ACL实验手册.docVIP

实验八、ACL实验 实验要求： 掌握标准ACL、扩展ACL的配置方法。 掌握命名ACL的配置方法。 掌握访问控制列表配置中established参数的作用。 掌握在命名访问控制列表中插入一条规则或删除一条规则的方法。 理解反射访问控制列表配置方法。 理解动态ACL的配置方法。 实验拓扑： 根据实验要求，实验拓扑如图8-1所示。 图8-1 ACL实验拓扑 实验步骤： 根据实验拓扑，对路由器各接口配置IP地址。注：对loopback接口配IP时每个loopback接口配一个IP，即在R1和R3中各启用4个loopback接口（lo1-lo4）。 在各路由器上配置EIGRP协议，关闭自动汇总，使整个网络连通。注：区域号使用自己的学号。 配置标准访问控制列表，使172.16.1.0/24这个子网无法访问R3上的网络。 参考命令： R2(config)#access-list 10 deny 172.16.1.0 0.0.0.255 注：acl编号修改为自己学号后两位 R2(config)#access-list 10 permit any R2(config)#interface f0/0 R2(config-if)#ip access-group 10 out 注：acl编号修改为自己学号后两位 问题1：配置后在R1上直接ping 130.130.1.3，能否ping通？为什么？ 问题2：使用扩展ping，用172.16.1.1做源地址，能否ping通？ 参考命令R1#ping 130.130.1.3 source 172.16.1.1 配置扩展访问控制列表，实现允许172.16.2.0子网telnet到130.130.0.0，不允许其他子网的用户telnet到130.130.0.0，同时不能妨碍其他网络数据的传递。 参考命令： 在R3中配置，允许其他主机telnet R3(config)#username xcu password cisco 注：用户名改为自己的姓，密码自己的名字 R3(config)#line vty 0 3 R3(config-line)#login local 在R2中创建扩展访问控制列表 注：acl编号修改为自己学号后两位+100 R2(config)#access-list 100 permit tcp 172.16.2.0 0.0.0.255 130.130.0.0 0.0.255.255 eq 23 R2(config)#access-list 100 deny tcp any 130.130.0.0 0.0.255.255 eq 23 R2(config)#access-list 100 permit ip any any R2(config)#int f0/1 注：在这里选择接口f0/1更接近源 R2(config-if)#ip access-group 100 in 注：acl编号修改为自己学号后两位+100 问题3：在R1上telnet 130.130.2.3，以172.16.2.1作为源地址，能否登陆？如果以172.16.3.1或172.16.4.1为源地址，能否登陆？ 参考命令： R1#telnet 130.130.1.3 /source-interface lo2 注：参数的作用就是以loopback2作为源地址 R1#telnet 130.130.1.3 /source-interface lo3 5、配置命名访问控制列表，实现172.16.0.0能够telnet 130.130.0.0，而130.130.0.0无法telnet到172.16.0.0。 参考命令： 首先，参照步骤4，在R1中实现远程登录功能。 在R2中创建命名访问控制列表 R2(config)#ip access-list extended r1tor3 注：r1tor3修改为自己的姓名 R2(config-ext-nacl)#permit tcp 130.130.0.0 0.0.255.255 172.16.0.0 0.0.255.255 established R2(config-ext-nacl)#deny tcp 130.130.0.0 0.0.255.255 172.16.0.0 0.0.255.255 R2(config-ext-nacl)#permit ip any any R2(config)#int f0/0 R2(config-if)#ip access-group r1tor3 in 注：