ACL访问控制列表实验之限制用户远程登录和ping命令

ACL访问控制列表实验之限制用户远程登录和ping命令

一、实验要求
PC1可以telnet R1，不能ping 通R1
PC1可以ping R2，不能 talnet R2
PC2要求与PC1相反

二、实验说明
拓扑图中PC1与PC2用了路由器代替

三、实验思路
1.配置底层IP
2.配置路由全网可达
3.根据要求，策略思路，有两种方式
前提注意：在配置ACL时，每个接口的某一方向只能有ACL访问控制列表
否则，该接口出/入方向将只调用配置的最后一张表。
(1)第一种方式，ACL列表根据要求，先将允许条件加入，后再跟拒绝所有
弊端：虽然完成实验要求，但是影响其他设备的访问
(2)第二种方式，ACL列表根据要求，先将拒绝条件加入，后再跟允许所有
优点：
a.防止影响其他用户
b.配置简单，后允许所有条件也不可不配，华为设备默认末端允许所有
四、具体配置
1.配置底层IP，并实现全网可达

R1：
[R1]interface GigabitEthernet 0/0/1
[R1-GigabitEthernet0/0/1]ip address 192.168.2.1 24	
[R1]interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/0]ip address 192.168.1.1 24

R2：
[R2]interface GigabitEthernet 0/0/1
[R2-GigabitEthernet0/0/1]ip address 192.168.2.2 24
[R2]ip route-static 192.168.1.0 24 192.168.2.1

PC1：
[PC1]interface GigabitEthernet 0/0/0
[PC1-GigabitEthernet0/0/0]ip address 192.168.1.2 24
[PC1]ip route-static 0.0.0.0 0 192.168.1.1

PC2：
[PC2]interface GigabitEthernet 0/0/0
[PC2-GigabitEthernet0/0/0]ip address 192.168.1.3 24
[PC2]ip route-static 0.0.0.0 0 192.168.1.1

测试

2.R1和R2开启远程登录服务–telnet服务

[R2]telnet server enable  //一般默认已经自动开启
[R2]telnet server enable 

3.R1和R2上配置标准aaa认证登录用户

[R1]aaa
[R1-aaa]local-user yonghu password cipher mima123
[R1-aaa]local-user yonghu service-type telnet
[R1-aaa]local-user yonghu privilege level 15
[R2]aaa
[R2-aaa]local-user yonghu password cipher mima123
[R2-aaa]local-user yonghu service-type telnet
[R2-aaa]local-user yonghu privilege level 15

4.虚拟登录接口调用认证

[R1]user-interface vty 0 4
[R1-ui-vty0-4]authentication-mode aaa
[R2]user-interface vty 0 4
[R2-ui-vty0-4]authentication-mode aaa

测试：此时没有设置ACL访问权限，所有人都能登录

5.配置扩展ACL，在距离源设备最近的接口配置，防止影响对其他设备的访问

[R1]acl 3000
[R1-acl-adv-3000]rule deny icmp source 192.168.1.2 0 destination 	192.168.1.1 0
[R1-acl-adv-3000]rule deny icmp source 192.168.1.2 0 destination 	192.168.2.1 0
[R1-acl-adv-3000]rule deny tcp source 192.168.1.2 0 destination 192.168.2.2 0 destination-port eq 23
[R1-acl-adv-3000]rule deny icmp source 192.168.1.3 0 destination 192.168.2.2 0
[R1-acl-adv-3000]rule deny tcp source 192.168.1.3 0 destination 192.168.1.1 0 destination-port eq 23
[R1-acl-adv-3000]rule deny tcp source 192.168.1.3 0 destination 192.168.2.1 0 destination-port eq 23

[R1]interface g0/0/0
[R1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

6.实验结果验证
PC1对R1验证：


PC1对R2验证：

PC2对R1验证：

PC2对R2验证：