配置标准ACL，扩展ACL，命名ACL

配置标准ACL

1.1 问题

络调通后，保证网络是通畅的。同时也很可能出现未经授权的非法访问。企业网络既要解决连连通的问题，还要解决网络安全的问题。

• 配置标准ACL实现拒绝PC1（IP地址为192.168.1.1）对外问网络192.168.2.1的访问

1.2 方案

访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和访问。它是保证网络安全最重要的核心策略之一。

访问控制列表（Access Control Lists,ACL）是应用在路由器接口的指令列表。这些指令列表用来告诉路由器哪能些数据包可以收、哪能数据包需要拒绝。至于数据包是被接收还是拒绝，可以由类似于源地址、目的地址、端口号等的特定指示条件来决定。

标准访问控制列表只能根据数据包的源IP地址决定是否允许通过。

网络拓扑如图－1所示：

图－1

1.3 步骤

实现此案例需要按照如下步骤进行。

步骤一：在R1上配置接口IP

1. tarena-R1(config)#interface f0/0
2. tarena-R1(config-if)#ip address 192.168.1.254 255.255.255.0
3. tarena-R1(config-if)#no shutdown
4. tarena-R1(config-if)#interface f0/1
5. tarena-R1(config-if)#ip address 192.168.2.254 255.255.255.0
6. tarena-R1(config-if)#no shutdown

步骤二：测试主机到192.168.2.1的连通性

在实施ACL之前先检查网络是否能够正常通信，因为没有任何限制，网络应该是处于连通状态。

PC1测试如下所示：

1. PC>ipconfig
2. FastEthernet0 Connection:(default port)
3. Link-local IPv6 Address.........: FE80::2E0:F7FF:FED6:54CC
4. IP Address......................: 192.168.1.1
5. Subnet Mask.....................: 255.255.255.0
6. Default Gateway.................: 192.168.1.254
7. PC>ping 192.168.2.100
8. Pinging 192.168.2.100 with 32 bytes of data:
9. Reply from 192.168.2.1: bytes=32 time=0ms TTL=126
10. Reply from 192.168.2.1: bytes=32 time=0ms TTL=126
11. Reply from 192.168.2.1: bytes=32 time=0ms TTL=126
12. Reply from 192.168.2.1: bytes=32 time=0ms TTL=126
13. Ping statistics for 192.168.2.1:
14. Packets: Sent = 4, Received = 2, Lost = 2 (50% loss),
15. Approximate round trip times in milli-seconds:
16. Minimum = 0ms, Maximum = 0ms, Average = 0ms
17. PC>

PC2测试如下所示：

1. PC>ipconfig
2. FastEthernet0 Connection:(default port)
3. Link-local IPv6 Address.........: FE80::2D0:BAFF:FE98:9E29
4. IP Address......................: 192.168.1.2
5. Subnet Mask.....................: 255.255.255.0
6. Default Gateway.................: 192.168.1.254
7. PC>ping 192.168.2.1
8. Pinging 192.168.2.1 with 32 bytes of data:
9. Reply from 192.168.2.1: bytes=32 time=2ms TTL=126
10. Reply from 192.168.2.1: bytes=32 time=0ms TTL=126
11. Reply from 192.168.2.1: bytes=32 time=0ms TTL=126
12. Reply from 192.168.2.1: bytes=32 time=0ms TTL=126
13. Ping statistics for 192.168.2.1:
14. Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
15. Approximate round trip times in milli-seconds:
16. Minimum = 0ms, Maximum = 2ms, Average = 0ms
17. PC>

步骤三：在R1上配置标准访问控制列表，并应用到Fa0/0端口

ACL的匹配规则中，最后有一条隐含拒绝全部。如果语句中全部是拒绝条目，那么最后必须存在允许语句，否则所有数据通信都将被拒绝。

1. tarena-R1(config)#access-list 1 deny host 192.168.1.1
2. tarena-R1(config)#access-list 1 permit 192.168.1.0 0.0.0.255
3. tarena-R1(config)#interface f0/0
4. tarena-R1(config-if)#ip access-group 1 in

步骤四：分别在两台主机上测试到192.168.2.1的连通性

PC1测试如下所示：

1. PC>ipconfig
2. FastEthernet0 Connection:(default port)
3. Link-local IPv6 Address.........: FE80::2E0:F7FF:FED6:54CC
4. IP Address......................: 192.168.1.1
5. Subnet Mask.....................: 255.255.255.0
6. Default Gateway.................: 192.168.1.254
7. PC<