扩展ACL

拓扑图

Addressing Table

地址表

 

Device

 

Interface

 

IP Address

 

Subnet Mask

 

Default Gateway

 

R1

Fa0/1

172.134.1.1

255.255.255.0

N/A

S0/0/0

172.134.12.1

 

255.255.255.0

N/A

Fa0/0

172.134.2.1

255.255.255.0

N/A

 

R2

S0/0/0

172.134.12.2

255.255.255.0

N/A

S0/0/1

172.134.23.2

255.255.255.0

N/A

 

R3

Fa0/0

172.134.3.3

255.255.255.0

N/A

S0/0/1

172.134.23.3

255.255.255.20

N/A

PC-0

NIC

172.134.1.100

255.255.255.0

172.134.1.1

PC-1

NIC

172.134.2.100

255.255.255.0

172.134.2.1

Server-0

NIC

172.134.3.100

255.255.255.0

172.134.3.3

 

1.测试网络联通

 主机0 ping服务器0

服务器0ping主机1

2.实验步骤

要求:

拒绝PC1 所在网段访问Server 172.16.3.100 Web 服务

 拒绝PC2 所在网段访问Server 172.16.3.100 Ftp 服务

 拒绝PC1 所在网段访问Server 172.16.3.100 SQL 服务

 拒绝PC1 所在网段访问路由器R3 Telnet 服务

 拒绝PC2 所在网段访问路由器R2 Web 服务

 拒绝PC1 PC2 所在网段ping Server 服务器

 只允许路由器R3 以接口s0/0/1 为源ping 路由器R2 的接口s0/0/1 地址,而不允许路

由器R2 以接口s0/0/1 为源ping 路由器R3 的接口s0/0/1 地址,即单向ping.

 

配置路由器

R1(config)#access-list 110 remark this is an example for extended acl

//添加备注,增加可读性

R1(config)#access-list 110 deny tcp 172.134.1.0 0.0.0.255 host 172.134.3.100 eq 80

//拒绝PC1 所在网段访问Server 172.134.3.100 Web 服务

 

R1(config)#access-list 110 deny tcp 172.134.2.0 0.0.0.255 host 172.134.3.100 eq 21

R1(config)#access-list 110 deny tcp 172.134.2.0 0.0.0.255 host 172.134.3.100 eq 20

//拒绝PC2 所在网段访问Server 172.134.3.100 Ftp 服务

R1(config)#access-list 110 deny tcp 172.134.1.0 0.0.0.255 host 172.134.3.100 eq

1433

//拒绝PC1 所在网段访问Server 172.134.3.100 SQL 服务

 

R1(config)#access-list 110 deny tcp 172.134.1.0 0.0.0.255 host 172.134.23.3 eq 23

R1(config)#access-list 110 deny tcp 172.134.1.0 0.0.0.255 host 172.134.3.3 eq 23

//拒绝PC1 所在网段访问路由器R3 Telnet 服务

 

R1(config)#access-list 110 deny tcp 172.134.2.0 0.0.0.255 host 172.134.12.2 eq 80

R1(config)#access-list 110 deny tcp 172.134.2.0 0.0.0.255 host 172.134.23.2 eq 80

//拒绝PC2 所在网段访问路由器R2 Web 服务

 

R1(config)#access-list 110 deny icmp 172.134.1.0 0.0.0.255 host 172.134.3.100

R1(config)#access-list 110 deny icmp 172.134.2.0 0.0.0.255 host 172.134.3.100

//拒绝PC1 PC2 所在网段ping Server 服务器

R1(config)#access-list 110 permit ip any any

R1(config)#int s0/0/0

R1(config-if)#ip access-group 110 out //接口下应用ACL

(二)配置路由器R3

R3(config)#access-list 120 deny icmp host 172.134.23.2 host 172.134.23.3 echo

R3(config)#access-list 120 permit ip any any

R3(config)#int s0/0/1

R3(config-if)#ip access-group 120 in

 

路由器R1 上查看ACL110

 

路由器R3 和路由器R2 互相ping

 

路由器R3 查看ACL 120

配置命令扩展ACL

R3(config)#ip access-list extended acl120

R3(config-ext-nacl)#deny icmp host 172.16.23.2 host 172.16.23.3 echo

R3(config-ext-nacl)#permit ip any any

R3(config-ext-nacl)#int s0/0/1

R3(config-if)#ip access-group acl120 in

R3#show ip access-lists

 

转载于:https://www.cnblogs.com/www66267729/p/10902588.html

  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值