路由器的访问控制（过程向不能丢步骤）

路由器中可以进行访问控制，通过IP识别。

访问控制是一个过程和概念性的东西这里采用过程式的记录，多次测试和修改。并不是ping通就结束。

一、网络拓扑结构

网络拓扑结构如上图所示，其中主机的IP、子网掩码、网关都在图中，路由器的各个端口IP、子网掩码都有，路由器多加了个物理接口，路由器之间用的是串口线 （DEC线）。

二、配置端口和动态路由。

因为三个路由器一样，只配置一个另外两个也就明白了，所以略过。

Router>en
Router#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#int f0/0
Router(config-if)#ip address 192.168.1.254 255.255.255.0
Router(config-if)#no shutdown

%LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up

%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to up

Router(config-if)#int f0/1
Router(config-if)#ip address 192.168.2.254 255.255.255.0
Router(config-if)#no shutdown 

%LINK-5-CHANGED: Interface FastEthernet0/1, changed state to up

%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1, changed state to up

Router(config-if)#int s0/0/0
Router(config-if)#ip address 10.1.1.1 255.255.255.0
Router(config-if)#no shutdown 

%LINK-5-CHANGED: Interface Serial0/0/0, changed state to down
Router(config-if)#clock rate 64000
Router(config-if)#
%LINK-5-CHANGED: Interface Serial0/0/0, changed state to up

%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/0, changed state to up
Router(config-if)#exit
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#route rip
Router(config-router)#network 192.168.1.0
Router(config-router)#network 192.168.2.0
Router(config-router)#network 10.1.1.0

三个路由都配置好后检查路由表和ping测试。

Router#show ip route 
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
       i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
       * - candidate default, U - per-user static route, o - ODR
       P - periodic downloaded static route

Gateway of last resort is not set

     10.0.0.0/24 is subnetted, 2 subnets
C       10.1.1.0 is directly connected, Serial0/0/0
R       10.1.2.0 [120/1] via 10.1.1.2, 00:00:00, Serial0/0/0
C    192.168.1.0/24 is directly connected, FastEthernet0/0
C    192.168.2.0/24 is directly connected, FastEthernet0/1
R    192.168.3.0/24 [120/2] via 10.1.1.2, 00:00:00, Serial0/0/0
R    192.168.4.0/24 [120/2] via 10.1.1.2, 00:00:00, Serial0/0/0

这些都能够通畅，并且路由表也有相应的网段。

三、进行访问控制的配置和测试

Router#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#access-list 1 deny 192.168.1.0 0.0.0.255   //设置访问控制规则  1  不允许192.168.1.0这个网络通过
Router(config)#access-list 1 permit any  //设置访问控制规则  1  允许所有网络通过
Router(config)#int fa0/0
Router(config-if)#ip access-group 1 in  //在端口f0/0中配置规则  1 

配置规则时并不矛盾，意思是除了192.168.1.0 这个网络别的都可以通过。

show run

interface FastEthernet0/0
 ip address 192.168.1.254 255.255.255.0
 ip access-group 1 in
 duplex auto
 speed auto
!
......
access-list 1 deny 192.168.1.0 0.0.0.255
access-list 1 permit any
!

端口f0/0的规则为1 进入时拦截。设置成功。

规则具体在它的下边。（中间省略了一些信息，不过不重要）

下面开始ping。

ping不通了 ，因为在f0/0口设置了拦截 ，在进入f0/0时就被阻止了。如上图中紫色的圆圈和箭头。

测试成功，下面开始第二种情况。

为了防止规则之间的叠加影响我们的测试，先取消规则的部署。（所以在正式环境中要谨慎）

在刚刚的图中192.168.1.1 的主机下再加一个主机,这个主机的IP 子网在下边标出。

在路由器中设置如下规则，并部署到端口f0/0中。

Router(config)#access-list 1 deny 192.168.1.1 0.0.0.0
Router(config)#access-list 1 permit any

shuw run看到

access-list 1 deny host 192.168.1.1  
access-list 1 permit any

测试 ：

192.168.1.1的主机ping 192.168.2.1不能通，被拦截。192.168.1.2的主机ping 192.168.2.1，能够通。

第一次测试时 192.168.1.0 这个网段被拦截 所有192.168.1.0 网段的主机都会不通，第二次只拦截192.168.1.1这个IP，而 别的全都通。

测试成功，下面第三个情况。

在图中紫色的端口设置控制，控制端口的出去。

取消f0/0的规则部署。在S0/0/0上重新部署

Router(config)#int s0/0/0
Router(config-if)#ip access-group 1 out

可以看到结果，从192.168.1这个主机到192.168.2.1的主机通畅但是从192.168.1这个主机到192.168.3.1主机不通，因为到192.168.2.1主机不经过S0/0/0端口 自然不会拦截，而192.168.3.1经过s0/0/0则会拦截。

测试成功，下面第四种情况。

现在取消所有规则和规则部署。

重新设置规则

Router(config)#access-list 101 deny icmp 192.168.1.1 0.0.0.0 192.168.3.0 0.0.0.255
Router(config)#access-list 101 permit icmp any any
Router(config)#int f0/0
Router(config-if)#ip access-group 101 in

这个规则是 规定拦截 192.168.1.1 到192.168.3.0网络。只拦截192.168.1.1这个源到192.168.3.0这个目标。别的不会拦截。

测试结果 从192.168.1这个主机到192.168.3.1 不通，但是从192.168.1这个主机到192.168.4.1和192.168.2.1 全都通畅。测试成功。

这就是几种基本情况，还有很多变形都可以根据这些情况延伸。

以上。。