拓扑图
Addressing Table
地址表
Device |
Interface |
IP Address |
Subnet Mask |
Default Gateway |
R1 | Fa0/1 | 172.134.1.1 | 255.255.255.0 | N/A |
S0/0/0 | 172.134.12.1
| 255.255.255.0 | N/A | |
Fa0/0 | 172.134.2.1 | 255.255.255.0 | N/A | |
R2 | S0/0/0 | 172.134.12.2 | 255.255.255.0 | N/A |
S0/0/1 | 172.134.23.2 | 255.255.255.0 | N/A | |
R3 | Fa0/0 | 172.134.3.3 | 255.255.255.0 | N/A |
S0/0/1 | 172.134.23.3 | 255.255.255.20 | N/A | |
PC-0 | NIC | 172.134.1.100 | 255.255.255.0 | 172.134.1.1 |
PC-1 | NIC | 172.134.2.100 | 255.255.255.0 | 172.134.2.1 |
Server-0 | NIC | 172.134.3.100 | 255.255.255.0 | 172.134.3.3 |
1.测试网络联通
主机0 ping服务器0
服务器0ping主机1
2.实验步骤
要求:
拒绝PC1 所在网段访问Server 172.16.3.100 的Web 服务
拒绝PC2 所在网段访问Server 172.16.3.100 的Ftp 服务
拒绝PC1 所在网段访问Server 172.16.3.100 的SQL 服务
拒绝PC1 所在网段访问路由器R3 的Telnet 服务
拒绝PC2 所在网段访问路由器R2 的Web 服务
拒绝PC1 和PC2 所在网段ping Server 服务器
只允许路由器R3 以接口s0/0/1 为源ping 路由器R2 的接口s0/0/1 地址,而不允许路
由器R2 以接口s0/0/1 为源ping 路由器R3 的接口s0/0/1 地址,即单向ping.
配置路由器
R1(config)#access-list 110 remark this is an example for extended acl
//添加备注,增加可读性
R1(config)#access-list 110 deny tcp 172.134.1.0 0.0.0.255 host 172.134.3.100 eq 80
//拒绝PC1 所在网段访问Server 172.134.3.100 的Web 服务
R1(config)#access-list 110 deny tcp 172.134.2.0 0.0.0.255 host 172.134.3.100 eq 21
R1(config)#access-list 110 deny tcp 172.134.2.0 0.0.0.255 host 172.134.3.100 eq 20
//拒绝PC2 所在网段访问Server 172.134.3.100 的Ftp 服务
R1(config)#access-list 110 deny tcp 172.134.1.0 0.0.0.255 host 172.134.3.100 eq
1433
//拒绝PC1 所在网段访问Server 172.134.3.100 的SQL 服务
R1(config)#access-list 110 deny tcp 172.134.1.0 0.0.0.255 host 172.134.23.3 eq 23
R1(config)#access-list 110 deny tcp 172.134.1.0 0.0.0.255 host 172.134.3.3 eq 23
//拒绝PC1 所在网段访问路由器R3 的Telnet 服务
R1(config)#access-list 110 deny tcp 172.134.2.0 0.0.0.255 host 172.134.12.2 eq 80
R1(config)#access-list 110 deny tcp 172.134.2.0 0.0.0.255 host 172.134.23.2 eq 80
//拒绝PC2 所在网段访问路由器R2 的Web 服务
R1(config)#access-list 110 deny icmp 172.134.1.0 0.0.0.255 host 172.134.3.100
R1(config)#access-list 110 deny icmp 172.134.2.0 0.0.0.255 host 172.134.3.100
//拒绝PC1 和PC2 所在网段ping Server 服务器
R1(config)#access-list 110 permit ip any any
R1(config)#int s0/0/0
R1(config-if)#ip access-group 110 out //接口下应用ACL
(二)配置路由器R3
R3(config)#access-list 120 deny icmp host 172.134.23.2 host 172.134.23.3 echo
R3(config)#access-list 120 permit ip any any
R3(config)#int s0/0/1
R3(config-if)#ip access-group 120 in
路由器R1 上查看ACL110
路由器R3 和路由器R2 互相ping
路由器R3 查看ACL 120
配置命令扩展ACL
R3(config)#ip access-list extended acl120
R3(config-ext-nacl)#deny icmp host 172.16.23.2 host 172.16.23.3 echo
R3(config-ext-nacl)#permit ip any any
R3(config-ext-nacl)#int s0/0/1
R3(config-if)#ip access-group acl120 in
R3#show ip access-lists