思科访问控制列表实验案例.docVIP

思科访问控制列表实验案例 1. 配置路由器到网络各点可通? ? 网络如图，动态路由已设好，IP地址分配如下：RouterA f0/0: 10.65.1.2RouterA f0/1: 10.66.1.2RouterA s0/1: 10.68.1.2RouterC s0/0: 10.68.1.1RouterC s0/1: 10.78.1.2RouterB s0/0: 10.78.1.1RouterB s0/1: 10.69.1.2RouterB f0/0: 10.70.1.2SWA:10.65.1.8 gateway:10.65.1.2PCA:10.65.1.1 gateway:10.65.1.2PCB:10.66.1.1 gateway:10.66.1.2PCC:10.69.1.1 gateway:10.69.1.2PCD:10.70.1.1 gateway:10.70.1.2PCE:10.65.1.3 gateway:10.65.1.2PCF:10.65.2.1 gateway:10.65.1.22. 基本的访问控制列表： 先从PCA ping PCD:[root@PCA @root]#ping 10.70.1.1 通 在ROC的s0/0写一个输入的访问控制列表：RouterC config #access-lilt 1 permit 10.65.1.1 0.0.0.0RouterC config #access-list 1 deny anyRouterC config #int s0/0RouterC config-if #ip access-group 1 inRouterC config-if #endRouterC#sh access-list 1[root@PCA @root]#ping 10.70.1.1 通 [root@PCE @root]#ping 10.70.1.1 不通 [root@PCE @root]#ping 10.66.1.1 通 [root@PCB @root]#ping 10.70.1.1 不通 [root@PCD @root]#ping 10.66.1.1 通 第一个ping，PCA的IP地址是10.65.1.1在访问控制列表access-list 1中是允许的，所以通。 第二个ping,PCE虽然是65网段，但是access-list 1对10.65.1.1是完全匹配，所以10.65.1.3的数据包不能通过。 第三个ping,PCE到PCB不通过RouterC的s0/0,所以能通。 第四个ping,PCB的IP地址是10.66.1.1，它是被禁止的,所以不通。 第五个ping,从PCD到PCB的数据包是从RouterC的s0/0口出，不受access-list 1的控制，所以通。 下面再写一个访问控制列表，先删除原访问控制列表：RouterC config #no access-lilt 1RouterC config-if #no ip access-group 1 in 二者都可能实现去掉访问列表的目的。前者是从列表号角度删除，后者是从接口的输入和输出角度删除。 可以通过sh access-list 命令查看访问控制列表。 下面再写一个访问控制列表：RouterC config #access-lilt 2 deny 10.65.1.1 0.0.0.255RouterC config #access-list 2 permit anyRouterC config #int s0/0RouterC config-if #ip access-group 1 outRouterC config-if #endRouterC#sh access-list 1 这个访问控制列表比上一个访问控制列表有以下几点不同： 1 先deny后permit， 2 禁止的是一个C类 3 一个输出的访问控制[root@PCA @root]#ping 10.69.1.1 不通 [root@PCE @root]#ping 10.69.1.1 不通 [root@PCF @root]#ping 10.69.1.1 通 [root@PCB @root]#ping 10.69.1.1 通 因为PCA和PCE的IP地址10.65.1.1、10.65.1.3,在deny范围内，所以不通。而PCF的IP是10.65.2.1不在10.65.1.0 0.0.0.255范围内，所以能通。3.梯形基本访问控制列表 访问控制列表一般是顺序匹配的，梯形结构，下面是一个参考：RouterC config #access-