路由与交换 实验五 访问控制列表

**

实验五 访问控制列表

**
一、实验目的
掌握ACL的配置。

二、实验条件
Cisco2621 Switch、Cisco 2950 交换机、PacketTrace仿真软件、具备Windows操作系统的PC机

三、实验原理及相关知识
ACL基本原理

四、实验步骤
网络拓扑结构及地址分配如下。

设备R1（接口 IP地址 子网掩码）
Fa0/0 192.168.10.1 255.255.255.0
Fa0/1 192.168.11.1 255.255.255.0
S0/0/0 10.1.1.1 255.255.255.252
设备R2（接口 IP地址 子网掩码）
S0/0/0 10.1.1.2 255.255.255.252
Fa0/0 192.168.20.1 255.255.255.0
S0/1/0 209.165.200.225 255.255.255.224
S0/0/1 10.2.2.1 255.255.255.252
设备R3（接口 IP地址 子网掩码）
S0/0/1 10.2.2.2 255.255.255.252
Fa0/0 192.168.30.1 255.255.255.0
设备ISP（接口 IP地址 子网掩码）
S0/0/1 209.165.200.226 255.255.255.224
Fa0/0 209.165.201.1 255.255.255.224
Fa0/1 209.165.202.129 255.255.255.224
主机网卡（IP地址 子网掩码）
PC1 网卡 192.168.10.10 255.255.255.0
PC2 网卡 192.168.11.10 255.255.255.0
PC3 网卡 192.168.30.10 255.255.255.0
PC4 网卡 192.168.30.128 255.255.255.0
WEB/TFTP Server0 网卡
192.168.20.254 255.255.255.0
WEB Server1 网卡
209.165.201.30 255.255.255.224
Outside Host 网卡
209.165.202.158 255.255.255.224

1．配置网络地址及路由协议，使全网连通。
①主机和服务器ip，子网掩码，默认网关设置

PC1 IP 192.168.10.10 子网掩码 255.255.255.0 默认网关 192.168.10.1
PC2 IP 192.168.11.10 子网掩码 255.255.255.0 默认网关 192.168.20.1
PC3 IP 192.168.30.10 子网掩码 255.255.255.0 默认网关 192.168.30.1
PC4 IP 192.168.30.128 子网掩码 255.255.255.0 默认网关 192.168.30.1
Outside Host IP 209.165.202.158 子网掩码 255.255.255.224 默认网关 209.165.202.129
WEB/TFTP Server0 IP 192.168.20.254 子网掩码 255.255.255.0 默认网关 192.168.20.1
WEB Server1 IP 209.165.201.30 子网掩码 255.255.255.224 默认网关 209.165.201.1

②路由器接口配置和eigrp协议
R1：
Router>enable
Router#configure terminal
Router(config)#interface FastEthernet0/0
Router(config-if)#ip address 192.168.10.1 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#interface FastEthernet0/1
Router(config-if)#ip address 192.168.11.1 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#interface Serial0/0/0
Router(config-if)#ip address 10.1.1.1 255.255.255.252
Router(config-if)#no shutdown
Router(config-if)#clock rate 64000
Router(config-if)#ex
Router(config)#router eigrp 100
Router(config-router)#net 192.168.10.0 0.0.0.255
Router(config-router)#net 10.1.1.0 0.0.0.3
Router(config-router)#net 192.168.11.0 0.0.0.255
Router(config-router)#no auto-summary
Router(config-router)#ex

R2:
Router>enable
Router#configure terminal
Router(config)#interface FastEthernet0/0
Router(config-if)#ip address 192.168.20.1 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#interface Serial0/0/0
Router(config-if)#ip address 10.1.1.2 255.255.255.0
Router(config-if)#clock rate 64000
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#interface Serial0/1/0
Router(config-if)#ip address 209.165.200.225 255.255.255.224
Router(config-if)#clock rate 64000
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#interface Serial0/0/1
Router(config-if)#ip address 10.2.2.1 255.255.255.252
Router(config-if)#clock rate 64000
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#router eigrp 100
Router(config-router)#net 192.168.20.0 0.0.0.255
Router(config-router)#net 10.1.1.0 0.0.0.3
Router(config-router)#net 10.2.2.0 0.0.0.3
Router(config-router)#net 209.165.200.224 0.0.0.31
Router(config-router)#no auto-summary
Router(config-router)#ex

R3:
Router>enable
Router#configure terminal
Router(config-if)#ip address 192.168.30.1 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#interface Serial0/0/1
Router(config-if)#ip address 10.2.2.2 255.255.255.252
Router(config-if)#clock rate 64000
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#router eigrp 100
Router(config-router)#net 10.2.2.0 0.0.0.3
Router(config-router)#net 192.168.30.0 0.0.0.255
Router(config-router)#no auto-summary
Router(config-router)#ex

ISP:
Router>enable
Router#configure terminal
Router(config)#interface FastEthernet0/0
Router(config-if)#ip address 209.165.201.1 255.255.255.224
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#interface FastEthernet0/1
Router(config-if)#ip address 209.165.202.129 255.255.255.224
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#interface Serial0/0/1
Router(config-if)#ip address 209.165.200.226 255.255.255.224
Router(config-if)#clock rate 64000
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#router eigrp 100
Router(config-router)#net 209.165.200.224 0.0.0.31
Router(config-router)#net 209.165.202.128 0.0.0.31
Router(config-router)#net 209.165.201.0 0.0.0.31
Router(config-router)#no auto-summary
Router(config-router)#ex

③检查全网ping通
PC1pingPC2:可以ping通
PC1pingPC3:可以ping通
PC1pingPC4:可以ping通
PC1pingPC-PT:可以ping通
PC1pingsever:可以ping通

2．按要求配置标准ACL，将 ACL 应用于路由器接口并检验和测试 ACL 实施。
Ⅰ允许主机192.168.10.10访问外网，禁止网络192.168.10.0访问外网；
Ⅱ禁止主机192.168.30.10访问外网，允许网络192.168.30.0访问外网；
Ⅲ允许其他访问外网。

⑴配置采用数字编号的标准 ACL
R2:

Router>en
Router#config t
Router(config)#access-list 11 permit host 192.168.10.10
Router(config)#access-list 11 permit 192.168.30.0 0.0.0.255
Router(config)#access-list 11 deny 192.168.10.0 0.0.0.255
Router(config)#access-list 11 deny host 192.168.30.10
Router(config)#access-list 11 permit any
Router(config)#int s0/1/0
Router(config-if)#ip access-group 11 out
Router(config-if)#ex

⑵配置采用命名方式的标准 ACL
R2:

Router>en
Router#config t
Router(config)#ip access standard GouTong
Router(config-std-nacl)#permit host 192.168.10.10
Router(config-std-nacl)#permit 192.168.30.0 0.0.0.255
Router(config-std-nacl)#deny 192.168.10.0 0.0.0.255
Router(config-std-nacl)#deny host 192.168.30.10
Router(config-std-nacl)#permit any
Router(config-std-nacl)#int s0/1/0
Router(config-if)#ip access-group GouTong out
Router(config-if)#ex
Router(config)#ex

3．按要求配置扩展 ACL，将 ACL 应用于路由器接口并检验和测试 ACL 实施。
⑴为 R1 配置采用数字编号的扩展 ACL
Ⅰ.对于192.168.10.0/24网络，阻止telnet访问所有位置，并且阻止通过TFTP访问地址为192.168.11.0/24的企业Web/TFTP Server。允许所有其它访问。

Ⅱ.对于192.168.11.0/24网络，允许通过TFTP和Web访问地址为192.168.20.254的企业Web/TFTP Server。阻止从192.168.11.0/24网络发往192.168.20.0/24网络的所有其它流量。

Ⅲ.允许所有其它访问。

R1:

Router>en
Router#config t
Router(config)#access-list 110 deny tcp 192.168.10.0 0.0.0.255 any eq telnet
Router(config)#access-list 110 deny udp any host 192.168.20.254 eq tftp
Router(config)#access-list 110 per ip any any
Router(config)#int f0/0
Router(config-if)#ip access-group 110 in
Router(config-if)#ex

R1:
Router>en
Router#config t
Router(config)#access-list 111 permit udp 192.168.11.0 0.0.0.255 host 192.168.20.254 eq tftp
Router(config)#access-list 111 permit tcp 192.168.11.0 0.0.0.255 host 192.168.20.254 eq www
Router(config)#access-list 111 deny ip 192.168.11.0 0.0.0.255 192.168.20.0 0.0.0.255
Router(config)#access-list 111 permit ip any any
Router(config)#int f0/1
Router(config-if)#ip access-group 111 in
Router(config-if)#ex

⑵为 R3 配置采用命名方式的扩展 ACL
192.168.30.0/24 网络中前一半 IP 地址的访问策略有如下要求：
Ⅰ.拒绝其访问192.168.20.0/24网络
Ⅱ.允许其访问所有其它目的地址
对 192.168.30.0/24 网络中的后一半 IP 地址有如下限制：
Ⅲ.拒绝其访问192.168.20.0/24网络
Ⅳ.允许其访问192.168.10.0和192.168.11.0
Ⅴ.允许其对所有其它位置的www访问

R3:

Router>en
Router#config t
Router(config)#ip access-list extended goutong
Router(config-ext-nacl)#deny ip 192.168.30.0 0.0.0.127 192.168.20.0 0.0.0.255
Router(config-ext-nacl)#permit ip 192.168.30.0 0.0.0.127 any
Router(config-ext-nacl)#deny ip 192.168.30.128 0.0.0.127 192.168.20.0 0.0.0.255
Router(config-ext-nacl)#permit ip 192.168.30.128 0.0.0.127 192.168.10.0 0.0.0.255
Router(config-ext-nacl)#permit ip 192.168.30.128 0.0.0.127 192.168.11.0 0.0.0.255
Router(config-ext-nacl)#per tcp 192.168.30.128 0.0.0.127 any eq www
Router(config-ext-nacl)#int f0/0
Router(config-if)#ip access-group goutong in
Router(config-if)#ex
Router(config)#ex

五、思考题及其它
⑴访问控制列表的作用是什么？
答：过滤流入或者流出路由器的非法数据包，实现对网络的安全访问。
⑵标准ACL及扩展ACL一般应该放置在网络中什么位置上？
答：一般来说标准ACL应该放在距离网段最远的端口上，而扩展ACL应该距离网段最近的端口上，从而避免流量浪费。