ensp 扩展ACL实验

题目：
1.pc1可以用telnet ar1 ，不可以ping ar1；
2.pc1可以ping ar2 ，不可以telnet ar 2；
3.pc2要求与pc1相反；

一.分析题目

1.因为是具体到阻止某个操作，所以我们可以确定用扩展ACL，因为扩展ACL是要靠近源，也就是要在ar1的g/0/0/0接口上进行调用，因为题目中的四个条件都是在g0/0/0接口实施策略，所以只用写一张表，因为在一个方向的一个接口上只能调用一张表
2.写ACL表最好是先写拒绝的要求，最后再写允许所有，因为华为默认是允许所有的所以不需要写。
所以我们可以把题目要求进一步翻译：
pc1不能ping AR1 也就是 192.168.1.2 icmp 192.168.1.1 和192.168.2.1
pc1不能telnet AR2 也就是 TCP 23 192.168.2.2
pc2不能ping AR2 也就是 192.168.2.2
pc2不能telnet AR1 也就是 TCP 23 192.168.2.1
3.这里把路由器当作pc用

二.实验步骤

1.搭建实验拓扑图

2.给接口配置IP地址

[r1]int g0/0/0
[r1-GigabitEthernet0/0/0]ip ad 192.168.1.1 24
[r1-GigabitEthernet0/0/0]int g0/0/1
[r1-GigabitEthernet0/0/1]ip ad 192.168.2.1 24

[r2]int g0/0/1
[r2-GigabitEthernet0/0/1]ip ad 192.168.2.2 24

[pc1]int g0/0/0
[pc1-GigabitEthernet0/0/0]ip ad 192.168.1.2 24

[pc2]int g0/0/0
[pc2-GigabitEthernet0/0/0]ip ad 192.168.1.3 24

3.写缺省路由

[pc1]ip route-static 0.0.0.0 0 192.168.1.1

[pc2]ip route-static 0.0.0.0 0 192.168.1.1

4.写路由

[r2]ip route-static 192.168.1.0 24 192.168.2.1

5.开启telnet

[r1]aaa
[r1-aaa]local-user yzyss password cipher 123456
[r1-aaa]local-user yzyss service-type telnet
[r1-aaa]local-user yzyss privilege level 15
[r1-aaa]q
[r1]user-interface vty 0 4
[r1-ui-vty0-4]authentication-mode aaa

成功如下图：

[r2]aaa
[r2-aaa]local-user yzyss password cipher 123456
[r2-aaa]local-user yzyss service-type telnet
[r2-aaa]local-user yzyss privilege level 15
[r2-aaa]q
[r2]user-interface vty 0 4
[r2-ui-vty0-4]authentication-mode aaa

6.写ACL表完成题目要求

[r1]acl 3000
[r1-acl-adv-3000]rule deny icmp source 192.168.1.2 0 destination 192.168.1.1 0 （pc1拒绝ping ar1）
[r1-acl-adv-3000]rule deny icmp source 192.168.1.2 0 destination 192.168.2.1 0 （pc1拒绝ping ar1）
[r1-acl-adv-3000]rule deny tcp source 192.168.1.2 0 destination 192.168.2.2 0 destination-port eq 23（pc1拒绝telnet ar2）

[r1-acl-adv-3000]rule deny tcp source 192.168.1.3 0 destination 192.168.1.1 0 destination-port eq 2 （pc2拒绝telnet ar1）
r1-acl-adv-3000]rule deny tcp source 192.168.1.3 0 destination 192.168.2.1 0 destination-port eq 23 （pc2拒绝telnet ar1）
[r1-acl-adv-3000]rule deny icmp source 192.168.1.3 0 destination
192.168.2.2 0 （pc2拒绝ping ar2）

[r1-acl-adv-3000]q
[r1]int g0/0/0
[r1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000 （接口调用）

测试如下：