自反访问控制列表ACL

实验名称 自反访问控制列表ACL
一、 实验目的
1、理解自反 ACL 工作原理，掌握 reflect和evaluate字段意义；
2、掌握自反ACL的配置方法。
二、实验仪器设备或材料
Cisco PT
Gns3
华为Ensp
三、实验原理
自反ACL（Reflective ACL）是动态ACL技术的一种应用。设备根据一个方向的ACL，可以自动创建出一个反方向的ACL（自反ACL），该ACL和原ACL的源IP地址和目的IP地址、源端口号和目的端口号完全相反。
利用自反ACL，可以实现单向访问控制，只允许出去的流量，但是阻止从外部网络产生的向内部网络的流量，从而可以更好地保护内部网络；又或是部门间的单向访问，比如财务部可以访问人事部，但人事部不能访问财务部。自反ACL不是直接被应用到某个接口下的，而是嵌套在一个扩展命名访问列表下的。
自反ACL的配置命令实例如下：
（1）定义内网访问外网的ACL
RA(config)# ip access-list extended REFIN
RA(config-ext-nacl)# permit tcp 192.168.1.0 0.0.0.255 any reflectTCP
//指定对该条语句执行自反，自反列表的名字为TCP
（2）定义外网访问内网的ACL
RA(config)# ip access-list extended REFOUT
RA(config-ext-nacl)# evaluate TCP
//计算并生成自反列表，对TCP的条目进行自反计算并生成相应的条目
RA(config-ext-nacl)#deny ip any any
（3）将创建的自反列表应用于相应的接口
RA(config)# int f0/0 //内网接口
RA(config-if)# ip access-group REFIN in //应用内网用户访问外网的ACL
RA(config)# int s0/0 //外网接口
RA(config-if)# ip access-group REFOUT in //应用外网访问内网的ACL
四、实验内容与步骤
根据图2-1所示的网络拓扑图，完成自反ACL的配置。
某公司有财务部、事业部和人事部，分别属于VLAN1、VLAN2和VLAN3。要求财务部可以访问其它两个部门，但其它部门不能访问财务部；人事部可以访问事业部，但事业部不能访问人事部；各部门都可以正常访问外网。
本实验所用路由器均为c3600系列，路由器Router添加NM-16ESW和NM-4T功能模块，路由器ISP添加NM-4T功能模块，对应模块之间相互连接。

图2-1 实验拓扑图

1、配置PC机的基本IP信息，以PC1为例，其他PC机做类似的配置。
PC1(config)#no ip routing
PC1(config)#int f0/1
PC1(config-if)#ip address 172.16.10.1 255.255.255.0
PC1(config-if)#no shutdown
PC1(config-if)#exit
PC1(config)#ip default-gateway 172.16.10.254
2、配置ISP的基本IP信息，并配置动态路由。
ISP(config)#int s1/0
ISP(config-if)#ip address 112.100.10.1 255.255.255.252
ISP(config-if)#no shutdown
ISP(config-if)#exit
ISP(config)#router ospf 100
ISP(config-router)#network 112.100.10.0 0.0.0.3 area 1
ISP(config-router)#exit
3、配置路由器的IP和VLAN信息，以及动态路由协议。
Router#vlan database
Router(vlan)#vlan 2
Router(vlan)#vlan 3
Router(vlan)#exit
Router#showvlan-switch //查看VLAN信息
Router(config)#int s2/0
Router(config-if)#ip address 112.100.10.2 255.255.255.252
Router(config-if)#clock rate 64000
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#int f1/1
Router(config-if)#switchport access vlan 1 //把端口加入VLAN中
Router(config-if)#exit
Router(config)#int f1/2
Router(config-if)#switchport access vlan 2
Router(config-if)#exit
Router(config)#int f1/3
Router(config-if)#switchport access vlan 3
Router(config-if)#exit
Router(config)#int vlan1
Router(config-if)#ip address 172.16.10.254 255.255.255.0
Router(config-if)#exit
Router(config)#int vlan2
Router(config-if)#ip address 172.16.20.254 255.255.255.0
Router(config-if)#exit
Router(config)#int vlan3
Router(config-if)#ip address 172.16.30.254 255.255.255.0
Router(config-if)#exit
Router(config)#router ospf 100
Router(config-router)#network 112.100.10.0 0.0.0.3 area 1
Router(config-router)#network 172.16.10.0 0.0.0.255 area 1
Router(config-router)#network 172.16.20.0 0.0.0.255 area 1
Router(config-router)#network 172.16.30.0 0.0.0.255 area 1
Router(config-router)#exit
4、配置完毕后进行互ping测试，可以发现各PC机都能相互ping通且能访问外网。
5、在路由器上配置自反ACL。
Router(config)#ip access-list extended v1
Router(config-ext-nacl) #permit ip 172.16.10.0 0.0.0.255 any reflect v1_to_23
//允许VLAN1访问所有地址，并建立v1_to_23的ACL映射表
Router(config-ext-nacl)#exit
Router(config)#ip access-list extended v2
Router(config-ext-nacl)#evaluate v1_to_23//允许v1_to_23映射表的连接通过
Router(config-ext-nacl)#evaluate v3_to_2//允许v3_to_2映射表的连接通过
Router(config-ext-nacl)#deny ip 172.16.20.0 0.0.0.255 172.16.10.0 0.0.0.255
Router(config-ext-nacl)#deny ip 172.16.20.0 0.0.0.255 172.16.30.0 0.0.0.255
Router(config-ext-nacl)#permit ip 172.16.20.0 0.0.0.255 any
//上面三条命令保证VLAN2不能主动访问VLAN1、3，但能访问Internet
Router(config-ext-nacl)#deny ip any any
Router(config-ext-nacl)#exit
Router(config)#ip access-list extended v3
Router(config-ext-nacl)#evaluate v1_to_23
Router(config-ext-nacl)#permit ip 172.16.30.0 0.0.0.255 172.16.20.0 0.0.0.255 reflect v3_to_2
//允许VLAN3访问VLAN2，并建立v3_to_2的ACL映射表
Router(config-ext-nacl)#deny ip 172.16.30.0 0.0.0.255 172.16.10.0 0.0.0.255
Router(config-ext-nacl)#permit ip 172.16.30.0 0.0.0.255 any
//上面两条命令保证VLAN3不能主动访问VLAN1，但能访问Internet
Router(config-ext-nacl)#deny ip any any
Router(config-ext-nacl)#exit
Router(config)#int vlan1
Router(config-if)#ip access-group v1 in//应用到接口上
Router(config-if)#exit
Router(config)#int vlan2
Router(config-if)#ip access-group v2 in
Router(config-if)#exit
Router(config)#int vlan3
Router(config-if)#ip access-group v3 in
Router(config-if)#exit
五、实验结果与分析
1.使用show ip access-lists，可以查看配置的ACL

图3-1 查看ACL列表
2. PC1进行互ping测试。由图3-2可以看到，PC1可以正常访问VLAN2、VLAN3以及外网。但是一开始没能成功，查找原因，发现在GNS3中，VLAN1默认打开，VLAN2和VLAN3没有打开，只需要进入端口重新划分下VLAN就可以打开了。

图3-2 PC1的ping通测试 3. PC2进行互ping测试。由图3-3可以看到，PC2不能访问VLAN1和VLAN3，但是能访问外网

图3-3 PC2的互ping测试 4.PC3进行互ping测试。PC3可以正常访问VLAN3和外网，但不能访问VLAN1。

图3-4 PC3的ping测试 5.外网访问测试。ISP去ping三台PC机，发现都可以ping通

图3-5 外网访问测试