计算机网络实验-ACL配置

实验基本信息

实验使用软件：Cisco Packet Tracer 6.0

实验得分：19/20

实验内容

  基于如下图的拓扑，对路由器进行正确的RIP协议配置，在此基础上，正确的配置ACL，满足如下需求：

  1. 限制所有主机远程登录到服务器

  2. 禁止192.168.3.0/24网段中的主机的Ping192.168.1.0/24网段

  3. 禁止192.168.2.2主机访问HTTP协议

  4. 禁止192.168.2.3主机访问DNS协议

实验步骤

  实验拓扑图

  1.配置终端，交换机，服务器

	IP	SM	GW	DNS
PC0	192.168.2.2	255.255.255.0	192.168.2.1	192.168.1.20
PC1	192.168.2.3	255.255.255.0	192.168.2.1	192.168.1.20
PC2	192.168.3.2	255.255.255.0	192.168.3.1	192.168.1.20
PC3	192.168.3.3	255.255.255.0	192.168.3.1	192.168.1.20

  将交换机与路由器相连接口改为trunk模式，图片以Switch1为例

  DNS服务器配置：

  ip:192.168.1.20  SW:255.255.255.0  GW:192.168.1.1  DNS:192.168.1.20

  在服务器中开启DNS功能，并添加 www.abc.com 192.168.1.20作为后续的测试样例

  HTTP服务器配置

  ip:192.168.1.30  SW:255.255.255.0  GW:192.168.1.1  DNS:192.168.1.20

  HTTP功能自动开启，无需再配置

  2.使用RIP协议配置路由器

  这里以Router1为例，Router0和Router2同理

  配置路由器与交换机相连接口的基本信息

  设置路由器之间接口的IP

  这里三个路由器按照逆时针方向-0，1接口相连的规律进行连接，0接口配置为~.1，1接口配置为~.2

  使用RIP协议配置路由器

  加入路由器的直连网段，这里还是以Router1为例，连接其直连的三个网段，192.168.3.0，172.16.1.0，172.17.1.0

  3.测试连通性

  两个网段目前均与服务器网段连通

  4.设置不允许远程登录服务器

  无需特殊配置，尝试直接远程登录服务器，被拒绝

  5.设置禁止192.168.3.0/24网段中的主机的Ping192.168.1.0/24网段

  ping采用的是icmp协议，故只需要取消对应接口的icmp协议即可

  进入Router1的命令行模式，输入以下命令：

    enable

    config t

    access-list 101 deny icmp 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255 #指定列表号101，拒绝3.0网段向1.0网段发送icmp协议

    access-list 101 permit ip any any #由于acl表是自上而下查找，当找到上一命令时，会进行对应的拒绝操作，因此后续还要规定一下其他网段，这里any any 表示任何网段任何形式的设备都允许ping

    int f0/0 #对路由器与PC机相连接口进行操作

    ip access-group 101 in #in表示输入，即终端向路由器方向传输，符合上述ping方向的逻辑

  配置完成后无法ping通

  6.设置禁止192.168.2.2主机访问HTTP协议，禁止192.168.2.3主机访问DNS协议

  进入Router2命令行界面进行配置，输入以下命令

    enable

    config t

    access-list 101 deny tcp host 192.168.2.2 192.168.1.0 0.0.0.255 eq 80 #列表号取101，服务器网段192.168.1.0拒绝来自主机192.168.2.2的tcp数据包，并指定tcp默认80端口

    access-list 101 deny udp host 192.168.2.3 192.168.1.0 0.0.0.255 eq 53 #列表号取101，服务器网段192.168.1.0拒绝来自主机192.168.2.3的udp数据包，并指定udp默认53端口

    access-list 101 permit ip any any #与上同理，要说明允许其他设备的访问

    int f0/0 #对路由器和交换机相连接口进行配置

    ip access-group 101 out #传输过程是路由器去向服务器，因此要使用out

  7.测试步骤6

  在192.168.2.2主机上打开deskop->web browser，在URL地址处输入最开始准备好的测试样例，输入www.abc.com，点击go或回车，等待后无响应，说明http协议失效

  若输入DNS服务器的ip地址，则可以访问

  在192.168.2.3主机中进行相同操作，均为请求超时

 

  完成实验需求

实验结果

  尝试远程登录失败，测试成功

  禁止192.168.3.0/24网段中的主机的Ping192.168.1.0/24网段，这里以PC3为例，无法ping通，测试成功

  禁止192.168.2.2主机访问HTTP协议

  若输入DNS服务器的ip地址，则可以访问

  测试成功

  禁止192.168.2.3主机访问DNS协议

  测试成功