Cisco Packet Tracer实验4：CISCO ACL 简单配置

实验4：CISCO ACL 简单配置一、实验目的1、了解ACL 配置方法；2、练习在已有网络上配置ACL 协议二、实验环境packet tracer 5.0三、ACL 介绍ACL(Access Control List，访问控制列表)，简单说就是包过滤，根据数据包的报头中的ip 地址、协议端口号等信息进行过滤。利用ACL 可以实现安全控制。编号：1-99 or 1300-1999(standard IP)，100-199 or 2000-2699(Extended IP)。ACL并不复杂，但在实际应用中的，要想恰当地应用ACL，必需要制定合理的策略。四、实验步骤：一、配置实例拓扑图配置DNS SERVER：配置HTTP SERVER：二、配置三个路由器：以Router0 为例，其它两个路由器相似：RouterRouterenable /进入特权配置模式Router#config t /进入全局配置模式Enter configuration commands, one per line. End with CNTL/Z.Router(config)#hostname yangyu-R0 /修改路由器名称yangyu-R0(config)#enable password yangyu /设置特权密码yangyu-R0(config)#LINE VTY 0 4yangyu-R0(config-line)#password yangyu /设置登陆密码yangyu-R0(config-line)#loginyangyu-R0(config-line)#endyangyu-R0#config tEnter configuration commands, one per line. End with CNTL/Z.yangyu-R0(config)#int fa 0/0 /配置FA0/0 端口yangyu-R0(config-if)#ip add 192.168.2.1 255.255.255.0yangyu-R0(config-if)#no shut /启用该端口yangyu-R0(config-if)#int s 1/0 /配置serial1/0 端口yangyu-R0(config-if)#ip add 172.17.1.1 255.255.255.0yangyu-R0(config-if)# clock rate 64000 /配置串行链路时钟yangyu-R0(config-if)#no shutyangyu-R0(config-if)#exityangyu-R0(config)#interface Serial1/1yangyu-R0(config-if)#ip address 172.16.1.1 255.255.255.0yangyu-R0(config-if)#clock rate 64000yangyu-R0(config-if)#no shutdownyangyu-R0(config-if)#exyangyu-R0(config)#router eigrp 24 /启用EIGRP 协议，区域号为24yangyu-R0(config-router)#network 192.168.2.0 /发布邻接网络yangyu-R0(config-router)#network 172.16.0.0yangyu-R0(config-router)#network 172.17.0.0yangyu-R0(config-router)#auto-summary /启用自动汇总yangyu-R0(config-router)#exR1，R2 的配置信息：R1：yangyu-R1#show ruyangyu-R1#show running-configBuilding configuration.Current configuration : 738 bytes!version 12.4no service password-encryption!hostname yangyu-R1!enable password yangyu!ip ssh version 1!interface FastEthernet0/0ip address 192.168.3.1 255.255.255.0duplex autospeed auto!interface FastEthernet0/1no ip addressduplex autospeed autoshutdown!interface Serial1/0ip address 172.17.1.2 255.255.255.0!interface Serial1/1ip address 172.18.1.1 255.255.255.0clock rate 64000!interface Serial1/2no ip addressshutdown!interface Serial1/3no ip addressshutdown!interface Vlan1no ip addressshutdown!router eigrp 24network 192.168.3.0network 172.17.0.0network 172.18.0.0auto-summary!ip classless!line con 0line vty 0 4password yangyulogin!EndR2：yangyu-R2#show runnBuilding configuration.Current configuration : 720 bytes!version 12.4no service password-encryption!hostname yangyu-R2!enable password yangyu!ip ssh version 1!interface FastEthernet0/0ip address 192.168.1.1 255.255.255.0duplex autospeed auto!interface FastEthernet0/1no ip addressduplex autospeed autoshutdown!interface Serial1/0ip address 172.18.1.2 255.255.255.0!interface Serial1/1ip address 172.16.1.2 255.255.255.0!interface Serial1/2no ip addressshutdown!interface Serial1/3no ip addressshutdown!interface Vlan1no ip addressshutdown!router eigrp 24network 192.168.1.0network 172.16.0.0network 172.18.0.0auto-summary!ip classless!line con 0line vty 0 4password yangyulogin!end三、配置简单的ACL、配置ACL 限制远程登录（telnet）到路由器的主机yangyu-R0#config tEnter configuration commands, one per line. End with CNTL/Z.yangyu-R0(config)#access-list 1 permit host 192.168.2.2 /路由器yangyu-R0只允许192.168.2.2 远程登录(telnet)yangyu-R0(config)#line vty 0 4yangyu-R0(config-line)#access-class 1 inyangyu-R0(config-line)#其它两个路由器也可依照上文配置。、配置ACL 禁止192.168.3.0/24 网段的icmp 协议数据包通向与192.168.1.0/24 网段yangyu-R2#config tEnter configuration commands, one per line. End with CNTL/Z.yangyu-R2(config)#access-list 101 deny icmp 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255/指定101 号规则，禁止源地址为192.168.3.0 访问192.168.1.0yangyu-R2(config)#access-list 101 permit ip any any /允许其他所有源地址访问所有目的地址yangyu-R2(config)#int fa0/0yangyu-R2(config-if)#ip access-group 101 out /在fa0/0 出方向上使用101 号规则yangyu-R2(config-if)#、配置ACL 禁止特点的协议端口通讯yangyu-R0#config tEnter configuration commands, one per line. End with CNTL/Z.yangyu-R0(config)#ip access-list extended ACL2 /创建基于名称的扩展ACLyangyu-R0(config-ext-nacl)#deny tcp host 192.168.2.2 192.168.1.0 0.0.0.255 eq 80 /禁止192.168.2.2 使用80 端口访问192.168.1.0yangyu-R0(config-ext-nacl)#deny udp host 192.168.2.3 192.168.1.0 0.0.0.255 eq 53yangyu-R0(config-ext-nacl)#permit ip any any /允许其他访问者yangyu-R0(config-ext-nacl)#exityangyu-R0(config)#int fa 0/0yangyu-R0(config-if)#ip access-group acl2 in /入方向上使用规则2yangyu-R0(config-if)#exyangyu-R0(config)#三、验证ACL 规则：配置主机IP：PC0：192.168.2.2PC1：192.168.2.3PC2：192.168.3.2PC3：192.168.3.3通过TELNET 登录路由器：PC0:PC1：网段192.168.3.0 的ICMP 包不能访问网段192.168.1.0，但可以访问192.168.1.1：四检验、查看ACLyangyu-R0#show access-listsExtended IP access list ACL2deny tcp host 192.168.2.2 192.168.1.0 0.0.0.255 eq wwwdeny udp host 192.168.2.3 192.168.1.0 0.0.0.255 eq domainpermit ip any anyyangyu-R0#show ip access-list acl2Extended IP access list acl2deny tcp host 192.168.2.2 192.168.1.0 0.0.0.255 eq wwwdeny udp host 192.168.2.3 192.168.1.0 0.0.0.255 eq domainpermit ip any anyyangyu-R2#show ip access-listsExtended IP access list 101deny icmp 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255 (4 match(es)permit ip any any (14 match(es)