eNSP—ACL基础实验

实验需求

r1有两个环回1.1.1.0/24和1.1.2.0/24，r4有一个环回4.4.4.0/24连接着ISP

要求：

1.实现1.1.1.1能访问4.4.4.4，1.1.2.1不能访问（基本ACL）

2.没有设置acl之前，1.1.1.1可以访问和远程连接4.4.4.4，设置acl，过滤掉1.1.2.1ping4.4.4.4的流量，保留远程连接。

3.保留1.1.2.1 ping 4.4.4.4，过滤1.1.2.1 远程连接 4.4.4.4

实验拓扑

分析过程

 r1有两个环回，r4有一个环回

骨干链路有三个网段

首先我们可以用rip（Router Information Protocol，路由信息协议）的方式实现全网可达

acl不是协议，而是一个工具

基本acl：关注源ip，在使用时尽量靠近目标

扩展acl：关注源ip、目标ip、协议，在使用时尽量靠近源（不能在源之上，acl不能过滤自身产生的流量）

配置内容

【R1】

[r1]int g 0/0/0
[r1-GigabitEthernet0/0/0]ip address 12.1.1.1 24
[r1-GigabitEthernet0/0/0]int l0
[r1-LoopBack0]ip address 1.1.1.1 24
[r1-LoopBack1]ip address 1.1.2.1 24

[r1]rip 100
[r1-rip-100]version 2
[r1-rip-100]network 1.0.0.0
[r1-rip-100]network 12.0.0.0

【R2】

[r2]int g 0/0/0
[r2-GigabitEthernet0/0/0]ip address 12.1.1.2 24
[r2-GigabitEthernet0/0/0]int g 0/0/1
[r2-GigabitEthernet0/0/1]ip address 23.1.1.1 24

[r2]rip 100
[r2-rip-100]version 2
[r2-rip-100]network 12.0.0.0
[r2-rip-100]network 23.0.0.0

【R3】

[r3]int g 0/0/0
[r3-GigabitEthernet0/0/0]ip address 23.1.1.2 24
[r3-GigabitEthernet0/0/0]int g 0/0/1
[r3-GigabitEthernet0/0/1]ip address 34.1.1.1 24

[r3]rip 100
[r3-rip-100]version 2
[r3-rip-100]network 23.0.0.0
[r3-rip-100]network 34.0.0.0

【R4】

[r4]int g 0/0/0
[r4-GigabitEthernet0/0/0]ip address 34.1.1.2 24
[r4-GigabitEthernet0/0/0]int l0
[r4-LoopBack0]ip address 4.4.4.4 24
 

[r4]rip 100
[r4-rip-100]version 2
[r4-rip-100]network 34.0.0.0
[r4-rip-100]network 4.0.0.0

实现1.1.1.1能访问4.4.4.4，1.1.2.1不能访问4.4.4.4

[r4]acl 2000
[r4-acl-basic-2000]rule deny source 1.1.2.1 0

[r4]int g0/0/0
[r4-GigabitEthernet0/0/0]traffic-filter inbound acl 2000

设置R4的远程连接密码

[r4]user-interface vty 0 4
[r4-ui-vty0-4]set authentication password cipher 123456

实现1.1.1.1 可以远程连接4.4.4.4，但是1.1.2.1不能访问（ping）4.4.4.4

[r3]acl 3000
[r3-acl-adv-3000]rule deny icmp source 1.1.1.1 0 destination 4.4.4.4 0 icmp-type echo
[r3]int g 0/0/1
[r3-GigabitEthernet0/0/1]traffic-filter outbound acl 3000

保留1.1.1.1 ping 4.4.4.4，过滤1.1.1.1 远程连接 4.4.4.4

[r3]acl 3000

[r3-acl-adv-3000]rule deny tcp source 1.1.2.1 0 destination 4.4.4.4 0 destination-port eq 23

测试