【系统集成】作业——访问控制列表ACL配置

实验任务:

  • 基本ACL实验,建立拓扑(pc1+pc2)SW1>>R1>>R2>>SW2(pc3),配置缺省路由,使pc1、pc2与pc3能相互通信。设置ACL,使pc1不能访问pc3(pc2可正常访问pc3)。
  • 高级ACL实验,对前期实验公司网络设置的各部门,不允许生产部的电脑ping 公司web服务器,但可以访问网页。
  • 对前期实验公司网络设置的各部门vlan,设置企业财务服务器,只允许财务部门VLAN 的电脑访问

    本次实验主要用到的技术是普通acl和高级acl:

  • ACL的使用分为两步: 

(1)创建访问控制列表ACL,根据实际需要设置对应的条件项;

(2)将ACL应用到路由器指定接口的指定方向(in/out)上。 

  • 在ACL的配置与使用中需要注意以下事项: 

(1)ACL是自顶向下顺序进行处理,一旦匹配成功,就会进行处理,且不再比对以后的语句,所以ACL中语句的顺序很重要。应当将最严格的语句放在最上面,最不严格的语句放在底部。

(2)当所有语句没有匹配成功时,会丢弃分组。这也称为ACL隐性拒绝。 

(3)每个接口在每个方向上,只能应用一个ACL。

(4)标准ACL应该部署在距离分组的目的网络近的位置,扩展ACL应该部署在距离分组发送者近的位置

目录

一 基本ACL实验,建立拓扑(pc1+pc2)SW1>>R1>>R2>>SW2(pc3),配置缺省路由,使pc1、pc2与pc3能相互通信。设置ACL,使pc1不能访问pc3(pc2可正常访问pc)

1.1实验拓扑

1.2实验配置

二 高级ACL实验,对前期实验公司网络设置的各部门,不允许生产部的电脑ping 公司web服务器,但可以访问网页

2.1实验拓扑

2.2实验配置

 三 对前期实验公司网络设置的各部门vlan,设置企业财务服务器,只允许财务部门VLAN 的电脑访问


一 基本ACL实验,建立拓扑(pc1+pc2)SW1>>R1>>R2>>SW2(pc3),配置缺省路由,使pc1、pc2与pc3能相互通信。设置ACL,使pc1不能访问pc3(pc2可正常访问pc)

1.1实验拓扑

1.2实验配置

pc1:

 pc2:

 pc3:

R1:

[r1]int g0/0/0
[r1-GigabitEthernet0/0/0]ip address 192.168.1.1 24
[r1]int g0/0/1
[r1-GigabitEthernet0/0/1]ip address 12.1.1.1 24

R2:

[r2]int g0/0/0
[r2-GigabitEthernet0/0/0]ip address 12.1.1.2 24
[r2]int g0/0/1
[r2-GigabitEthernet0/0/1]ip address 192.168.2.1 24

配置缺省路由:

R1:

[r1]ip route-static 0.0.0.0 0.0.0.0 12.1.1.2 

R2:

[r2]ip route-static 0.0.0.0 0.0.0.0 12.1.1.1

此时三台pc已能互相ping通,设置ACL,使pc1不能访问pc3(pc2可正常访问pc):

[Huawei]acl 2000
[Huawei-acl-basic-2000]rule 5 deny source 192.168.1.10 0 //这里匹配的是pc2的ip
[Huawei-acl-basic-2000]int e0/0/3
[Huawei-Ethernet0/0/2]traffic-filter outbound acl 2000

此时:

pc1无法ping通pc3 

但是pc2能ping通pc3

二 高级ACL实验,对前期实验公司网络设置的各部门,不允许生产部的电脑ping 公司web服务器,但可以访问网页

2.1实验拓扑

建立在实验三的基础上,这里只需要加一个server模拟web服务器和客户端即可,有关实验三的内容可参考我之前写的博客:基于ensp的小型局域网网络搭建及需求分析(二)

 server1模拟公司的web服务器,为其划分vlan10,client1用来测试高级acl,它属于生产部门,同是vlan20

2.2实验配置

server3:

client:

 为server和client划分vlan:

[Huawei]int e0/0/5	
[Huawei-Ethernet0/0/5]port link-type access
[Huawei-Ethernet0/0/5]port default vlan 10
[Huawei]int e0/0/6	
[Huawei-Ethernet0/0/5]port link-type access
[Huawei-Ethernet0/0/5]port default vlan 20

 测试还没有配置acl时,client和server能否ping通,能否访问web服务

所以在没有配置acl之前都是没有问题的

配置高级acl,不允许生产部的电脑ping 公司web服务器,但可以访问网页:

LSW2:

[Huawei]acl 3001
[Huawei-acl-adv-3001]rule 5 deny icmp source 192.168.20.20 0.0.0.255 destination
 192.168.10.10 0 
[Huawei-acl-adv-3001]rule 10 permit tcp source 192.168.20.20 0.0.0.255 destinati
on 192.168.10.10 0 destination-port eq 80
[Huawei]int Ethernet 0/0/5	
[Huawei-Ethernet0/0/5]traffic-filter outbound acl 3001

 显示失败,即无法ping通

 但是还能访问web服务

 三 对前期实验公司网络设置的各部门vlan,设置企业财务服务器,只允许财务部门VLAN 的电脑访问

这里与前期配置重复,具体配置点击此链接:

 基于ensp的小型局域网网络搭建及需求分析(二)

有什么问题欢迎私信或评论区dd,配置文件可以私信找我来取

  • 10
    点赞
  • 15
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 4
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 4
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

天亮之前_ict

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值