试验五访问控制列表.docVIP

实验五： 访问控制列表 实验目的 理解访问列表的一般用途 熟悉配置标准访问列表的语法 熟悉配置扩展访问列表的语法 针对网络中的不同位置配置标准的和扩展的访问控制列表 通过相关命令验证配置的正确性 实验内容 配置标准访问控制列表 配置扩展访问控制列表 实验设备 路由器：思科2611 2811 计算机两台 实验步骤 配置标准访问控制列表 实验Top图： 图5.1 IP地址规划如下： R1：注意R1连接R2 的是S1/0接口，接PC1的是F0/0接口 S1/0 : 2.1.1.1 /24 F0/0 : 1.1.1.1/24（gateway） PC1 : 1.1.1.2/24 R2: S1/0: 2.1.1.2/24 F0/0: 3.1.1.1/24 (gateway) PC2: 3.1.1.2/24 两个网段之间使用 OSPF 或则 RIPv1v2 使其通信，让 PC1 能够 ping 通 PC2，同样 PC2 也能够ping通PC1。 R1： Routeren Router#conf t Router(config)#hostname R1 R1(config)#interface fastEthernet 0/0 R1(config-if)#ip address 1.1.1.1 255.255.255.0 R1(config-if)#no sh R1(config-if)#exit R1(config)#interface serial 1/0 R1(config-if)#no sh R1(config-if)#ip address 2.1.1.1 255.255.255.0 配置路由器 1 的两个接口的 IP 地址，但是由于在这个拓扑中，R1 为 DCE 端，所以在 R1的S1/0口，需要配置上时钟频率，如下： 图5.2 通过PC2去 ping 1.1.1.1的结果为： 图5.3 现在，通过路由，两个主机头能够相互到达对端主机，现在，我们要通过 ACL（访问控制列表），来限制PC 之间不能相互发 ping的数据包，在路由器R2上，我们做如下配置， R2: R2#configure terminal R2(config)#access-list 1 deny host 1.1.1.2 R2(config)#access-list 1 permit any 在创建好了 ACL 规则后，我们要将规则运用到接口下，这里我们运用到 serial1/0 接口，进入S1/0接口， R2(config)#interface serial 1/0 R2(config-if)#ip access-group 1 in 图5.4 此时，返回信息为 Request time out，表示请求超时，这个表示已经不能 ping 通 3.1.1.1 了。那么通过PC2去 ping 1.1.1.1 会是什么结果呢？ 图5.5 为什么我们在R1上做的 ACL，在PC2 上ping PC1 也是超时呢？因为ping使用的ICMP协议是双向的，数据包要能够出去，也能够返回，ping才是成功的。 如果要让 PC1 不能 ping 通 PC2，但是能够访问 PC2 上共享的资源，那么，我们可以使用高级访问控制列表，ACL number 为：100-199，并且能够禁止协议，和一些其他的高级动作。 配置扩展访问控制列表 实验Top图： 图5.6 如果要让 PC1 不能 ping 通Server，但是能够访问 Server 上共享的资源，那么，我们可以使用高级访问控制列表，ACL number 为：100-199。 我们保持原路由器的接口配置信息，删除已经配置的标准访问控制列表，加入扩展访问控制列表。 在R1上设置扩展访问控制列表： R1(config)#access-list 101 deny icmp host 1.1.1.2 host 3.1.1.2 R1(config)#access-list 101 permit ip host 1.1.1.2 host 3.1.1.2 R1(config)#access-list 101 permit ip any any R1(config)#^Z R1(config)#int serial 1/0 R1(config-if)#ip access-group 101 out R1(config-if)#^Z 在PC1上ping 服务器server 图5.7 在PC1上访问WEB SERVER 图5.8 说明了PC1 不能 ping 通 PC2，但是能够访问 PC2 上共享的资源，完成了扩展访问控制列