ACL IP訪問(wèn)控制列表配置實(shí)驗(yàn)

1、IP訪問(wèn)控制列表配置目錄：第一個(gè)任務(wù)的：驗(yàn)證測(cè)試5第二個(gè)任務(wù)的：交換機(jī)的驗(yàn)證測(cè)試9第三個(gè)任務(wù)的：擴(kuò)展訪問(wèn)驗(yàn)證測(cè)試14最后-總結(jié)：15 表示重要的一、IP標(biāo)準(zhǔn)訪問(wèn)控制列表的建立及應(yīng)用 工作任務(wù) 你是學(xué)校網(wǎng)絡(luò)管理員，學(xué)校的財(cái)務(wù)處、教師辦公室和校辦企業(yè)財(cái)務(wù)科分屬不同的3個(gè)網(wǎng)段，三個(gè)部門(mén)之間通過(guò)路由器進(jìn)行信息傳遞，為了安全起見(jiàn)，學(xué)校領(lǐng)導(dǎo)要求你對(duì)網(wǎng)絡(luò)的數(shù)據(jù)流量進(jìn)行控制，實(shí)現(xiàn)校辦企業(yè)財(cái)務(wù)科的主機(jī)可以訪問(wèn)財(cái)務(wù)處的主機(jī)，但是教師辦公室主機(jī)不能訪問(wèn)財(cái)務(wù)處主機(jī)。 首先對(duì)兩路由器進(jìn)行基本配置，實(shí)現(xiàn)三個(gè)網(wǎng)段可以相互訪問(wèn)；然后對(duì)距離控制目的地址較近的路由器RouterB配置IP標(biāo)準(zhǔn)訪問(wèn)控制列表，允許192.168.1.

2、0網(wǎng)段（校辦企業(yè)財(cái)務(wù)科）主機(jī)發(fā)出的數(shù)據(jù)包通過(guò)，不允許網(wǎng)段（教師辦公室）主機(jī)發(fā)出的數(shù)據(jù)包通過(guò)，最后將這一策略加到路由器RouterB的Fa 0端口，如圖所示。第1步：基本配置路由器RouterA：R enableR #configure terminalR(config)#hostname RouterARouterA (config)# line vty 0 4 VTY是路由器的遠(yuǎn)程登陸的虛擬端口,0 4表示可以同時(shí)打開(kāi)5個(gè)會(huì)話,line vty 0 4是進(jìn)入VTY端口,對(duì)VTY端口進(jìn)行配置,比如說(shuō)配置密碼,RouterA (config-line)#loginRoute

3、rA (config-line)#password 100RouterA (config-line)#exitRouterA (config)# enable password 100RouterA (config)#interface fastethernet 0/0 RouterA (config-if)#ip address RouterA (config-if)#no shutdownRouterA (config-if)#ExitRouterA (config)#interface s0/3/0 RouterA (config-if)

4、#ip address RouterA (config-if)#no shutdownRouterA (config-if)#ExitRouterA (config)#interface s0/3/0 RouterA (config-if)#ip address RouterA (config-if)#no shutdownRouterA (config-if)#ExitRouterA (config)#ip route 192.166.12

5、.2路由器RouterB：R enableR #configure terminalR(config)#hostname RouterBRouterB (config)# line vty 0 4 RouterB (config-line)#loginRouterB (config-line)#password 100RouterB (config-line)#exitRouterB (config)# enable password 100RouterB (config)#interface fastethernet 0/0 RouterB (config-if)#ip address 19

6、 RouterB (config-if)#no shutdownRouterB (config-if)#ExitRouterB (config)#interface s0/3/1 RouterB (config-if)#ip address RouterB (config-if)#no shutdownRouterB (config-if)#ExitRouterB (config)#ip route RouterB (con

7、fig)#ip route 第2步：在路由器RouterB上配置IP標(biāo)準(zhǔn)訪問(wèn)控制列表RouterB (config)#access-list 1 deny 55RouterB (config)#access-list 1 permit 55RouterB #show access-list 1第3步： 應(yīng)用在路由器RouterB的Fa 0/0接口輸出方向上RouterB (config)#interface fastethernet 0/0 R

8、outerB (config-if)#ip access-group 1 out 驗(yàn)證測(cè)試RouterB #show ip interface fastethernet 0/0 第4步：驗(yàn)證測(cè)試 在校企主機(jī)的命令提示符下Ping 0，能Ping通。 在老師辦公室主機(jī)的命令提示符下Ping 0，不能Ping通。第二：任務(wù)如圖所示， 首先對(duì)交換機(jī)進(jìn)行基本配置，實(shí)現(xiàn)三個(gè)網(wǎng)段可以相互訪問(wèn)；然后對(duì)交換機(jī)配置IP標(biāo)準(zhǔn)訪問(wèn)控制列表，允許網(wǎng)段（校企財(cái)務(wù)科）主機(jī)發(fā)出的數(shù)據(jù)包通過(guò)，不允許網(wǎng)段（教師辦公室）主機(jī)發(fā)出的數(shù)據(jù)包通過(guò)，

9、最后將這一策略加到交換機(jī)VLAN30的SVI端口輸出方向上。根據(jù)拓?fù)鋱D：第1步：交換機(jī)的基本配置Switch#configure terminalSwitch(config)#hostname s3550Switch(conifg)#ip routingSwitch(conifg)#vlan 10Switch(config-vlan)#exitSwitch(conifg)#vlan 20Switch(config-vlan)#exitSwitch(conifg)#interface fastethernet 0/1Switch(conifg-if)#switchport mode access

10、Switch(conifg-if)#switchport access vlan 10Switch(conifg-if)#exitSwitch(conifg)# interface fastethernet 0/6Switch(conifg-if)#switchport mode accessSwitch(conifg-if)#switchport access vlan 20Switch(config-vlan)#exitSwitch(conifg)# interface fastethernet 0/20Switch(conifg-if)#switchport mode accessSwi

11、tch(conifg-if)#switchport access vlan 30Switch(config-vlan)#exitSwitch(conifg)#Switch(config)#interface vlan 10Switch(conifg-if)#ip address Switch(conifg-if)#no shutdownSwitch(conifg-if)#exitSwitch(config)#interface vlan 20Switch(conifg-if)#ip address 255.255.255

12、.0Switch(conifg-if)#no shutdownSwitch(conifg-if)#exitSwitch(config)#interface vlan 30Switch(conifg-if)#ip address Switch(conifg-if)#no shutdownSwitch(conifg-if)#endSwitch#查看三層交換機(jī)的路由表Switch#show ip route第2步：配置命名IP標(biāo)準(zhǔn)訪問(wèn)控制列表Switch(config)#ip access-list standard ABC 既可以 列表好，也可以

13、直接 名字就可以了Switch(config-std-nacl)#deny 55Switch(config-std-nacl)#permit 55Switch(config-std-nacl)#exitSwitch(config)#interface vlan 30Switch(config-if)# ip access-group ABC out驗(yàn)證測(cè)試Switch#show ip interface vlan 30第3步：驗(yàn)證測(cè)試 在PC1主機(jī)的命令提示符下Ping 0，能Ping通。 在PC

14、2主機(jī)的命令提示符下Ping 0，不能Ping通。二、IP 【擴(kuò)展訪問(wèn)控制列表】 的建立及應(yīng)用工作任務(wù)你是學(xué)校網(wǎng)絡(luò)管理員，學(xué)校的網(wǎng)管中心分別架設(shè)FTP、Web服務(wù)器，其中FTP服務(wù)器供教師專(zhuān)用，學(xué)生不可使用；Web服務(wù)器教師和學(xué)生都可訪問(wèn)。FTP及Web服務(wù)器、教師辦公室和學(xué)生宿舍分屬不同的3個(gè)網(wǎng)段，三個(gè)網(wǎng)段之間通過(guò)路由器進(jìn)行信息傳遞，要求你對(duì)路由器進(jìn)行適當(dāng)設(shè)置實(shí)現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)流量控制。首先對(duì)兩路由器進(jìn)行基本配置，實(shí)現(xiàn)三個(gè)網(wǎng)段相互訪問(wèn)；然后對(duì)離控制源地址較近的路由器RouterA配置IP擴(kuò)展訪問(wèn)控制列表，不允許網(wǎng)段（學(xué)生宿舍）主機(jī)發(fā)出的去192.168.

15、3.0網(wǎng)段的FTP數(shù)據(jù)包通過(guò)，允許網(wǎng)段主機(jī)發(fā)出的其它服務(wù)數(shù)據(jù)包通過(guò)，最后將這一策略加到路由器RouterA的Fa 0端口 ，如圖所示 。根據(jù)相應(yīng)的圖畫(huà)出拓?fù)鋱D：第1步：基本配置路由器RouterA：R enableR #configure terminalR(config)#hostname RouterARouterA (config)# line vty 0 4 RouterA (config-line)#loginRouterA (config-line)#password 100RouterA (config-line)#exitRouterA (config)#

16、 enable password 100RouterA (config)#interface fastethernet 0/0 RouterA (config-if)#ip address RouterA (config-if)#no shutdownRouterA (config-if)#ExitRouterA (config)#interface s0/3/0 RouterA (config-if)#ip address RouterA (config-if)#no shutdownRou

17、terA (config-if)#ExitRouterA (config)#interface fastethernet 0/1 RouterA (config-if)#ip address RouterA (config-if)#no shutdownRouterA (config-if)#ExitRouterA (config)#ip route 路由器RouterB：R enableR #configure terminalR(config)#hostname R

18、outerBRouterB (config)# line vty 0 4 RouterB (config-line)#loginRouterB (config-line)#password 100RouterB (config-line)#exitRouterB (config)# enable password 100RouterB (config)#interface f 0/0 RouterB (config-if)#ip address RouterB (config-if)#no shutdownRouterB (config-if)

19、#ExitRouterB (config)#interface s0/1 RouterB (config-if)#ip address RouterB (config-if)#no shutdownRouterB (config-if)#ExitRouterB (config)#ip route RouterB (config)#ip route 第2步：在路由器RouterA上配置IP擴(kuò)展訪

20、問(wèn)控制列表 拒絕來(lái)自 網(wǎng)段去網(wǎng)段的FTP流量通過(guò)RouterA (config)#access-list 101 deny TCP 55 55 eq FTP 還可以控制某一些端口的出入允許其它服務(wù)的流量通過(guò) RouterA (config)#access-list 101 permit IP any any 驗(yàn)證測(cè)試 RouterA #show access-list 101第3步： 把訪問(wèn)控制列表應(yīng)用在路由器RouterA的Fa 0/0接口輸入方向上。 RouterA(config)#interface fastethernet 0/0 RouterA (config-if)#ip access-group 101 in第4步：分別配置FTP和Web服務(wù)器FTP服務(wù)器Web服務(wù)器第5步：驗(yàn)證測(cè)試 在PC1主機(jī)的命令提示符下Ping 0，能Ping通。但是發(fā)送FTP 包就不能通，如下圖： PC2五、總結(jié)：l 本次實(shí)驗(yàn)難度不大，主要小心一下端口的配置，還有一些IP訪問(wèn)的規(guī)則就行了。l WEB服務(wù)器配置時(shí)，要自己去定義發(fā)送FTP 數(shù)據(jù)包，這樣才能測(cè)試到結(jié)果。l RouterA (config)# line vty 0 4 l