网络安全---Packet Tracer - 配置扩展 ACL

一、实验目的

在Windows环境下利用Cisco Packet Tracer进行 配置防火墙操作。

二、实验环境

1.Windows10、Cisco Packet Tracer 8.2

2.相关的环境设置

在最初的时候，我们已经得到了搭建好的拓扑模型，利用已经搭建好的拓扑模型，进行后续的相关实验操作。以下则是搭建该拓扑模型时候的相关信息。

（1）地址分配表

设备	接口	IP 地址	子网掩码	默认网关
RTA	G0/0	10.101.117.49	255.255.255.248	不适用
	G0/1	10.101.117.33	255.255.255.240	不适用
	G0/2	10.101.117.1	255.255.255.224	不适用
PCA	NIC	10.101.117.51	255.255.255.248	10.101.117.49
PCB	NIC	10.101.117.35	255.255.255.240	10.101.117.33
SWA	VLAN 1	10.101.117.50	255.255.255.248	10.101.117.49
SWB	VLAN 1	10.101.117.34	255.255.255.240	10.101.117.33
SWC	VLAN 1	10.101.117.2	255.255.255.224	10.101.117.1

3.背景/场景

在此场景中，系统允许一个 LAN 中的设备使用 SSH 协议 远程访问另一个 LAN 中的设备。除了 ICMP 之外， 来自其他网络的所有流量都会被拒绝。

已使用 以下信息对交换机和路由器进行了预配置：

·启用加密密码：ciscoenpa55

·控制台密码：ciscoconpa55

·本地用户名和密码：Admin/ Adminpa55

三、实验内容

任务 1: 配置扩展 ACL

任务 2: 应用扩展ACL

任务 3: 检验ACL的实施

四、实验步骤

任务 1: 配置扩展 ACL

        a.     在 RTA 的相应配置模式下，使用最后一个有效的 扩展访问列表编号来配置 ACL。按照以下步骤 构建第一个 ACL 语句：

1)     最后一个扩展列表编号是 199。

2)     协议是 TCP。

3)     源网络是 10.101.117.32。

4)     通配符可通过从 255.255.255.255 中减去 255.255.255.240 来确定。

5)     目的网络是 10.101.117.0。

6)     通配符可通过从 255.255.255.255 中减去 255.255.255.224 来确定。

7)     协议为 SSH（端口 22）。

第一个 ACL 语句是什么？

首先我们通过RTA下的相关语句进入其config操作环境下，相关的命令如下

RTA>enable

Password: （此处输入密码时，不会显示，相对来说更加安全。）

Password:

RTA#?（问号可以查看此权限下的相关命令）

Exec commands:

<1-99> Session number to resume

auto Exec level Automation

clear Reset functions

clock Manage the system clock

configure Enter configuration mode

connect Open a terminal connection

copy Copy from one file to another

debug Debugging functions (see also 'undebug')

delete Delete a file

dir List files on a filesystem

disable Turn off privileged commands

disconnect Disconnect an existing network connection

enable Turn on privileged commands

erase Erase a filesystem

exit Exit from the EXEC

logout Exit from the EXEC

mkdir Create new directory

more Display the contents of a file

no Disable debugging informations

ping Send echo messages

reload Halt and perform a cold restart

RTA#config

RTA#configure

Configuring from terminal, memory, or network [terminal]?

Enter configuration commands, one per line. End with CNTL/Z.

此时我们已经进入了RTA#config下

通过以上要求，我们可以知道输入的第一个语句应当是：

access-list 199 permit tcp 10.101.117.32 0.0.0.15 10.101.117.0 0.0.0.31 eq 22

b.     允许 ICMP，并且需要第二个 ACL 语句。使用同一 访问列表编号允许所有 ICMP 流量，无需考虑源地址或 目的地址。第二个 ACL 语句是什么？（提示：使用任何关键字）

语句为：access-list 199 permit icmp any any

c.     默认情况下，所有其他 IP 流量都被拒绝。

任务 2：     应用扩展 ACL

        一般来说，要将扩展 ACL 放在靠近 源地址的位置。但是，由于访问列表 199 会影响来源于 网络 10.101.117.48/29 和 10.101.117.32/28 的流量，所以最好将该 ACL 放置在 位于出站方向的千兆以太网 0/2 接口上。使用 什么命令可以将 ACL 199 应用到千兆位以太网 0/2 接口？

相关的语句命令如下：

        RTA(config)#interface g0/2

RTA(config-if)#ip

         % Incomplete command.

        RTA(config-if)#ip access-group 199 out

任务3：     检验扩展 ACL 的实施

1、从 PCB 对网络中的所有其他 IP 地址执行 ping 操作。如果 执行 ping 操作不成功，请在继续之前验证 IP 地址。

1. 2、从 PCB 通过 SSH 连接到 SWC。用户名为 Admin， 密码为 Adminpa55。

PC> ssh -l Admin 10.101.117.2

3、退出 SWC 的 SSH 会话。

3、从 PCA 对网络中的所有其他 IP 地址执行 ping 操作。如果 执行 ping 操作不成功，请在继续之前验证 IP 地址。

4、从 PCA 通过 SSH 连接到 SWC。访问列表导致路由器拒绝连接。

5、从 PCA 通过 SSH 连接到 SWB。访问列表位于 G0/2 上，而且不会影响此连接。用户名为 Admin， 密码为 Adminpa55。

6、在登录 SWB 之后，请不要退出。在 特权 EXEC 模式下通过 SSH 连接到 SWC。

SWB# ssh -l Admin 10.101.117.2

五、实验结果及分析

        此次实验，我们通过相关拓扑模型建立简单的防火墙，达到了预期的实验目标。

六、总结

        通过此次实验，我们利用已经建立好的拓扑模型，通过相关操作建立了一个简单的防火墙，达到了防火墙的初步功能。