20100807实训一路由协议与访问控制列表.docVIP

实训一 路由协议与访问控制列表 实验目的 实现路由器中的防火墙设置 实验环境 CISCO2514路由器2台，1912交换机4台；PC机若干 实验规划：设备连接接口的IP设置（略） 实验拓扑 实验步骤： 配置PC的IP地址； 配置路由器：接口；启动路由协议； 建立访问控制列表：ACL ACL（access control list）：防火墙 分两大类：标准/扩展ACL 标准访问控制列表中，控制是IP数据分组中的源IP（可以是IP地址，例如某台主机，也可以是网络号，例如控制一个网络） 重点内容： 1、是路由器中数据的进(in)路由和出(out)路由。 这个in或out是站在路由器的角度上说。 因于路由器的接口是网卡，工作全双工状态。 网络安全策略： 策略一：除了允许的，其它都是禁止的； 策略二：除了禁止的，其它都是允许的。 在路由器中，都可用。 在路由器中做访问控制时，原则的就近！ 2、编制ACL：网络设备编程 ACL要在路由器的配置模式 CISCO(config)#；HUAWEI( [HUAWEI] )下编程；静态的。 ACL是在接口中发挥作用。程序的执行是在接口上。 实现方法： 实现场景：允许lan1和lan2之间互访问(不用考虑)；lan1不能访问外网；lan2可以访问外网。 命令的语法： (config)# ?access-list [#] [permit | deny] [source-address | keyword any] [source mask] 命令语句 [程序名] 标准ACL：1-99 扩展ACL：100-199 [permit | deny]：允许 | 禁止 [source-address | keyword any]:源地址（或是IP或是网络号） [source mask]:网络通配符 写法一： (config)#access-list 1 deny 20.0.0.0 0.0.0.255 (config)#access-list 1 permit any //推荐:显示表示 写法二： (config)# access-list 2 deny 20.0.0.0 0.0.0.255 写法三： (config)#access-list 3 permit 30.0.0.0 0.0.0.255 (config)#access-list 3 deny any //推荐:明确表示 写法四： (config)#access-list 4 permit 30.0.0.0 0.0.0.255 启动ACL： (config)#int s0 语法： (config-if)# ip access-group [access-list-number] [in | out] 命令语句 程序名 进|出 (config-if)#ip access-group 1 out ACL语句发挥作用的顺序： (config)# access-list 2 deny 20.0.0.0 0.0.0.255 (config)# access-list 2 permit 50.0.0.0 0.0.0.255 (config)# access-list 2 permit 60.0.0.0 0.0.0.255 (config)# access-list 2 permit any 路由器在执行ACL中语句时，每次是执行按顺序符合条件的第一条语句，其它的语句不执行。 20.0.0.0 50.0.0.0 80.0.0.0 40.0.0.0 加一条拒绝40.0.0.0的语句： (config)#no access-list 2 permit any (config)# access-list 2 deny 40.0.0.0 0.0.0.255 (config)# access-list 2 permit any (config)#no access-list 2 permit 60.0.0.0 0.0.0.255