访问控制列表(ACL)的应用实例

一、实验环境

    GNS3模拟软件

二、实验拓扑如图

    

三、网络规划

    1.配置设备的管理地址。其中SW1为192.168.0.1/24，SW2为192.168.0.2/24，SW3为                     192.168.0.3/24,R1为1.1.1.1/32

    2.PC1为网络管理区主机，其中IP地址为192.168.2.2/24，网关为192.168.2.1/24，属于VLAN 2。

      PC2为财务部主机，其中IP地址为192.168.3.2/24，网关为192.168.3.1/24，属于VLAN 3。

      PC3为信息安全员主机，其中IP地址为192.168.4.2/24，网关为192.168.4.1/24，属于VLAN 4。

      服务器IP地址为192.168.100.2/24，网关为192.168.100.1/24，属于VLAN 100.

    3.在SW1交换机VLAN 2接口的IP地址为192.168.2.1/24.  VLAN 3 接口的IP地址为192.168.3.1/24.

      VLAN 4接口的IP地址为192.168.4.1/24.          VLAN 100 接口的IP地址为192.168.100.1/24.

    4.SW1和R1的互联地址为10.0.0.0/30 

    5.配置R1路由器的loopback口地址为123.0.1.1/24，模拟外网地址

四、实验需求

    1.网络设备只允许网管区IP地址通过TELNET登录，并配置设备用户名为cisco，密码为123123

    2.只有网关区主机才能通过SSH、TELNET、远程桌面等登录方式管理服务器

    3.信息安全员可以访问服务器，但不能访问外网。

    4.外网只能访问服务器的WWW服务

五、实验步骤

    1.配置设备，实现全网互通

      R1配置如下

      

      

     SW1配置信息如下

     

      

     

     SW2的配置信息如下

     

     

     SW3配置信息如下

     

     

     使用ping命令验证是否全网互通

     

    

   2.配置ACL，实现公司要求

     配置实现网络设备只允许网关区IP地址可以通过TELNET登录，并配置设备用户名为cisco，密码为      123123，R1的配置如下

     

     SW1、SW2、SW3的配置与R1相同，此处省略

     公司其他要求的配置命令如下

     

//ACL110表示内网主机都可以访问服务器，但是只有网管区主机才能通过telnet、SSH和远程桌面登录服务器，外网只能访问服务器的WWW服务

sw1(config)#access-list 110 permit ip 192.168.2.0 0.0.0.255 host 192.168.100.2

//上述一条ACL表示，允许网络管理员网段192.168.2.0/24访问服务器

sw1(config)#access-list 110 permit ip 192.168.2.0 0.0.0.255 host 192.168.100.2 eq             telnet

sw1(config)#access-list 110 permit ip 192.168.2.0 0.0.0.255 host 192.168.100.2 eq 22

sw1(config)#access-list 110 permit ip 192.168.2.0 0.0.0.255 host 192.168.100.2 eq 3389

//上述四条ACL表示，除192.168.2.0/24网段外其他所有内网地址均不能通过telnet、SSH和远程桌面登录服务器

sw1(config)#access-list 110 permit ip 192.168.0.0 0.0.255.255 host 192.168.100.2

sw1(config)#access-list 110 permit tcp any host 192.168.100.2 eq 80 

//上述两条ACL表示，允许内网主机访问服务器，允许外网主机访问服务器的WWW服务

sw1(config)#access-list 110 deny ip any any

sw1(config)#int vlan 100

sw1(config-if)#ip access-group 110 out //应用到OUT方向

sw1(config-if)#ex

//ACL120 表示192.168.3.0/24网段主机可以访问服务器，可以访问网络管理员网段，但不能访问其他网段，也不能访问外网

sw1(config)#access-list 120 permit ip 192.168.3.0 0.0.0.255 host 192.168.100.2

sw1(config)#access-list 120 permit ip 192.168.3.0 0.0.0.255 192.168.2.0 0.0.0.255

sw1(config)#access-list 120 deny ip any any 

sw1(config)#int vlan 3

sw1(config-if)#ip access-group 120 in //应用到in方向

sw1(config-if)#ex

//ACL130 表示192.168.4.0/24网段主机可以访问服务器，可以访问网络管理员网段，但不能访问其他网段，可以访问外网（主要用于测试）

sw1(config)#access-list 130 permit ip 192.168.4.0 0.0.0.255 host 192.168.100.2         

sw1(config)#access-list130 permit ip 192.168.4.0 0.0.0.255 192.168.2.0 0.0.0.255

sw1(config)#access-list 130 deny ip 192.168.4.0 0.0.0.255 192.168.0.0 0.0.255.255

sw1(config)#access-list130 permit ip any any                                    

sw1(config)#int vlan 4

sw1(config-if)#ip access-group 130 in 

sw1(config-if)#ex

    3.配置完成后，使用ping命令验证配置是否正确

      

     其他要求的验证就不一一列举，有兴趣的朋友可以自己验证一下（注：如果验证外网访问服务器的      80端口、telnet等需要用到虚拟机）

转载于:https://blog.51cto.com/chenglihua/1641920