逸佳君：CCNA之命名标准拓展ACL

拓扑图：

要求：

1、 三个vlan的PC和服务器都能互相访问（全网互联）

2、 使用命名标准ACL，vlan 10 不能访问其它vlan

3、 使用命名拓展ACL，vlan 20不能访问服务器172.16.99.1的HTTP服务；

4、 使用命名拓展ACL，使得vlan 20不能ping通服务器172.16.99.1；（禁止icmp协议）

5、 配置二层交换机的管理IP为vlan 1：172.16.1.10/24；

6、 二层交换机的SSH远程管理功能，只能PC 2可以访问；（只允许PC2访问二层交换机的SSH功能）

命令解答：

要求一：

三个vlan的PC和服务器都能互相访问（全网互联）

三层交换机的SW1的配置：

en

conf t

h SW1

ip routing （必须开启路由转发功能，才能够vlan间通信）

不同网段之间，才能够通信

vlan 10

vlan 20

vlan 99

vtp domain yijia

vtp password 1225

int vlan 10

ip add 172.16.10.254 255.255.255.0

int vlan 20

ip add 172.16.20.254 255.255.255.0

int vlan 99

ip add 172.16.99.254 255.255.255.0

int f0/1

sw tr en dot1q

sw mo tr

二层交换机的配置：

en

conf t

h S2

int f0/4

sw mo tr

vtp password 1225

vtp mode client

int range f0/1-3

sw mo ac

int 0/1

switchport access vlan 10

int f0/2

switchport access vlan 20

int f0/3

switchport access vlan 99

（在三层创建好vlan，然后三层和二层都设置vtp，对vlan进行同步）

就可以在二层将二层交换机与PC连接的端口加入各个vlan，这样子，就相当于PC加入各自的vlan

因为PC就是访问（access模式），所以，模式就是access

Vtp的模式mode默认是server（三层），如果需要让它变成客户端，就加一个client（二层）

Version默认是2，不需要更改

这些vlan就相当于pc的网关

dot1q===802.1q(dot=.)

要求2、

使用命名标准ACL，vlan 10 不能访问其它vlan

三层交换机SW1配置：

ip access-list standard yijia

deny 172.16.10.0 0.0.0.255

permit any

int vlan 10

ip access-group yijia in

相当于人为地拒绝掉了vlan10

要求3、

使用命名拓展ACL，vlan 20不能访问服务器172.16.99.1的HTTP服务；

三层交换机SW1的配置：

ip access-list extended 123

deny tcp 172.16.20.0 0.0.0.255 host 172.16.99.1 eq 80

permit ip any any

int vlan 20

ip access-group 123 in

要求4（因为拓扑没法做）

使用命名拓展ACL，使得vlan 20不能ping通服务器172.16.99.1；（禁止icmp协议）

ip access-list extended 123

deny icmp 172.16.20.0 0.0.0.255 host 172.16.99.1

permit ip any any

int vlan 20

ip access-group 123 in

要求5

配置二层交换机的管理IP为vlan 1：172.16.1.10/24；

二层交换机的配置：

int vlan 1

ip add 172.16.1.10 255.255.255.0

no shut

ip default-gateway 172.16.1.254

要求6

二层交换机的SSH远程管理功能，只能PC 2可以访问；（只允许PC2访问二层交换机的SSH功能）

enable password 123

username yijia password 123

ip domain-name yijia.com

crypto key generate rsa

ip access-list standard vtyacl

permit host 172.16.20.1

（默认会有deny any any）

line vty 0 5

login local

access-class vtyacl in

transport input ssh

transport output ssh

三层交换机的配置“

int vlan 1

ip add 172.16.1.254 255.255.255.0

no shut

验证：