计算机网络实验7-8.docVIP

实验七ACL(访问控制列表)

[实验拓扑]

10.10.10.10/24R1R210.20.20.20/24

lo0s0/0s0/0lo0

10.2.3.1./24

10.2.1.1/24f0/010.2.3.2/24f0/010.2.2.1/24

Host1Host2

10.2.1.3/2410.2.2.3/24

实验设备：路由器2台，PC机2台，网线，串行线

[实验内容]

数据包过滤有助于控制通过网络的数据包传输，这种控制能够帮助限制网络数据流和限

制某些用户或设备对网络的使用。访问控制列表ACL是为了允许或拒绝数据包穿过规定的路由器接口，是应用在IP地址或IP上层协议的允许和拒绝条件的一个有序的集合。

按照拓扑图搭好拓扑，配好所有设备的ip地址；在每个路由器上配一个环回地址

loopback0口，做检验用；启动路由协议RIP协议，使得整个网络畅通，要求Hostl和Host2

互相能telnet上对方。

配置环回地址

在Cisco路由器中，提供环回地址配置功能，允许定义环回口（loopbackinterface）。所有采用环回地址作为目标地址的数据包将被从发送队列转移到输入队列，也就是说又回到本身。例如我们经常使用127.0.0.1标志本机，并常用localhost取代127.0.0.1这个地址。

Cisco路由器中环回接口的配置和其他接口相同，例如对于上图中左边的路由器来说，环回接口可配置如下：

R1(config)#intloopback0

R1(config-if)#ipaddress10.10.10.10255.255.255.255

R1(config-if)#noshut

然后配置相应的到达R2各网段的路由即可,例如:

R1(config)#iproute10.20.20.0255.255.255.010.2.3.2

1、标准ACL

(1)禁止单一的主机

实现目标：禁止两台主机的互相访问。

实现方法：分别在两台路由器的f0/0口的出方向上绑定ACL。

从R2上telnet上R1，对R1进行配置：

R1(config)#access-listldenyhostl0.2.2.3log

R1(config)#access-listlpermitany

RI(config)#intf0/0

Rl(config-if)#ipaccess-grouplout

从R1上telnet上R2，对R2进行配置：

R2(config)#access-listldenyhostl0.2.1.3log

R2(config)#access-list1permitany

R2(config)#intf0/0

R2(config-if)#ipaccess-grouplOut

检验配置：

在各路由器上

showaccess-list1／显示访问控制列表的所有条目

showrun

showipintf0/0／显示端口上绑定ACL的情况

exit ／退出telnet

Hostl上的检验：

l、从Hostl上pingl0.2.2.3，结果返回“目标网段不可达”的信息；

2、在R1上用扩展ping命令，源地址用10.2.1.1(f0/0口的IP)，同样ping10.2.2.3，结果是ping通的。

Host2上的检验：

1、从Host2上pingl0.2.1.3，结果返回“目标网段不可达”的信息：

2、在R2上用扩展ping命令，源地址用10.2.2.1(f0/0口的IP)，同样ping10.2.1.3，结果是ping通的。

由于用了log参数，在路由器的控制台上显示有关匹配ACL的数据包的信息性记录消息：

list1denied10.2.1.38packets

最后在R1和R2上都取消f0/0口上的ACL绑定：

R1(config)#intf0/0

R1(config-if)#noipaccess-grouplout

(2)禁止整个以太网段

实现目标：禁止R1的以太网段对Host2的访问、R2的以太网段对Hostl的访问

实现方法：分别在