华为ensp acl实验

实验拓扑

拓扑下载

​华为ensp acl实验

 

 

图 1-1

注：如无特别说明，同一网段中，IP 地址的主机位为其设备编号，如 R3 的 g0/0 接口若在 192.168.1.0/24

 网段，则其 IP 地址为  192.168.1.3/24，以此类推。此拓扑中 PC1，PC2，SERVER1 使用路由器来模拟

---

实验需求

1. 按照图示配置 IP 地址

2. 全网路由互通

3. 在 SERVER1 上配置开启 TELNET 和 FTP 服务

4. 配置 ACL 实现如下效果192.168.1.0/24网段不允许访问 192.168.2.0/24网段，要求使用基本 ACL 实现

5. PC1 可以访问 SERVER1 的 TELNET 服务，但不能访问 FTP 服务

6. PC2 可以访问 SERVER1 的 FTP 服务，但不能访问 TELNET 服务192.168.2.0/24网段不允许访问 SERVER1，要求通过高级 ACL 实现

 

---

实验解法

1. 配置 IP 地址

    

PC1

sys
Enter system view, return user view with Ctrl+Z.
[huawei]sysn pc1
[pc1]int g0/0/1
[pc1-GigabitEthernet0/0/1]ip add 192.168.1.1 24
[pc1-GigabitEthernet0/0/1]ip route-sta 0.0.0.0 0 192.168.1.254

PC2

sys
[Huawei]sysn pc2
[pc2]int g0/0/0
[pc2-GigabitEthernet0/0/0]ip add 192.168.1.2 24
[pc2-GigabitEthernet0/0/0]ip route-sta 0.0.0.0 0 192.168.1.254

PC3

 

 

SERVER1

sys
Enter system view, return user view with Ctrl+Z.
[Huawei]sysn seerver1
[seerver1]int g0/0/0
[seerver1-GigabitEthernet0/0/0]ip add 192.168.3.1 24
[seerver1-GigabitEthernet0/0/0]ip route-sta 0.0.0.0 0 192.168.3.3

R1

sys
Enter system view, return user view with Ctrl+Z.
[Huawei]sysn r1
[r1]int g0/0/0
[r1-GigabitEthernet0/0/0]ip add 192.168.1.254 24
[r1-GigabitEthernet0/0/0]int g0/0/1
[r1-GigabitEthernet0/0/1]ip add 100.1.1.1 24

R2

sys
Enter system view, return user view with Ctrl+Z.
[Huawei]sysn r2
[r2]int g0/0/0
[r2-GigabitEthernet0/0/0]ip add 100.1.1.2 24
[r2-GigabitEthernet0/0/0]int g0/0/1
[r2-GigabitEthernet0/0/1]ip add 192.168.2.2 24
[r2-GigabitEthernet0/0/1]int g0/0/2
[r2-GigabitEthernet0/0/2]ip add 100.2.2.2 24

R3

sys
Enter system view, return user view with Ctrl+Z.
[Huawei]sysn r3
[r3]int g0/0/0
[r3-GigabitEthernet0/0/0]ip add 100.2.2.3 24
[r3-GigabitEthernet0/0/0]int g0/0/1
[r3-GigabitEthernet0/0/1]ip add 192.168.3.3 24

2,R1，R2，R3 上配置 RIP 使全网路由互通，华为使用A，B，C类地址计算rip网段号

R1

[r1]rip 1
[r1-rip-1]undo sum
[r1-rip-1]ver 2
[r1-rip-1]netw 192.168.1.0
[r1-rip-1]netw 100.0.0.0

R2

[r2-GigabitEthernet0/0/2]rip 1
[r2-rip-1]ver 2
[r2-rip-1]undo sum
[r2-rip-1]netw 100.0.0.0
[r2-rip-1]netw 192.168.2.0

R3

[r3-GigabitEthernet0/0/1]rip 1
[r3-rip-1]ver 2
[r3-rip-1]undo sum
[r3-rip-1]netw 100.0.0.0
[r3-rip-1]netw 192.168.3.0

3,在 SERVER1 上配置（华为默认开启telnet）开启 TELNET 和 FTP 服务,账户为guolanban，密码123456，限制5人登录，权限等级15级，华为ftp需要指定管理路径local-user guolanban ftp-directory flash:/

[seerver1]ftp ser en
[seerver1]aaa
[seerver1-aaa]local-user guolanban password cipher 123456
Info: Add a new user.
[seerver1-aaa]local-user guolanban privilege level 15
[seerver1-aaa]local-user guolanban service-type telnet ftp
[seerver1-aaa]local-user guolanban ftp-directory flash:/ 
[server1]user-interface vty 0 4
[seerver1-ui-vty0-4]authentication-mode aaa
[seerver1-ui-vty0-4]user privilege level 15

 

 

4,配置 ACL 部分

　　分析：需求 i，要求 192.168.1.0/24 网段不允许访问 192.168.2.0/24 网段，只能使用基本 ACL 实现。基本 ACL 只过滤源 IP 地址，只能在 R2 的 g0/2 接口上配置出方向包过滤来实现。如果配置在两个网段沿途的其他位置，将会影响到 192.168.1.0/24 网段和其他网段的正常通讯

　　需求 ii，PC1 可以访问 SERVER1 的 TELNET 服务，但不能访问 FTP 服务。既然要过滤指定的服务，就只能使用高级 ACL，高级 ACL 不会造成误过滤，所以可以配置在离源地址最近的接口的入方向，也就是 R1 的 g0/1 接口的入方向。另外，由于 H3C 的 ACL 用于包过滤默认动作是允许，所以并不需要专门配置允许 PC1 访问 SERVER1 的 TELNET，只需要配置拒绝访问 FTP 的规则即可
　　需求 iii，PC2 可以访问 SERVER1 的 FTP 服务，但不能访问 TELNET 服务。同理，只能使用高级 ACL，配置在 R1 的 g0/1 接口的入方向。而且也只需要配置拒绝访问 TELNET 的规则即可
　　由于需求 i 和需求 ii 配置在同一个路由器同一个接口的同方向，所以把规则写入到同一个 ACL 即可需求 iv：192.168.2.0/24网段不允许访问 SERVER1，要求通过高级 ACL 实现。高级 ACL 不会造成误过滤，所以可以配置在离源地址最近的接口的入方向，也就是 R2 的 g0/2 接口的入方向。另外，没有明确说明不允许访问什么服务，就是所有都不允许访问，所以高级 ACL 中的协议需要指定为 IP 协议
　　
步骤 1：创建基本 ACL，使 192.168.1.0/24 网段不能访问 192.168.2.0/24网段，并在 R2 的 g0/0/1 接口的出方向配置包过滤

[r2]acl 2000
[r2-acl-basic-2000]rule deny source 192.168.1.0 0.0.0.255
[r2-GigabitEthernet0/0/0]int g0/0/1
[r2-GigabitEthernet0/0/1]traffic-filter outbound acl 2000

步骤 2：创建高级 ACL，使 PC1 可以访问 SERVER1 的 TELNET 服务，但不能访问 FTP 服务；PC2 可以访问 SERVER1 的 FTP 服务，但不能访问 TELNET 服务，并在 R1 的 g0/0/0 接口的入方向配置包过滤

[R1-rip-1]acl advanced 3000
[r1-acl-adv-3000]rule 5 deny tcp source 192.168.1.1 0 destination 192.168.3.1 0 
destination-port range ftp 21
rule 10 deny tcp source 192.168.1.2 0 destination 192.168.3.1 0
 destination-port eq telnet
[R1-acl-ipv4-adv-3000]interface g0/0/0
[r1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

步骤 3：创建高级 ACL，使PC3 不能访问 SERVER1，并在 R2 的 g0/0/1 接口的入方向配置包过滤

[R2-GigabitEthernet0/2]
[R2-GigabitEthernet0/2]acl advanced 3000
[r2-acl-adv-3000]rule deny ip sou 192.168.2.0 0.0.0.255 destination 192.168.3.1 
0
[r2-acl-adv-3000]int g0/0/1
[r2-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

5,效果测试

步骤 1：PC1 和 PC2 都无法 Ping 通 PC3

[PC1]ping 192.168.2.3

 

[PC2]ping 192.168.2.3

 

步骤 2：PC1 可以连接 SERVER1 的 TELNET，但不能连接 FTP

​
<pc1>telnet 192.168.3.1
  Press CTRL_] to quit telnet mode
  Trying 192.168.3.1 ...
  Connected to 192.168.3.1 ...
Login authentication
Username:
<pc1>ftp 192.168.3.1
Trying 192.168.3.1 ...
Press CTRL+K to abort
​

步骤 3：PC2 可以连接 SERVER1 的 FTP，但不能连接 TELNET

 

​
<pc2>ftp 192.168.3.1

Trying 192.168.3.1 ...

Press CTRL+K to abort

Connected to 192.168.3.1.

220 FTP service ready.

User(192.168.3.1:(none)):guolanban

331 Password required for guolanban.

Enter password:

230 User logged in.

​
[pc2-ftp]
<pc2>telnet 192.168.3.1
  Press CTRL_] to quit telnet mode
  Trying 192.168.3.1 ...
​

步骤 4：PC3 不能 Ping 通 SERVER1