《网络设备安装与调试》项目实训.ppt

图12.4　路由器IP扩展访问控制列表 第1步：基本配置 路由器RouterA： Renable R#configure terminal R(config)#hostname RouterA RouterA (config)# line vty 0 4 RouterA (config-line)#login RouterA (config-line)#password 100 RouterA (config-line)#exit RouterA (config)# enable password 100 RouterA (config)#interface fastethernet 0 RouterA (config-if)#ip address RouterA (config-if)#no shutdown RouterA (config-if)#Exit RouterA (config)#interface fastethernet 1 RouterA (config-if)#ip address RouterA (config-if)#no shutdown RouterA (config-if)#Exit RouterA (config)#interface fastethernet 2 RouterA (config-if)#ip address RouterA (config-if)#no shutdown RouterA (config-if)#Exit RouterA (config)#ip route 路由器RouterB同理配置 第2步：在路由器RouterA上配置IP扩展访问控制列表 拒绝来自 网段去网段的FTP流量通过 RouterA (config)#access-list 101 deny TCP 55 55 eq FTP 允许其它服务的流量通过 RouterA (config)#access-list 101 permit IP any any 验证测试 RouterA #show access-list 101 第3步：把访问控制列表应用在路由器RouterA的Fa 0接口输入方向上。 RouterA(config)#interface fastethernet 0 RouterA (config-if)#ip access-group 101 in 4. 相关理论知识 □编号扩展访问控制列表 　 扩展编号访问控制列表同标准编号访问控制列表一样也是在路由器上创建的，其编号范围为100到199之间。扩展IP访问控制列表可以基于数据包源IP地址、目的IP地址、协议及端口号等信息来过滤流量。 □配置编号扩展访问控制列表 R(config)#access-list listnumber { permit | deny } protocol source source-wildcard-mask destination destination-wildcard-mask [ operator operand ] 其中： Listnumber：规则序号，范围为100-199。 Permit/deny：允许/或禁止满足该规则的数据包通过 。 protocol ：0-255之间协议号，也可用协议名（如IP、TCP和UDP。 operator operand ：用于指定端口范围，缺省为全部端口号0-65535，只有 TCP 和 UDP 协议需要指定端口范围。 【例12.8】 在路由器R上配置访问控制列表，实现只允许从网段的主机向网段的主机发送WWW报文，禁止其它报文通过。 R(config)#Access-list 100 permit tcp 55 55 eq www R(config)#interface fastethernet 0 R(config-if )#ip access-group 100 in R#show access-lists □ 命名扩展访问控制列表 第1步：用名字来定义一个命名扩展访问控制表，并进入扩展访问控制列表配置模式 Switch(config)#ip access-list　extended {name} witch(config-ext-nacl)# 第2步：定义访问控制列表条件 Switch(config-ext-nacl)#{deny|permit} protocol {source source-wildcard|host source |any}[operator port] {destination destination-wildcard|host destination|any}[