ACL IP访问控制列表配置实验.docx
- 文档编号:20099111
- 上传时间:2023-04-24
- 格式:DOCX
- 页数:14
- 大小:310.87KB
ACL IP访问控制列表配置实验.docx
《ACL IP访问控制列表配置实验.docx》由会员分享,可在线阅读,更多相关《ACL IP访问控制列表配置实验.docx(14页珍藏版)》请在冰豆网上搜索。
ACLIP访问控制列表配置实验
IP访问控制列表配置
目录:
▲表示重要的
一、IP标准访问控制列表的建立及应用
工作任务
你是学校网络管理员,学校的财务处、教师办公室和校办企业财务科分属不同的3个网段,三个部门之间通过路由器进行信息传递,为了安全起见,学校领导要求你对网络的数据流量进行控制,实现校办企业财务科的主机可以访问财务处的主机,但是教师办公室主机不能访问财务处主机。
首先对两路由器进行基本配置,实现三个网段可以相互访问;然后对距离控制目的地址较近的路由器RouterB配置IP标准访问控制列表,允许192.168.1.0网段(校办企业财务科)主机发出的数据包通过,不允许192.168.2.0网段(教师办公室)主机发出的数据包通过,最后将这一策略加到路由器RouterB的Fa0端口,如图所示。
第1步:
基本配置
路由器RouterA:
R>enable
R#configureterminal
R(config)#hostnameRouterA
RouterA(config)#linevty04
VTY是路由器的远程登陆的虚拟端口,04表示可以同时打开5个会话,linevty04是进入VTY端口,对VTY端口进行配置,比如说配置密码,
RouterA(config-line)#login
RouterA(config-line)#password100
RouterA(config-line)#exit
RouterA(config)#enablepassword100
RouterA(config)#interfacefastethernet0/0
RouterA(config-if)#ipaddress192.168.1.1255.255.255.0
RouterA(config-if)#noshutdown
RouterA(config-if)#Exit
RouterA(config)#interfaces0/3/0
RouterA(config-if)#ipaddress192.168.12.1255.255.255.0
RouterA(config-if)#noshutdown
RouterA(config-if)#Exit
RouterA(config)#interfaces0/3/0
RouterA(config-if)#ipaddress192.168.2.1255.255.255.0
RouterA(config-if)#noshutdown
RouterA(config-if)#Exit
RouterA(config)#iproute192.168.3.0255.255.255.0192.166.12.2
路由器RouterB:
R>enable
R#configureterminal
R(config)#hostnameRouterB
RouterB(config)#linevty04
RouterB(config-line)#login
RouterB(config-line)#password100
RouterB(config-line)#exit
RouterB(config)#enablepassword100
RouterB(config)#interfacefastethernet0/0
RouterB(config-if)#ipaddress192.168.3.1255.255.255.0
RouterB(config-if)#noshutdown
RouterB(config-if)#Exit
RouterB(config)#interfaces0/3/1
RouterB(config-if)#ipaddress192.168.12.2255.255.255.0
RouterB(config-if)#noshutdown
RouterB(config-if)#Exit
RouterB(config)#iproute192.168.1.0255.255.255.0192.166.12.1
RouterB(config)#iproute192.168.2.0255.255.255.0192.166.12.1
第2步:
▲在路由器RouterB上配置IP标准访问控制列表
RouterB(config)#access-list1deny192.168.2.00.0.0.255
RouterB(config)#access-list1permit192.168.1.00.0.0.255
RouterB#showaccess-list1
第3步:
▲应用在路由器RouterB的Fa0/0接口输出方向上
RouterB(config)#interfacefastethernet0/0
RouterB(config-if)#ipaccess-group1out
验证测试
RouterB#showipinterfacefastethernet0/0
第4步:
▲验证测试
在校企主机的命令提示符下Ping192.168.3.10,能Ping通。
在老师办公室主机的命令提示符下Ping192.168.3.10,不能Ping通。
第二:
任务如图所示,
首先对交换机进行基本配置,实现三个网段可以相互访问;然后对交换机配置IP标准访问控制列表,允许192.168.1.0网段(校企财务科)主机发出的数据包通过,不允许192.168.2.0网段(教师办公室)主机发出的数据包通过,最后将这一策略加到交换机VLAN30的SVI端口输出方向上。
根据拓扑图:
第1步:
交换机的基本配置
Switch#configureterminal
Switch(config)#hostnames3550
Switch(conifg)#iprouting
Switch(conifg)#vlan10
Switch(config-vlan)#exit
Switch(conifg)#vlan20
Switch(config-vlan)#exit
Switch(conifg)#interfacefastethernet0/1
Switch(conifg-if)#switchportmodeaccess
Switch(conifg-if)#switchportaccessvlan10
Switch(conifg-if)#exit
Switch(conifg)#interfacefastethernet0/6
Switch(conifg-if)#switchportmodeaccess
Switch(conifg-if)#switchportaccessvlan20
Switch(config-vlan)#exit
Switch(conifg)#interfacefastethernet0/20
Switch(conifg-if)#switchportmodeaccess
Switch(conifg-if)#switchportaccessvlan30
Switch(config-vlan)#exit
Switch(conifg)#
Switch(config)#interfacevlan10
Switch(conifg-if)#ipaddress192.168.1.1255.255.255.0
Switch(conifg-if)#noshutdown
Switch(conifg-if)#exit
Switch(config)#interfacevlan20
Switch(conifg-if)#ipaddress192.168.2.1255.255.255.0
Switch(conifg-if)#noshutdown
Switch(conifg-if)#exit
Switch(config)#interfacevlan30
Switch(conifg-if)#ipaddress192.168.3.1255.255.255.0
Switch(conifg-if)#noshutdown
Switch(conifg-if)#end
Switch#
查看三层交换机的路由表
Switch#showiproute
第2步:
▲配置命名IP标准访问控制列表
Switch(config)#ipaccess-liststandardABC
既可以列表好,也可以直接名字就可以了
Switch(config-std-nacl)#deny192.168.2.00.0.0.255
Switch(config-std-nacl)#permit192.168.1.00.0.0.255
Switch(config-std-nacl)#exit
Switch(config)#interfacevlan30
Switch(config-if)#ipaccess-groupABCout
验证测试
Switch#showipinterfacevlan30
第3步:
▲验证测试
在PC1主机的命令提示符下Ping192.168.3.10,能Ping通。
在PC2主机的命令提示符下Ping192.168.3.10,不能Ping通。
二、IP【扩展访问控制列表】的建立及应用
工作任务
你是学校网络管理员,学校的网管中心分别架设FTP、Web服务器,其中FTP服务器供教师专用,学生不可使用;
Web服务器教师和学生都可访问。
FTP及Web服务器、教师办公室和学生宿舍分属不同的3个网段,三个网段之间通过路由器进行信息传递,要求你对路由器进行适当设置实现网络数据流量控制。
首先对两路由器进行基本配置,实现三个网段相互访问;然后对离控制源地址较近的路由器RouterA配置IP扩展访问控制列表,不允许192.168.1.0网段(学生宿舍)主机发出的去192.168.3.0网段的FTP数据包通过,允许192.168.1.0网段主机发出的其它服务数据包通过,最后将这一策略加到路由器RouterA的Fa0端口,如图所示。
根据相应的图画出拓扑图:
第1步:
基本配置
路由器RouterA:
R>enable
R#configureterminal
R(config)#hostnameRouterA
RouterA(config)#linevty04
RouterA(config-line)#login
RouterA(config-line)#password100
RouterA(config-line)#exit
RouterA(config)#enablepassword100
RouterA(config)#interfacefastethernet0/0
RouterA(config-if)#ipaddress192.168.1.1255.255.255.0
RouterA(config-if)#noshutdown
RouterA(config-if)#Exit
RouterA(config)#interfaces0/3/0
RouterA(config-if)#ipaddress192.168.12.1255.255.255.0
RouterA(config-if)#noshutdown
RouterA(config-if)#Exit
RouterA(config)#interfacefastethernet0/1
RouterA(config-if)#ipaddress192.168.2.1255.255.255.0
RouterA(config-if)#noshutdown
RouterA(config-if)#Exit
RouterA(config)#iproute192.168.3.0255.255.255.0192.166.12.2
路由器RouterB:
R>enable
R#configureterminal
R(config)#hostnameRouterB
RouterB(config)#linevty04
RouterB(config-line)#login
RouterB(config-line)#password100
RouterB(config-line)#exit
RouterB(config)#enablepassword100
RouterB(config)#interfacef0/0
RouterB(config-if)#ipaddress192.168.3.1255.255.255.0
RouterB(config-if)#noshutdown
RouterB(config-if)#Exit
RouterB(config)#interfaces0/1
RouterB(config-if)#ipaddress192.168.12.2255.255.255.0
RouterB(config-if)#noshutdown
RouterB(config-if)#Exit
RouterB(config)#iproute192.168.1.0255.255.255.0192.166.12.1
RouterB(config)#iproute192.168.2.0255.255.255.0192.166.12.1
第2步:
▲在路由器RouterA上配置IP扩展访问控制列表
▲拒绝来自192.168.1.0网段去192.168.3.0网段的FTP流量通过
RouterA(config)#access-list101denyTCP192.168.1.00.0.0.255192.168.3.00.0.0.255eqFTP
▲还可以控制某一些端口的出入
允许其它服务的流量通过
RouterA(config)#access-list101permitIPanyany
验证测试
RouterA#showaccess-list101
第3步:
把访问控制列表应用在路由器RouterA的Fa0/0接口输入方向上。
RouterA(config)#interfacefastethernet0/0
RouterA(config-if)#ipaccess-group101in
第4步:
分别配置FTP和Web服务器
FTP服务器
Web服务器
第5步:
验证测试
在PC1主机的命令提示符下Ping192.168.3.10,能Ping通。
但是发送FTP包就不能通,如下图:
PC2
五、▲总结:
●本次实验难度不大,主要小心一下端口的配置,还有一些IP访问的规则就行了。
●WEB服务器配置时,要自己去定义发送FTP数据包,这样才能测试到结果。
●RouterA(config)#linevty04
●VTY是路由器的远程登陆的虚拟端口,04表示可以同时打开5个会话,linevty04是进入VTY端口,对VTY端口进行配置,比如说配置密码
●RouterB(config)#interfacefastethernet0/0
RouterB(config-if)#ipaccess-group1out
列表1所定义的条件应用到从本路由器禁止从此接口出去
●RouterA(config-line)#login
RouterA(config-line)#password100
RouterA(config-line)#exit
RouterA(config)#enablepassword100
●配置进入路由器配置需要密码:
而且不显示的
●▲易发生错误的是:
交换机要启动路由协议
Switch(conifg)#iprouting
●RouterA(config)#access-list101denyTCP192.168.1.00.0.0.255192.168.3.00.0.0.255eqFTP
●▲把访问控制列表应用在路由器RouterA的Fa0/0接口输入方向上。
RouterA(config)#interfacefastethernet0/0
RouterA(config-if)#ipaccess-group101in
●▲in和out都是对端口而言的。
in表示进站,从外到内的进入端口的数据方向。
一般是接收。
【进入端口的数据方向】
out表示出站,从内到外离开端口的数据方向。
一般是发送。
【离开端口的数据方向】
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- ACL IP访问控制列表配置实验 IP 访问 控制 列表 配置 实验