计算机网络——访问控制列表

一、 实验目的

1、理解访问控制列表的基本工作原理；
2、掌握标准 IP 访问控制列表的原理及其配置方法；
3、掌握扩展 IP 访问控制列表的原理及其配置方法；

二、实验仪器设备

Cisco 路由器、PC 机、直通双绞线、交叉双绞线、Cisco 配置线缆等。实验内容

三、实验过程

设置PC1、PC2、PC3、PC4的ip地址：
PC1：10.1.1.25 255.255.255.0 10.1.1.1
PC2：10.1.2.25 255.255.255.0 10.1.2.1
PC3：10.1.3.25 255.255.255.0 10.1.3.1
PC3：10.1.4.25 255.255.255.0 10.1.4.1





路由器1接口配置:



路由器2接口配置:

测试PC1pingPC2：

测试PC1pingPC4：

ACL配置：


PC1pingPC3：

PC1pingPC4：

PC3pingPC1：

PC4pingPC3：

思考：

（1） 为什么 PC1 和 PC2 到 PC3 不可达？
PC1和PC2的数据包都能通过路由器2顺利到达PC3，但是路由器2对于从PC3发过来的数据包直接丢掉，导致PC1 和 PC2 到 PC3 不可达

（2） PC1 或 PC2 发送到 PC3 的数据包在什么时间在什么地方丢失？
在数据包从PC3返回的时候丢失，在路由器2的0/0端口丢失

（3） 如果将 Router2 接口 fa0/0 上应用方向修改为（Router2(config-if)#ip access-group 1 out），PC 间可达性结果是什么？为什么？
PC1和PC2和PC3以及PC4都够互相ping通，原因是Router2 接口 fa0/0只会丢弃以PC3所在10.1.3.0网络为源地址的数据包

（4） 如果在 Router2 接口 fa1/0 上配置 ip access-group 1 out ，PC 间的可达性结果是什么？为什么？需要特别说明为什么 PC3 到 PC4 可达？
PC1和PC2以及PC4都不能互相ping通PC3，PC3只能ping通PC4，原因是从PC3到PC1和PC2的数据包经过Router2 接口 fa1/0出去时，数据包的源地址
为PC3，数据包直接丢弃
PC3到PC4的数据包不经过Router2 接口 fa1/0，不产生影响

三、 实验总结

ACL的定义及配置方法，ACL通过对网络资源进行访问输入和输出控制，确保网络设备不被非法访问或被用作攻击跳板。ACL是一张规则表，交换机按照顺序执行这些规则，并且处理每一个进入端口的数据包。每条规则根据数据包的属性(如源地址、目的地址和协议)要么允许、要么拒绝数据包通过。