ACL访问控制列表

实验需求：
所有红色代表允许通过 紫色是源目标IP地址 绿色是目标IP地址
R15只允许WG登录（远程登录）
YF和CW之间不能互通，但都可以和WG互通
WG和YF可以访问Client1
CW不能访问Client1
YF和CW只能访问Server1的WWW服务
只有WG才能访问Server1的所有服务
配置思路：
1、 先实现全网互通、在每一台路由器上都配置好本机没有的路由表、每一台服务器或者PC机上配置好IP地址和网关、
2、 在要登录的路由器配置好远程协议
3、 在配置高级ACL协议，尽量在距离源IP地址上配置高级ACL协议
实验步骤一：
所有设备配置IP地址
[R16]ip route-static 0.0.0.0 0.0.0.0 192.168.12.2 #在R16上配置默认路由
[R17]ip route-static 0.0.0.0 0.0.0.0 192.168.13.2 #在R17上配置默认路由
在R15上配置所有网段的静态路由 分别指向每一个网段的下一跳地址
在R15上配置aaa认证并启用 远程协议Telnet

在WG路由器上写一条默认路由：
[WG]ip route-static 0.0.0.0 0.0.0.0 192.168.10.254 #指向自己网关的下一跳地址
实验步骤二：
在实验需求上找源地址距离最近的设备配置高级ACL协议
R15只允许WG登录（远程登录）：
[R15]acl 2000 #进入ACL 基础协议
[R15-acl-basic-2000]rule 5 permit source 192.168.10.1 0.0.0.0
允许 源IP地址 #写一条只允许WG登录的协议条目
[R15-ui-vty0-4]acl 2000 inbound #在远程虚拟接口开启

YT主机访问控制：
YF和CW之间不能互通
YF可以和WG、Client1互通
YF只能访问Server1 的www服务
[R16]acl 3000 #创建高级ACL协议
[R16-acl-adv-3000]rule 5 permit ip source 192.168.20.1 0.0.0.0 destination 192.168.10.1 0.0.0.0 #第一条协议条目可以和WG通信
[R16-acl-adv-3000]rule 10 permit ip source 192.168.20.1 0.0.0.0 destination 1.1.1.1 0.0.0.0 #第二条协议条目代表 可以和Client1 通信
[R16-acl-adv-3000]rule 15 permit tcp source 192.168.20.1 0.0.0.0 destination 192.168.1.1 0.0.0.0 destination-port eq 80（代表这个协议的端口号是多少） #只能访问Serve1的www（http）服务
[R16-acl-adv-3000]rule 20 deny ip source any #不允许所有 源IP通过
[R16-GigabitEthernet0/0/1]traffic-filter inbound acl 3000 #调用ACL协议
CW和YF、Client1之间不能互通
CW可以和WG互通
CW只能访问Server1的www服务
[R17-acl-adv-3000]rule 5 permit ip source 192.168.30.1 0.0.0.0 destination 192.168.10.1 0.0.0.0 #CW可以和WG互通
[R17-acl-adv-3000]rule 10 permit tcp source 192.168.30.1 0.0.0.0 destination 192.168.1.1 0.0.0.0 destination-port eq 80（代表这个协议的端口号是多少） # CW只能访问Server1的WWW（http）服务
[R17-GigabitEthernet0/0/0]traffic-filter inbound acl 3000 #进入接口调用ACL协议

ACL与端口的traffic-filter结合使用的时候最后是代表所有都能通过
当ACL与其他的协议一起用的时候最后代表所有都拒绝通过