Establish（扩展ACL）

1. 拓扑

 

 

1. 地址规划

 

Device	interface	IP Address	Subnet mask	Default Gateway
R1	F 0/0	172.20.1.1	/24	N/A
	S0/0/0	172.20.12.1	/24	N/A
	F 0/1	172.20.2.1	/24	N/A
R2	S0/0/0	172.20.12.2	/24	N/A
	S0/0/1	10.20.23.2	/24	N/A
R3	F 0/0	172.20.3.3	/24	N/A
	S0/0/1	172.20.23.3	/24	N/A
PC0	Fa0	172.20.1.100	/24	172.20.1.1
PC1	Fa0	172.20.2.100	/24	172.20.2.1
Server0	Fa0	172.20.3.100	/24	172.20.3.1

 

1. 接口配置

（1）地址配置

（2）静态路由（以R2为例）

R2(config)#ip route 172.20.1.0 255.255.255.0 172.20.12.1

R2(config)#ip route 172.20.2.0 255.255.255.0 172.20.12.1

R2(config)#ip route 172.20.3.0 255.255.255.0 172.20.23.3

 

（3）网路连通测试

Server ping PC0 和PC1

 

说明：基础网络互通。

1. 具体配置过程

（1）配置路由器R1

R1(config)#access-list 110 remark this is an example for extended acl

//添加备注，增加可读性

R1(config)#access-list 110 deny tcp 172.20.1.0 0.0.0.255 host 172.20.3.100 eq 80   //拒绝PC1 所在网段访问Server 172.20.3.100 的Web 服务

 

R1(config)#access-list 110 deny tcp 172.20.2.0 0.0.0.255 host 172.20.3.100 eq 21

R1(config)#access-list 110 deny tcp 172.20.2.0 0.0.0.255 host 172.20.3.100 eq 20  //拒绝PC2 所在网段访问Server 172.16.3.100 的Ftp 服务

R1(config)#access-list 110 deny tcp 172.20.1.0 0.0.0.255 host 172.20.3.100 eq

1433  //拒绝PC1 所在网段访问Server 172.20.3.100 的SQL 服务

R1(config)#access-list 110 deny tcp 172.20.1.0 0.0.0.255 host 172.20.23.3 eq 23

R1(config)#access-list 110 deny tcp 172.20.1.0 0.0.0.255 host 172.20.3.3 eq 23

//拒绝PC1 所在网段访问路由器R3 的Telnet 服务

R1(config)#access-list 110 deny tcp 172.20.2.0 0.0.0.255 host 172.120.12.2 eq 80

R1(config)#access-list 110 deny tcp 172.20.2.0 0.0.0.255 host 172.20.23.2 eq 80  //拒绝PC2 所在网段访问路由器R2 的Web 服务

R1(config)#access-list 110 deny icmp 172.20.1.0 0.0.0.255 host 172.20.3.100

R1(config)#access-list 110 deny icmp 172.20.2.0 0.0.0.255 host 172.20.3.100

//拒绝PC1 和PC2 所在网段ping Server 服务器

R1(config)#access-list 110 permit ip any any

R1(config)#int s0/0/0

R1(config-if)#ip access-group 110 out   //接口下应用ACL

（2）配置路由器R3

R3(config)#access-list 120 deny icmp host 172.20.23.2 host 172.20.23.3 echo

R3(config)#access-list 120 permit ip any any

R3(config)#int s0/0/1

R3(config-if)#ip access-group 120 in

 

 

 

 

 

1. 实验调试

（1）路由器R1 上查看ACL110

 

 

 

（2）路由器R3 和路由器R2 互相ping

 

 

 

 

（3）路由器R3 查看ACL 120

 

 

（4）配置命令扩展ACL

R3(config)#ip access-list extended acl120

R3(config-ext-nacl)#deny icmp host 172.20.23.2 host 172.20.23.3 echo

R3(config-ext-nacl)#permit ip any any

R3(config-ext-nacl)#int s0/0/1

R3(config-if)#ip access-group acl120 in

查看ac

 

转载于:https://www.cnblogs.com/zhujinwei/p/10946080.html