7、扩展访问控制列表实验

实训：扩展访问控制列表（命名）任务目标：在校园网路由器上配置扩展ACL，保护教师网络中FTP服务器的安全。

一、实训拓扑图1、PC1参数配置（IP、子网掩码、网关）2、PC2参数配置（IP、子网掩码、网关）3、路由器基本配置（接口地址；路由rip）R1配置：Router>enRouter#conf tRouter(config)#hostname R1R1(config)#interface fastEthernet 0/0R1(config-if)#ip address 172.16.1.2 255.255.255.0 R1(config-if)#no shutR1(config)#intfa 0/1R1(config-if)#ip add 172.16.2.1 255.255.255.0R2(config-if)#no shutR1(config)#router ripR1(config-router)#version 2R1(config-router)#network 172.16.1.0R1(config-router)#network 172.16.2.0R1(config-router)#no auto-summaryR1(config-router)#endR2配置Router>enRouter#conf tRouter(config)#hostname R2R2(config)#interface fastEthernet 0/0R2(config-if)#ip address 172.16.3.2 255.255.255.0 R2(config-if)#no shutR2(config)#intfa 0/1R2(config-if)#ip add 172.16.2.2 255.255.255.0R2(config-if)#no shutR2(config)#router ripR2(config-router)#version 2R2(config-router)#network 172.16.2.0R2(config-router)#network 172.16.3.0R2(config-router)#no auto-summaryR2(config-router)#end4、全网通信PING通测试FTP服务器测试5、访问控制列表配置（标准访问控制列表）R2(config)#ip access-list extended deny-studentR2(config)#access-list deny tcp 172.16.3.0 0.0.0.255 172.16.1.0 0.0.0.255 eq 20 R2(config)#access-list deny tcp 172.16.3.0 0.0.0.255 172.16.1.0 0.0.0.255 eq 21 R2(config)#access-list permit ip any anyR2(config)#interface fastEthernet 0/0R2(config-if)#ip access-group deny-studentinR2(config-if)#no shutR2(config-if)#四、项目测试全网通信到学生区访问不到教师区的FTP服务器。

一、实验项目名称访问控制列表ACL配置实验二、实验目的对路由器的访问控制列表ACL进行配置。

三、实验设备PC 3台；Router-PT 3台；交叉线；DCE串口线；Server-PT 1台；四、实验步骤标准IP访问控制列表配置：新建Packet Tracer拓扑图（1）路由器之间通过V.35电缆通过串口连接，DCE端连接在R1上，配置其时钟频率64000；主机与路由器通过交叉线连接。

（2）配置路由器接口IP地址。

（3）在路由器上配置静态路由协议，让三台PC能够相互Ping通，因为只有在互通的前提下才涉及到方控制列表。

（4）在R1上编号的IP标准访问控制。

（5）将标准IP访问控制应用到接口上。

（6）验证主机之间的互通性。

扩展IP访问控制列表配置：新建Packet Tracer拓扑图（1）分公司出口路由器与外路由器之间通过V.35电缆串口连接，DCE 端连接在R2上，配置其时钟频率64000；主机与路由器通过交叉线连接。

（2）配置PC机、服务器及路由器接口IP地址。

（3）在各路由器上配置静态路由协议，让PC间能相互ping通，因为只有在互通的前提下才涉及到访问控制列表。

（4）在R2上配置编号的IP扩展访问控制列表。

（5）将扩展IP访问列表应用到接口上。

（6）验证主机之间的互通性。

五、实验结果标准IP访问控制列表配置：PC0：PC1：PC2：PC0ping:PC1ping:PC0ping:PC1ping:扩展IP访问控制列表配置：PC0：Server0：六、实验心得与体会实验中对ACL的配置有了初步了解，明白了使用ACL可以拒绝、允许特定的数据流通过网络设备，可以防止攻击，实现访问控制，节省带宽。

其对网络安全有很大作用。

另外，制作ACL时如果要限制本地计算机访问外围网络就用OUT，如果是限制外围网络访问本地计算机就用IN。

两者的区别在于他们审核访问的时候优先选择哪些访问权限。

实训十一路由器的扩展访问控制列表一、实训目的和要求1、掌握访问控制列表的概念。

2、掌握扩展访问控制列表的基本配置命令和配置方法。

二、实训内容为路由器配置扩展访问控制列表，并测试连通性。

三、命令格式Router(config)#access-list [list number] [permit|deny] [protocol|protocol key word] [source address source wildcard-mask] [source port] [destination address destination wildcard-mask] [destination port] [log options];扩展访问控制列表list number——表号，扩展ip访问表的表号标识从l00到199。

protocol——协议，协议项定义了需要被过滤的协议，例如IP、TCP、UDP、ICMP等等。

协议选项是很重要的，因为在TCP/IP协议栈中的各种协议之间有很密切的关系，如果管理员希望根据特殊协议进行报文过滤，就要指定该协议。

source port，destination port——源端口号和目的端口号，端口号可以用几种不同的方法来指定。

它可以显式地指定，使用一个数字或者使用一个可识别的助记符。

例如，我们可以使用80或者http来指定Web的超文本传输协议。

deny/permit、源地址和通配符屏蔽码、目的地址和通配符屏蔽码以及host/any的使用均与标准IP访问表中的相同。

Router(config)#int [端口类型/端口号] ;指定扩展访问控制列表应用的端口Router(config-if)#ip access-group [list number] [in|out] ;指定扩展访问表作用于接口上的方向列表号标识访问表。

而关键字in或out则指明访问表所使用的方向。

方向用于指出是在报文进入或离开路由器接口时对其进行过滤。

访问控制列表（ACL）配置实验报告实验四访问控制列表（ACL）配置1、实验目的：（1）掌握扩展访问控制列表对某个网段数据流进行抑制的配置方法。

（2）思科交换机的基本ACL配置2、实验环境：利用Boson Network Designer软件绘制两台交换机（Cisco Catalyst1912 型）、一台路由器（Cisco2621型）以及三台PC进行互连。

通过Boson Netsim软件加载绘制好的网络拓扑图，从而进行路由器、交换机以及PC的相关配置，网络拓扑图如图2-1所示。

3、实验内容：(1）使用Boson Network Designer软件绘制路由器互连的网络拓扑图。

（2）运行Boson Netsim软件，加载网络拓扑图后，分别配置好各台PC的IP地址、子网掩码及网关以及对两台交换机与路由器进行基本配置（交换机和路由器的机器名、控制台密码、进入配置模式口令、远程登录口令、各端口的参数）。

（3）在路由器上定义一个扩展访问控制列表，抑制某台PC的ICMP数据流通往其它任意的一条网段。

将该列表应用于路由器的相应端口。

然后，进行相应的Ping测试。

（4）在路由器撤消之前配置的扩展访问控制列表，然后定义一个标准访问控制列表，抑制某条网段的PC机访问另一条网段的PC机。

将该列表应用于路由器的相应端口，最后进行相应的Ping测试。

2.3 实验步骤（1）运行Boson Network Designer软件，按照图2-1所示绘制配置拓扑图，保存在相应的目录下。

（2）运行Boson Netsim软件，加载绘制好的网络拓扑图，然后切换到PC机设置界面，使用winipcfg命令，配置PC1的IP地址为192.168.1.3 ，子网掩码为：255.255.255.0，网关为：192.168.1.1，如下图2-2所示：其他PC机的配置方法类似，配置如下：PC2:192.168.1.4 255.255.255.0 GATEWAY: 192.168.1.1PC3:192.168.2.3 255.255.255.0 GATEWAY: 192.168.2.1PC4:192.168.2.4 255.255.255.0 GATEWAY: 192.168.2.1PC5:192.168.3.3 255.255.255.0 GATEWAY: 192.168.3.1PC6:192.168.4.3 255.255.255.0 GATEWAY: 192.168.4.1（3）进入第一台思科1912交换机的CLI界面，做如下配置：>enable#conf tEnter configuration commands, one per line. End with CNTL/Z.(config)#hostname csi1912sw1csi1912sw1(config)#enable secret level 15 ciscocsi1912sw1(config)#ip addr 192.168.1.2 255.255.255.0csi1912sw1(config)#ip default-gateway 192.168.1.1csi1912sw1(config)#exi进入思科交换机1912的全局配置界面，将其主机名配置为cis1912sw1,登录密码设置为cisco,其管理IP地址为192.168.1.2，子网掩码配置为255.255.255.0，默认网关与其他PC 机一样，为192.168.1.1 ，最后退出全局配置界面。