【系统集成】作业——访问控制列表ACL配置

实验任务：

• 基本ACL实验，建立拓扑（pc1+pc2）SW1>>R1>>R2>>SW2(pc3)，配置缺省路由，使pc1、pc2与pc3能相互通信。设置ACL，使pc1不能访问pc3（pc2可正常访问pc3）。
• 高级ACL实验，对前期实验公司网络设置的各部门，不允许生产部的电脑ping 公司web服务器，但可以访问网页。
• 对前期实验公司网络设置的各部门vlan，设置企业财务服务器，只允许财务部门VLAN 的电脑访问

  ---

  本次实验主要用到的技术是普通acl和高级acl：

• ACL的使用分为两步： 

(1)创建访问控制列表ACL，根据实际需要设置对应的条件项；

(2)将ACL应用到路由器指定接口的指定方向(in/out)上。 

• 在ACL的配置与使用中需要注意以下事项： 

(1)ACL是自顶向下顺序进行处理，一旦匹配成功，就会进行处理，且不再比对以后的语句，所以ACL中语句的顺序很重要。应当将最严格的语句放在最上面，最不严格的语句放在底部。

(2)当所有语句没有匹配成功时，会丢弃分组。这也称为ACL隐性拒绝。 

(3)每个接口在每个方向上，只能应用一个ACL。

(4)标准ACL应该部署在距离分组的目的网络近的位置，扩展ACL应该部署在距离分组发送者近的位置

目录

一 基本ACL实验，建立拓扑（pc1+pc2）SW1>>R1>>R2>>SW2(pc3)，配置缺省路由，使pc1、pc2与pc3能相互通信。设置ACL，使pc1不能访问pc3（pc2可正常访问pc）

1.1实验拓扑

1.2实验配置

二 高级ACL实验，对前期实验公司网络设置的各部门，不允许生产部的电脑ping 公司web服务器，但可以访问网页

2.1实验拓扑

2.2实验配置

 三 对前期实验公司网络设置的各部门vlan，设置企业财务服务器，只允许财务部门VLAN 的电脑访问

---

一 基本ACL实验，建立拓扑（pc1+pc2）SW1>>R1>>R2>>SW2(pc3)，配置缺省路由，使pc1、pc2与pc3能相互通信。设置ACL，使pc1不能访问pc3（pc2可正常访问pc）

1.1实验拓扑

1.2实验配置

pc1：

 pc2：

 pc3：

R1：

[r1]int g0/0/0
[r1-GigabitEthernet0/0/0]ip address 192.168.1.1 24
[r1]int g0/0/1
[r1-GigabitEthernet0/0/1]ip address 12.1.1.1 24

R2:

[r2]int g0/0/0
[r2-GigabitEthernet0/0/0]ip address 12.1.1.2 24
[r2]int g0/0/1
[r2-GigabitEthernet0/0/1]ip address 192.168.2.1 24

配置缺省路由：

R1：

[r1]ip route-static 0.0.0.0 0.0.0.0 12.1.1.2 

R2：

[r2]ip route-static 0.0.0.0 0.0.0.0 12.1.1.1

此时三台pc已能互相ping通，设置ACL，使pc1不能访问pc3（pc2可正常访问pc）：

[Huawei]acl 2000
[Huawei-acl-basic-2000]rule 5 deny source 192.168.1.10 0 //这里匹配的是pc2的ip
[Huawei-acl-basic-2000]int e0/0/3
[Huawei-Ethernet0/0/2]traffic-filter outbound acl 2000

此时：

pc1无法ping通pc3 

但是pc2能ping通pc3

二 高级ACL实验，对前期实验公司网络设置的各部门，不允许生产部的电脑ping 公司web服务器，但可以访问网页

2.1实验拓扑

建立在实验三的基础上，这里只需要加一个server模拟web服务器和客户端即可，有关实验三的内容可参考我之前写的博客：基于ensp的小型局域网网络搭建及需求分析（二）

 server1模拟公司的web服务器，为其划分vlan10，client1用来测试高级acl，它属于生产部门，同是vlan20

2.2实验配置

server3：

client：

 为server和client划分vlan：

[Huawei]int e0/0/5	
[Huawei-Ethernet0/0/5]port link-type access
[Huawei-Ethernet0/0/5]port default vlan 10
[Huawei]int e0/0/6	
[Huawei-Ethernet0/0/5]port link-type access
[Huawei-Ethernet0/0/5]port default vlan 20

 测试还没有配置acl时，client和server能否ping通，能否访问web服务

所以在没有配置acl之前都是没有问题的

配置高级acl，不允许生产部的电脑ping 公司web服务器，但可以访问网页：

LSW2：

[Huawei]acl 3001
[Huawei-acl-adv-3001]rule 5 deny icmp source 192.168.20.20 0.0.0.255 destination
 192.168.10.10 0 
[Huawei-acl-adv-3001]rule 10 permit tcp source 192.168.20.20 0.0.0.255 destinati
on 192.168.10.10 0 destination-port eq 80
[Huawei]int Ethernet 0/0/5	
[Huawei-Ethernet0/0/5]traffic-filter outbound acl 3001

 显示失败，即无法ping通

 但是还能访问web服务

 三 对前期实验公司网络设置的各部门vlan，设置企业财务服务器，只允许财务部门VLAN 的电脑访问

这里与前期配置重复，具体配置点击此链接：

 基于ensp的小型局域网网络搭建及需求分析（二）

有什么问题欢迎私信或评论区dd，配置文件可以私信找我来取