需求
- 为了便于设备管理,为设备开启远程管理功能,登录密码:HCIE
- 仅仅允许 192.168.1.254 远程登录 R2,拒绝其他所有IP地址
- 拒绝 R1的任何IP地址远程登录 R3,其他设备都可以
配置步骤
第一步:配置路由,让网络互通
-配置R1/R2/R3的接口IP地址
-在R1中配置默认路由,下一跳为192.168.12.2
-在R2中配置去往192.168.1.0/24的静态路由,下一跳为192.168.12.1
-在R2中配置去往192.168.3.0/24的静态路由,下一跳为192.168.23.3
-在R3中配置默认路由,下一跳为192.168.23.2
第二步:配置Telnet 远程
-R2/R3开启远程,远程密码:HCIE
第三步:在R2中配置基本ACL
-在R2配置基本ACL,允许源IP:192.168.1.254 远程登录R2 ,拒绝其他IP远程
-在R2的vty 虚接口调用ACL
第四步:在R3中配置基本ACL
-在R3配置基本ACL,拒绝源IP:192.168.1.254 远程登录R3
-在R3配置基本ACL,拒绝源IP:192.168.12.1 远程登录R3
-在R3配置基本ACL,允许其他所有IP地址远程登录R3
-在R3的vty 虚接口调用ACL
第五步:测试与验证
配置命令
第一步:配置路由,让网络互通
R1配置:
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip address 192.168.12.1 24
[R1-GigabitEthernet0/0/0]int g0/0/2
[R1-GigabitEthernet0/0/2]ip address 192.168.1.254 24
[R1-GigabitEthernet0/0/2]quit
[R1]ip route-static 0.0.0.0 0 192.168.12.2
R2配置:
[R2]int g0/0/0
[R2-GigabitEthernet0/0/0]ip address 192.168.12.2 24
[R2-GigabitEthernet0/0/0]int g0/0/1
[R2-GigabitEthernet0/0/1]ip address 192.168.23.2 24
[R2-GigabitEthernet0/0/1]int g0/0/2
[R2-GigabitEthernet0/0/2]ip address 192.168.2.254 24
[R2-GigabitEthernet0/0/2]quit
[R2]ip route-static 192.168.1.0 24 192.168.12.1
[R2]ip route-static 192.168.3.0 24 192.168.23.3
R3配置:
[R3]int g0/0/0
[R3-GigabitEthernet0/0/0]ip address 192.168.23.3 24
[R3-GigabitEthernet0/0/0]int g0/0/2
[R3-GigabitEthernet0/0/2]ip address 192.168.3.254 24
[R3-GigabitEthernet0/0/2]quit
[R3]ip route-static 0.0.0.0 0 192.168.23.2
第二步:配置Telnet远程
R2配置:
[R2]user-interface vty 0 4
[R2-ui-vty0-4]authentication-mode password
[R2-ui-vty0-4]protocol inbound all
Please configure the login password (maximum length 16):HCIE
R3配置:
[R3]user-interface vty 0 4
[R3-ui-vty0-4]authentication-mode password
[R3-ui-vty0-4]protocol inbound all
Please configure the login password (maximum length 16):HCIE
第三步:R2配置基本ACL
R2配置:
[R2]acl 2000
[R2-acl-basic-2000]rule 10 permit source 192.168.1.254 0
[R2-acl-basic-2000]quit
[R2]user-interface vty 0 4
[R2-ui-vty0-4]acl 2000 inbound //在vty虚接口调用acl
第四步:R3配置基本ACL
R3配置:
[R3]acl 2000
[R3-acl-basic-2000]rule 10 deny source 192.168.1.254 0
[R3-acl-basic-2000]rule 20 deny source 192.168.12.1 0
[R3-acl-basic-2000]rule 30 permit source any
[R3-acl-basic-2000]quit
[R3]user-interface vty 0 4
[R3-ui-vty0-4]acl 2000 inbound //在vty虚接口调用acl
隐含规则:
&:允许所有:只要使用taffic-filter调用ACL规则时默认规则是允许所有
&:拒绝所有:只要不使用taffic-filter调用ACL就是拒绝所有
备注:使用ACL去过滤telnet 报文的时候,选择在vty 虚接口调用
如果路由器配置了多个接口IP地址,做ACL调用的时候要在每一个接口调用,非常麻烦
所以使用ACL过滤telent报文时,建议在user-interface vty 0 4 接口下调用
第五步:测试与验证
R1的192.168.1.254 可以远程R2的任意一个IP地址
<R1>telnet -a 192.168.1.254 192.168.12.2(R2) 可以成功
<R1>telnet -a 192.168.1.254 192.168.23.2(R2) 可以远程
<R1>telnet -a 192.168.1.254 192.168.2.254(R2) 可以远程
R1的192.168.12.1 无法远程R2
<R1>telnet -a 192.168.12.1 192.168.12.2(R2) 无法远程
<R1>telnet -a 192.168.12.1 192.168.23.2(R2) 无法远程
<R1>telnet -a 192.168.12.1 192.168.2.254(R2) 无法远程
R2可以远程R3
<R2>telnet 192.168.23.3 (R3)可以远程
R3无法远程R2
<R3>telnet 192.168.23.2 (R2)无法远程
R1无法远程R3
<R1>telnet -a 192.168.12.1 192.168.23.3(R3) 无法远程
<R1>telnet -a 192.168.12.1 192.168.3.254(R3) 无法远程