數(shù)據(jù)包通過，允許192.168.1.舸段主機(jī)發(fā)出的其它效勞數(shù)據(jù)包通過，最后將這一策略加到路由器RouterA的Fa0端口，如下圖根據(jù)相應(yīng)的圖畫出拓?fù)鋱D:第1步：根本配置路由器RouterA:R>enableR#configureterminalR(config)#hostnameRouterARouterA(config)#linevty04RouterA(config-line)#loginRouterA(config-line)#passwor

16、d100RouterA(config-line)#exitRouterA(config)#enablepassword100RouterA(config)#interfacefastethernet0/0RouterA(config-if)#ipaddressRouterA(config-if)#noshutdownRouterA(config-if)#ExitRouterA(config)#interfaces0/3/0RouterA(config-if)#ipaddressRouterA(co

17、nfig-if)#noshutdownRouterA(config-if)#ExitRouterA(config)#interfacefastethernet0/1RouterA(config-if)#ipaddressRouterA(config-if)#noshutdownRouterA(config-if)#ExitRouterA(config)#iproute路由器RouterB:R>enableR#configureterminalR(config)#host

18、nameRouterBRouterB(config)#linevty04RouterB(config-line)#loginRouterB(config-line)#password100RouterB(config-line)#exitRouterB(config)#enablepassword100RouterB(config)#interfacef0/0RouterB(config-if)#ipaddressRouterB(config-if)#noshutdownRouterB(config-if)#ExitRouterB(config)

19、#interfaces0/1RouterB(config-if)#ipaddressRouterB(config-if)#noshutdownRouterB(config-if)#ExitRouterB(config)#iprouteRouterB(config)#iproute第2步：在路由器RouterA上配置IP擴(kuò)展訪問控制列表拒絕來自網(wǎng)段去網(wǎng)段的FTP

20、流量通過FLltTranafftEProtocol(21)FajtOfficePratacolv3(110)filial»TrAnapartProtocol29)Telnet世3JWazIdWidfe(HTTP,90)RouterA(config)#access-list101denyTCP5555eqFTPRouter(eenfig)raecasi-liBt101dtnytcpLSSl»0.0.0.心理1POP3flfflltptelnecww還可以控制

21、某一些端口的出入允許其它效勞的流量通過RouterA(config)#access-list101permitIPanyany驗(yàn)證測試RouterA#showaccess-list101第3步：把訪問控制列表應(yīng)用在路由器RouterA的Fa0/0接口輸入方向上。RouterA(config)#interfacefastethernet0/0RouterA(config-if)#ipaccess-group101in第4步：分另U配置FTP和Web效勞器FTP效勞器Web效勞器第5步：驗(yàn)證測試在PC1主機(jī)的命令提示符下PingQ能Ping通。但是發(fā)送FTP包就不能通，如下列

22、圖：LSE.130.1.0；£4PC-PTPCI02.168.12fiD71SourceSettingsSourceDevice:PCIOLitgoingPort:FWFtnmEFnit7AurospiprtpcftPDUetrlngsI臉皿12.0/2,P4老呼專弓）3.1.26150/0Router不可使用;Ser/er-192.lfiB.3.U/=BC£?：£a12.2SelectAppilication:DesrinstionIPAddress:：192.】6S.3.10SourcePAddress:miwuiixi皿ruuJLVii

23、TimesedLastDeviceAtDevice,aoDiRcuteiAa（x）2RokiterAPCI0301RenterA。皿Rcurt&rAPCIQ8W-RouterAa&osRoliterAPCITypeInioCMPCMPICMPICNrPKMPCMPPC20Server-PTFTP匚琵閂專用）SiinulationP&nelEventListVis.Time(sec)LastDeviceAtDevice-T、0.012老師專用aFT0,013FTP(*m用SwitchO：FT0.014SwitchORouterB/FT0,015RouterBRouterAFrr0.016RouterAU心H五、總結(jié):本次實(shí)驗(yàn)難度不大，主要小心一