当前位置：文档之家 › 访问控制列表 实验

访问控制列表 实验

  • 格式：doc
  • 大小：76.50 KB
  • 文档页数：6

访问控制列表(ACL)的综合应用实验-风行版

访问控制列表的综合应用

实验拓扑：

实验要求：

1、 在R2上配置标准访问列表，拒绝所有来自3.3.3.0网络的数据包。

2、 在R2上配置扩展访问列表，阻塞来自网络23.1.1.0/24发往12.1.1.1地址的ICMP包。

3、 用命名的访问列表完成上述两个实验。

4、 R1路由器只允许23.1.1.3的IP地址能够Telnet到路由器上。

5、 在第4步骤中，R1路由器只允许R3在2006年11月1日至2006年11月30日的每周一到周五的8：00到18：00和周末的9：00到21：00才可以Telnet到R1。

6、 只允许R1能够主动发起连接Telnet到R3，不允许R3主动发起连接到R1路由器（Established）。

7、 在R2上配置Lock-and-key，R3与R1建立连接前需要在R2上进行认证（Telnet），在R2上的认证方式为本地数据库（在VTY线路下面开启Login local），R2自动生成临时动态访问列表，并配置绝对超时时间为5分钟，空闲时间为3分钟，自动生成的访问列表中的源地址必须用认证主机IP地址来进行替换。

8、 在R2上配置自反列表，使R1可以Ping通R3，R3不能Ping通R1。

IP地址表：（如图）

实验配置如下：

一、基本配置：

配置R1：

Router>en Router#conf t

Router(config)#hostname R1

R1(config)#int S0

R1(config-if)#ip add 12.1.1.1 255.255.255.0

R1(config-if)#no shut

R1(config-if)#router rip

R1(config-router)#network 12.1.1.1

R1(config-router)#end

R1#sh run

配置R2：

Router>en

Router#conf t

Router(config)#hostname R2

R2(config)#int S0

R2(config-if)#ip add 12.1.1.2 255.255.255.0

R2(config-if)#no shut

R2(config-if)#clock rate 64000

R2(config-if)#int S1

R2(config-if)#ip add 23.1.1.2 255.255.255.0

R2(config-if)#no shut

R2(config-if)#clock rate 64000

R2(config-if)#router rip

R2(config-router)#network 12.1.1.2

R2(config-router)#network 23.1.1.2

R2(config-router)#end

R2#sh run

配置R3：

Router>en

Router#conf t

Router(config)#hostname R3

R3(config)#int S0

R3(config-if)#ip add 23.1.1.3 255.255.255.0 R3(config-if)#no shut

R3(config-if)#int loop0

R3(config-if)#ip add 3.3.3.3 255.255.255.0

R3(config-if)#no shut

R3(config-if)#router rip

R3(config-router)#network 3.3.3.3

R3(config-router)#network 23.1.1.3

R3(config-router)#end

R3#sh run

二、访问控制列表综合应用：

1. 在R2上配置标准访问列表，拒绝所有来自3.3.3.0网络的数据包.

R2#conf t

R2(config)#access-list 10 deny 3.3.3.0 0.0.0.255

R2(config)#access-list 10 permit any

R2(config)#int S1

R2(config-if)#ip access-group 10 in

2. 在R2上配置扩展访问列表，阻塞来自网络23.1.1.0/24发往12.1.1.1地址的ICMP包.

R2#conf t

R2(config)#access-list 100 deny icmp 23.1.1.0 0.0.0.255 host 12.1.1.1

R2(config)#access-list 100 permit ip any any

R2(config)#int S1

R2(config-if)#ip access-group 100 in

3.R1路由器只允许23.1.1.3的IP地址能够Telnet到路由器上.

R1#conf t

R1(config)#access-list 110 permit tcp host 23.1.1.3 host 12.1.1.1 eq 23

R1(config)#int S0

R1(config-if)#ip access-group 110 in

4. 在第3步骤中，R1路由器只允许R3在2006年11月1日至2006年11月30日的每周一到周五的8：00到18：00和周末的9：00到21：00才可以Telnet到R1.

R1#conf t

R1(config)#time-range telnettime //建立允许访问的时间范围 R1(config-time-range)#absolute start 00:00 1 nov 2006 end 00:00 1 dec 2006

R1(config-time-range)#periodic weekday 08:00 to 18:00

R1(config-time-range)#periodic weekend 09:00 to 21:00

R1(config-time-range)#exit

R1(config)#access-list 110 permit tcp host 23.1.1.3 host 12.1.1.1 eq 23 time-range

telnettime

//建立访问控制列表只允许R3telnet登入到R1，将允许时间范围应用上

R1(config)#int S0

R1(config-if)#ip access-group 110 in

5. 只允许R1能够主动发起连接Telnet到R3，不允许R3主动发起连接到R1路由器（Established）.

R1#conf t

R1(config)#access-list 110 permit tcp host 23.1.1.3 host 12.1.1.1 eq 23 time-range

telnettime established //建立Established列表，只允许R1主动发起连接Telnet到R3, 这里的源地址指的是 R3的接口地址23.1.1.3，因为要检查的是R3回应的数据流，只有回应的数据流中TCP的ACK或RST比特才会被设置成1，主动发起连接的设备R1数据流中的TCP的ACK为0,establish关键字只能用在TCP数据流上，不能用在UDP、ICMP和其他的IP协议上，否则无效。

R1(config)#int S0

R1(config-if)#ip access-group 110 in

6. 在R2上配置Lock-and-key，R3与R1建立连接前需要在R2上进行认证（Telnet），在R2上的认证方式为本地数据库（在VTY线路下面开启Login local），R2自动生成临时动态访问列表，并配置绝对超时时间为5分钟，空闲时间为3分钟，自动生成的访问列表中的源地址必须用认证主机IP地址来进行替换.

R2#conf t

R2(config)#access-list 120 dynamic lion timeout 5 permit tcp any host 12.1.1.1//绝对超时5分钟就是登录到pc机上的时间

R2(config)#access-list 120 permit tcp host 23.1.1.3 host 23.1.1.2 //允许R3通过tcp协议访问R2，首先要通过R2的认证。

R2(config)#int S1

R2(config-if)#ip access-group 120 in

R2(config-if)#end

R2#access-enable host timeout 3

//配置Lock-and-key特性的最后步骤是让路由器能在一个动态访问控制列表中创建一个临时性的访问控制列表条目，缺省情况下，路由器是不这么做的，可以使用下面此命令来进行启用.

Cisco强烈推荐用户使用该命令的关键字Host，其源地址总是用认证主机的IP地址来替换，所以我们在定义动态访问列表的源地址中总是指定any；Timeout规定了空闲超时值，指示连接在被切断之前允许保持的空闲时间。

或者

R2#conf t

R2(config)#username lion password lion //建立本地用户和口令

R2(config)#line vty 0 4

R2(config-line)#login local //登入使用本地认证

R2(config-line)#autocommand access-enable host timeout 3 //触发access-enable的命令3分钟如果没有登录到R1那么则剔除R3的请求

7. 在R2上配置自反列表，使R1可以Ping通R3，R3不能Ping通R1.

R2#conf t

R2(config)#ip access-list extended outbound //建立命名扩展列表，允许从S1接口转发所有的外出路由包

R2(config-ext-ncl)#permit icmp any any reflect icmp_traffic //自反列表，允许R1所有网段能PING通R3

R2(config-ext-ncl)#exit

R2(config)#ip access-list extended inbound

R2(config-ext-ncl)#evaluate icmp_traffic //检查从外网进来的流量，如果这个流量确实是从内网发起的对外访问的返回流量，那么允许这个流量进来

R2(config-ext-ncl)#exit

R2(config)#int S1

R2(config-if)#ip access-group outbound out //应用控制列表

R2(config-if)#ip access-group inbound in

实验总结：

1.基于时间的访问控制列表：

①使用方法

这种基于时间的访问列表就是在原来的标准访问列表和扩展访问列表中加入有效的时间范围来更合理有效的控制网络。它需要先定义一个时间范围，然后在原来的各种访问列表的基础上应用它。并且，对于编号访问表和名称访问表都适用。

②使用规则

用time-range 命令来指定时间范围的名称，然后用absolute命令或者一个或多个

合集下载

实验十一：标准访问控制列表配置

实验十一：标准访问控制列表配置

[键入文字] 1 / 3 《网络互联技术》课程实验指导书 实验十一：标准访问控制列表配置 当网络管理员想要阻止某一网络的所有通信流量时，或者允许来自某一特定网络的所有通信流量时，或者想要拒绝某一协议簇的所有通信流量时，可以使用标准访问控制列表实现这一目标。 标准ACL检查可以过滤被路由的数据包的源地址、从而允许或拒绝基于网络、子网或主机IP地址的某一协议簇通过路由器出口。 一、网络拓朴 二、实验内容 1、在路由器的E 0/0口添加“ACL 访问控制列表6”并对转出（从路由器端口出来转向交换机或主机）的数据包进行过滤，实现功能：禁止将HostC、HostD的数据包通过路由器E 0/0 口转发到HostA、HostB。其结果是：（对于TCP数据包来说，访问是双向的，只要A不能访问B，则B也将不能访问A）  HostA和HostB之间可以通信，但无法访问HostC、HostD。  HostC和HostD之间可以通信，但无法访问 HostA、HostB。 2、在路由器的E 0/1口添加“ACL 访问控制列表10”并对转出（从路由器端口出来转向 [键入文字] 2 / 3 交换机或主机）的数据包进行过滤，实现功能：禁止HostA、HostC访问Server E服务器。 由于标准ACL访问控制列表只能根据数据包的源地址来过滤通信流量，因此，应该将ACL访问控制列表放置离目标地址最近的地方。 三、实验目的 1、掌握标准访问控制列表的原理 2、掌握标准访问控制列表的配置 四、实验设备 1、一台台思科（Cisco）3620路由器 2、两台思科（Cisco）2950二层交换机 3、思科（Cisco）专用控制端口连接电缆 4、四台安装有 windows 98/xp/2000操作系统的主机 5、一台提供WWW服务的WEB服务器 6、若干直通网线与交叉网线 五、实验过程（需要将相关命令写入实验报告） 1、根据上述图示进行交换机、路由器、主机的连接 2、设置主机的IP地址、子网掩码和默认网关 3、配置路由器接口 Router> enable Router# configure terminal Router(config)# interface ethernet 0/0 Router(config-if)# ip address 192.168.1.1 255.255.255.0 Router(config-if)# no shutdown Router(config-if)# exit Router(config)# interface ethernet 0/1 Router(config-if)# ip address 192.168.3.1 255.255.255.0 Router(config-if)# no shutdown Router(config-if)# exit Router(config)# interface ethernet 0/2 Router(config-if)# ip address 192.168.2.1 255.255.255.0 Router(config-if)# no shutdown Router(config-if)#exit 4、配置访问控制列表6并将之添加到 Ethernet 0/0接口的out方向上 Router(config)# access-list 6 deny 192.168.2.0 0.0.0.255 Router(config)# access-list 6 permit any [键入文字] 3 / 3 Router(config)# interface ethernet 0/0 Router(config-if)# ip access-group 6 out Router(config-if)# exit 5、配置访问控制列表10并将之添加到 Ethernet 0/1接口的out方向上 Router(config)# access-list 10 deny host 192.168.1.2 Router(config)# access-list 10 deny host 192.168.2.2 Router(config)# access-list 10 permit any Router(config)# interface ethernet 0/1 Router(config-if)# ip access-group 10 out Router(config-if)# exit 6、查看设置的访问控制列表信息 Router# show access-lists 7、查看e 0/0 接口上设置的访问控制列表信息 Router# show ip interface e 0/0 8、查看e 0/1 接口上设置的访问控制列表信息 Router# show ip interface e 0/1 六、思考问题 1、请简述标准访问控制列表与扩展访问控制列表有何区别？ 2、请简述设置标准访问控制列表的操作过程。 七、实验报告要求： 按学院实验报告要求完成实验报告的书写。 1、在实验名称的下方写明当前实验的时间（年月日） 2、在实验报告中必须回答当前实验的思考问题 3、实验报告中要求划分当前实验的网络拓朴结构图并书写各步的操作命令。

访问控制列表(ACL)实验 报告

访问控制列表(ACL)实验 报告

1 广东工业大学实验报告

信息工程

学院

08应用电子

术 专业 班 成绩评定_______

学号 31080 姓名 (合作者____号____) 教师签名_______

预习情况 操作情况 考勤情况 数据处理情况

实验 四 题目 访问控制列表（ACL）实验 第 16周星期 四 第 5-6节

一、 实验原理

1、ACL的定义和作用

路由器为了过滤数据包，需要配置一系列的规则，以决定什么样的数据包能够通过，这些规则就是通过访问控制列表ACL定义的。访问控制列表是偶permit/deny语句组成的一系列有顺序的规则，这些规则根据数据包的源地址、目的地址、端口号等来描述。

2、访问控制列表的分类：

·基本的访问控制列表 （basic acl）

·高级的访问控制列表（advanced acl）

·基于接口的访问控制列表（interface-based acl）

·基于MAC的访问控制列表（mac-basedacl）。

二、 实验内容和要求

1、完成拓扑连接，完成对路由器IP配置

2、了解高级访问控制列表的原理和配置方法

三、 实验主要仪器设备和材料

AR28路由器、AR18路由器，一台PC机，以太网线若干，串行线一套。拓扑图如下：

四、 实验方法、步骤及结果测试

1、按照拓扑图连线

2、没有配如ACL访问控制列表的操作

3、在AR28-1上配置高级访问控制列表 2 测试一：试从AR18-1端的PC机向对端使用”飞鸽传书“传输数据，和使用PING与对方通信。实验效果：可以飞鸽传书，可以PING通对方IP

实验结果截图如下：

测试二：试从AR18-1端的PC机向对端使用”飞鸽传书“传输数据，和使用PING与对方通信。实验效果：Router A/B这一组是通过配置AR28-1的ACL，使用与Router C/D这一组的PC机的飞鸽传书不能传输数据，可以发送聊天信息，可以PING通对方IP.

访问控制列表实验

访问控制列表实验

试验9 访问控制列表实验

B ping不通A，但能访问A的其他服务，比如telnet

R1:

hostname r1

interface Ethernet0

ip address 192.168.101.1 255.255.255.0

ip access-group 100 in

no shut

interface serial0

ip address 192.168.1.1 255.255.255.0

clock rate 64000

no shut

ip static 0.0.0.0 0.0.0.0 192.168.1.2

access-list 100 deny icmp any any echo

access-list 100 permit ip any any

R2:

hostname r2

interface Ethernet0

ip address 192.168.100.1 255.255.255.0

no shut

interface serial0

ip address 192.168.1.2 255.255.255.0

no shut

ip static 0.0.0.0 0.0.0.0 192.168.1.1

Host A:

Ipconfig/IP 192.168.101.2 255.255.255.0

Ipconfig/DG 192.168.101.1

Host B:Ipconfig/IP 192.168.100.2 255.255.255.0

Ipconfig/DG 192.168.100.1

访问控制列表ACL配置-实验报告

访问控制列表ACL配置-实验报告

内蒙古师范大学-计算机网络课程设计-实验报告

课设5：访问控制列表ACL的配置

【实验目的】：

1．熟悉掌握网络的基本配置连接

2．对网络的访问性进行配置

【实验说明】：

路由器为了过滤数据包，需要配置一系列的规则，以决定什么样的数据包能够通过，这些规则就是通过访问控制列表ACL定义的。访问控制列表是偶permit/deny语句组成的一系列有顺序的规则，这些规则根据数据包的源地址、目的地址、端口号等来描述。

【实验设备】：

5台PC机，1台交换机，3台路由器

课设5：访问控制列表ACL的配置

姓名 王雪婷

组号 成绩

教师签字

学号 20141105053

【实验完成情况】：

（1） 连接拓扑网络

（2） 对网络进行基础配置

（3） 对网络的访问性进行配置

（4） 测试

【实验心得】：

在做这个实验之前，老师给详细的讲了一遍该如何操作。将之前不熟练的和新的内容都熟练的掌握了，较上节课进步较大，认为学会了很多东西。但是也有一些细节不懂，后请教老师明白了。例如：子网掩码自动生成为255.0.0.0，如若不改成255.255.255.0将无法设置下一路由器的地址数据。

姓名：王雪婷

日期：2017.5.4

组成员 王雪婷

内蒙古师范大学-计算机网络课程设计-实验报告

【实验过程记录】：

步骤1：搭建拓扑结构，进行配置

（1）搭建网络拓扑图：

（2）配置PC机的网关和IP地址；

虚拟机名 IP地址 Gateway

PC0 192.168.1.1 192.168.1.254

PC1 192.168.1.2 192.168.1.254

PC2 196.168.1.1 196.168.1.254

PC3 195.168.1.1 195.168.1.254