任务标准命名式ACL和扩展命名式ACL的应用.ppt

任务2 3 标准命名式ACL和扩展命名式ACL的应用 任务目标 掌握标准命名式ACL和扩展命名式ACL的配置 实训内容 通过在R2811上配置标准命名式ACL或扩展命名式ACL 使得 拒绝201 0 0 0上的所有主机访问PCa和PCb 允许网络201 0 1 0向PCa PCb发出的ftp流量 同时拒绝其它所有的流量 实训网络拓扑 图2 3 1实训网络拓扑示意图 实训指导 配置R2811 Router 用户模式Router enable 进入特权模式Router configureterminal 进入全局模式Router config hostnameR2811 重命名R2811 config interfacefastethernet0 0 进入端口fa0 0R2811 config if ipaddress201 0 0 1255 255 255 0 为该端口配置管理地址R2811 config if noshutdown 开启端口 R2811 config if interfacefastethernet0 1 进入端口0 1R2811 config if ipaddress201 0 1 1255 255 255 0 为该端口配置管理地址R2811 config if noshutdown 开启端口R2811 config if interfacefastethernet1 0 进入端口1 0R2811 config if ipaddress192 168 0 1255 255 255 0 为该端口配置管理地址R2811 config if noshutdown 开启端口 在配置标准命名式ACL前 PCc能够ping通 浏览以及ftp到PCa PCb PCd能够ping通 浏览以及ftp到PCa PCb 图2 3 2PCcping通PCa PCb 图2 3 3PCc浏览PCa服务器 图2 3 4PCc浏览PCb服务器 图2 3 5PCcftp到PCa PCb 图2 3 6PCdping通PCa PCb 图2 3 7PCd浏览PCa服务器 图2 3 8PCd浏览PCb服务器 图2 3 9PCdftp到PCa PCb 拒绝201 0 0 0上的所有主机访问PCa和PCbR2811 config if exit 退到全局模式R2811 config ipaccess liststandarddenyftp 创建一条命名式标准ACLdenyftpR2811 config std nacl deny201 0 0 00 0 0 255 拒绝所有来自201 0 0 0网络的流量R2811 config std nacl permitany 允许其它所有网络 R2811 config std nacl exit 退到全局模式R2811 config interfacefastethernet1 0 进入到端口1 0R2811 config if ipaccess groupdenyftpout 将命名式标准ACLdenyftp应用到fastethernet1 0的出方向R2811 config if exit 退到全局模式 进行上述配置后 发现PCcping不通PCa PCb PCc浏览不了PCa PCb PCctelnet不到PCa PCb 图2 3 10PCcping不通PCa PCb 图2 3 11PCc不能浏览PCa服务器 图2 3 12PCc不能浏览PCb服务器 图2 3 13PCc不能telnet到PCa PCb 允许网络201 0 1 0向PCa PCb发出的ftp流量 同时拒绝其它所有的流量 R2811 config ipaccess listextendedallowftp 创建一条命名式扩展ACLallowftpR2811 config ext nacl permittcp201 0 1 00 0 0 255host192 168 0 2eqftp 允许网络201 0 1 0向主机PCa发出的ftp流量R2811 config ext nacl permittcp201 0 1 00 0 0 255host192 168 0 3eqftp 允许网络201 0 1 0向主机PCb发出的ftp流量 R2811 config ext nacl denyipanyany 拒绝其它所有的流量R2811 config ext nacl exit 退到全局模式R2811 config interfacefastethernet0 1 进到端口fa0 1R2811 config if ipaccess groupallowftpin 将命名式扩展ACLallowftp应用到fa0 1的入方向 进行上述配置后 发现PCdping不通PCa PCb 并且不能浏览PCa PCb 但是仍然可以telnet到PCa PCb 图2 3 14PCdping不通PCa PCb 图2 3 15PCd不能浏览PCa服务器 图2 3 16PCd不能浏览PCb服务器