ACL之Telnet

 需求
  - 为了便于设备管理，为设备开启远程管理功能，登录密码：HCIE
  - 仅仅允许 192.168.1.254 远程登录 R2，拒绝其他所有IP地址
  - 拒绝 R1的任何IP地址远程登录 R3，其他设备都可以

配置步骤

  第一步：配置路由，让网络互通

    -配置R1/R2/R3的接口IP地址

    -在R1中配置默认路由，下一跳为192.168.12.2

    -在R2中配置去往192.168.1.0/24的静态路由，下一跳为192.168.12.1

    -在R2中配置去往192.168.3.0/24的静态路由，下一跳为192.168.23.3

    -在R3中配置默认路由，下一跳为192.168.23.2

  第二步：配置Telnet 远程

       -R2/R3开启远程，远程密码：HCIE

  第三步：在R2中配置基本ACL

    -在R2配置基本ACL，允许源IP：192.168.1.254  远程登录R2  ，拒绝其他IP远程

    -在R2的vty 虚接口调用ACL

  第四步：在R3中配置基本ACL

    -在R3配置基本ACL，拒绝源IP：192.168.1.254  远程登录R3 

    -在R3配置基本ACL，拒绝源IP：192.168.12.1 远程登录R3

    -在R3配置基本ACL，允许其他所有IP地址远程登录R3

    -在R3的vty 虚接口调用ACL

  第五步：测试与验证

配置命令
第一步：配置路由，让网络互通
R1配置：
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip address 192.168.12.1 24
[R1-GigabitEthernet0/0/0]int g0/0/2
[R1-GigabitEthernet0/0/2]ip address 192.168.1.254 24
[R1-GigabitEthernet0/0/2]quit
[R1]ip route-static 0.0.0.0 0 192.168.12.2

R2配置：
[R2]int g0/0/0
[R2-GigabitEthernet0/0/0]ip address 192.168.12.2 24
[R2-GigabitEthernet0/0/0]int g0/0/1
[R2-GigabitEthernet0/0/1]ip address 192.168.23.2 24
[R2-GigabitEthernet0/0/1]int g0/0/2
[R2-GigabitEthernet0/0/2]ip address 192.168.2.254 24
[R2-GigabitEthernet0/0/2]quit
[R2]ip route-static 192.168.1.0 24 192.168.12.1
[R2]ip route-static 192.168.3.0 24 192.168.23.3

R3配置：
[R3]int g0/0/0
[R3-GigabitEthernet0/0/0]ip address 192.168.23.3 24
[R3-GigabitEthernet0/0/0]int g0/0/2
[R3-GigabitEthernet0/0/2]ip address 192.168.3.254 24
[R3-GigabitEthernet0/0/2]quit
[R3]ip route-static 0.0.0.0  0 192.168.23.2

第二步：配置Telnet远程
R2配置：
[R2]user-interface vty 0 4
[R2-ui-vty0-4]authentication-mode password 
[R2-ui-vty0-4]protocol inbound all
Please configure the login password (maximum length 16):HCIE

R3配置：
[R3]user-interface vty 0 4 
[R3-ui-vty0-4]authentication-mode password 
[R3-ui-vty0-4]protocol inbound all
Please configure the login password (maximum length 16):HCIE

第三步：R2配置基本ACL
R2配置：
[R2]acl 2000
[R2-acl-basic-2000]rule 10 permit source 192.168.1.254 0 
[R2-acl-basic-2000]quit
[R2]user-interface vty 0 4
[R2-ui-vty0-4]acl 2000 inbound    //在vty虚接口调用acl

第四步：R3配置基本ACL
R3配置：
[R3]acl 2000
[R3-acl-basic-2000]rule 10 deny source 192.168.1.254 0
[R3-acl-basic-2000]rule 20 deny source 192.168.12.1 0
[R3-acl-basic-2000]rule 30 permit source any
[R3-acl-basic-2000]quit 
[R3]user-interface vty 0 4 
[R3-ui-vty0-4]acl 2000 inbound    //在vty虚接口调用acl

隐含规则：
&：允许所有：只要使用taffic-filter调用ACL规则时默认规则是允许所有
&：拒绝所有：只要不使用taffic-filter调用ACL就是拒绝所有

备注：使用ACL去过滤telnet 报文的时候，选择在vty 虚接口调用
如果路由器配置了多个接口IP地址，做ACL调用的时候要在每一个接口调用，非常麻烦
所以使用ACL过滤telent报文时，建议在user-interface vty 0 4 接口下调用

第五步：测试与验证
R1的192.168.1.254  可以远程R2的任意一个IP地址
<R1>telnet -a 192.168.1.254  192.168.12.2（R2） 可以成功
<R1>telnet -a 192.168.1.254  192.168.23.2（R2） 可以远程
<R1>telnet -a 192.168.1.254  192.168.2.254（R2） 可以远程

R1的192.168.12.1  无法远程R2
<R1>telnet -a 192.168.12.1  192.168.12.2（R2） 无法远程
<R1>telnet -a 192.168.12.1  192.168.23.2（R2） 无法远程
<R1>telnet -a 192.168.12.1  192.168.2.254（R2） 无法远程

R2可以远程R3
<R2>telnet 192.168.23.3 （R3）可以远程

R3无法远程R2
<R3>telnet 192.168.23.2 （R2）无法远程

R1无法远程R3
<R1>telnet -a 192.168.12.1  192.168.23.3（R3） 无法远程
<R1>telnet -a 192.168.12.1  192.168.3.254（R3） 无法远程