IP访问控制列表配置实例

ROUTER0配置：

Router>en

Router#conf t

Router(config)#int f0/0

Router(config-if)#ip address 192.168.10.1 255.255.255.0

Router(config-if)#no shutdown

Router(config-if)#exit

Router(config)#int f0/1

Router(config-if)#ip address 192.168.20.1 255.255.255.0

Router(config-if)#no shutdown

Router(config-if)#exit

Router(config)#int s0/0/0

Router(config-if)#ip address 192.168.30.1 255.255.255.0

Router(config-if)#no shutdown

Router(config-if)#clock rate 64000

Router(config-if)#exit

Router(config)#router rip

Router(config-router)#version 2

Router(config-router)#network 192.168.10.0

Router(config-router)#network 192.168.20.0

Router(config-router)#network 192.168.30.0

Router(config-router)#no auto-summary

Router(config-router)#

ROUTER1配置：

Router>en

Router#conf t

Router(config)#int f0/0

Router(config-if)#ip address 192.168.40.1 255.255.255.0

1 / 4

标准IP访问控制列表的配置及应用

一、 拓扑结构图；

二、 访问控制列表的概念；

1．访问控制列表(Access Control List，ACL)是应用在路由器（或三层交换机）端口上的控制列表。ACL可以允许（permit）或拒绝（deny）进入或离开路由器的数据包（分组），通过设置可以允许或拒绝网络用户使用路由器的某些端口，对网络系统起到安全保护作用。访问控制列表（ACL）实际上是一系列允许和拒绝匹配准则的集合。

2．IP访问控制列表可以分为两大类：

标准IP访问控制列表，只对数据包的源IP地址进行检查。其列表号为1~99或者1300~1999。

扩展IP访问控制列表，对数据包的源和目标IP地址、源和目标端口号等进行检查，可以允许或拒绝部分协议。其列表号为100~199或2000~2699。

3．访问控制列表对每个数据包都以自上向下的顺序进行匹配。如果数据包满足第

2 / 4

一个匹配条件，那么路由器就按照该条语句所规定的动作决定是拒绝还是允许；如果数据包不满足第一个匹配条件，则继续检测列表的下一条语句，以此类推。数据包在访问控制列表中一旦出现了匹配，那么相应的操作就会被执行，并且对此数据包的检测到此为止。后面的语句不可能推翻前面的语句，因此访问控制列表的过滤规则的放置顺序是很讲究的，不同的放置顺序会带来不同的效果。

三、技术原理；

假设某公司的经理部，销售部和财务部分别属于不同的网段，出于安全考虑，公司要求经理部的网络可以访问财务部，而销售部无法访问财务部的网络，其他网络之间都可以实现互访。

访问控制列表一般是布局于需要保护的网络与其他网络联接的路由器中，即为距离被保护网络最接近的路由器上。

配置标准IP访问控制列表：

1.定义标准IP访问控制列表；

Router (config)#access-list access-list-number deny/permit source-address

.注意：标准访问列表 1-99 源IP地址.

. … 访问规则：deny host 源IP地址，

deny host 1192.168.0.1(拒绝一个主机)（=deny 192.168.0.1 0.0.0.0）

Deny 192.168.2.0 0.0.0.255(拒绝一个网段)

Permit any(允许所有的主机)（=permit 0.0.0.0 255.255.255.255）

扩展访问列表 100-199

协议 源IP 源端口 目的IP

命令访问列表

1、R1上的列表控制配置：

r1>en

r1#conf t

r1(config)#access-list 1 deny ?

A.B.C.D Address to match

any Any source host

host A single host address

r1(config)#access-list 1 deny host 192.168.1.1 拒绝主机192.168.1.1

r1(config)#access-list 1 permit any

r1(config)#int f0/0

r1(config-if)#ip access-group 1 in

r1(config-if)#exit r1(config)#access-list 101 permit ?

ahp Authentication Header Protocol

eigrp Cisco's EIGRP routing protocol

esp Encapsulation Security Payload

gre Cisco's GRE tunneling

icmp Internet Control Message Protocol

实验十二 IP访问列表

实验1 编号的标准IP访问列表

【实验名称】

编号的标准IP访问列表。

【实验目的】

掌握编号的标准IP访问列表规则及配置。

【背景描述】

你是一个公司的网络管理员，公司的经理部、财务部门和销售部门分属不同的三个网段，三部门之间用路由器进行信息传递，为了安全起见，公司领导要求销售部门不能对财务部门进行访问，但经理部可以对财务部门进行访问。

PC1代表经理部的主机，PC2代表销售部门的主机、PC3代表财务部门的主机

【技术原理】

IP ACL(IP访问控制列表或IP访问列表)，是实现对流经路由器或交换机的数据包根据一定的规则进行过滤。从而提高网络可管理性和安全性。

IP ACL分为两种：标准IP访问列表和扩展IP访问列表。标准IP访问列表可以根据数据包的源IP地址定义规则，进行数据包的过滤。扩展IP访问列表可以根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，进行数据包的过滤。

IP ACL基于接口进行规则的应用，分为：入栈应用和出栈应用。入栈应用是指由外部经该接口进行路由器的数据包进行过滤。出栈应用是指路由器从该接口向外转发数据时进行数据包的过滤。

IP ACL的配置有两种方式：按照编号的访问列表，按照命名的访问列表。标准IP访问列表编号范围是1-99、1300-1999，扩展IP访问列表编号范围是100-199、2000-2699。

【实现功能】

实现网段间互相访问的安全控制。

【实验拓扑】

【实验设备】

R1762路由器（2台）、1条DTE线缆、1条DCE线缆。

【实验步骤】

步骤1. 基本配置。

Router1基本配置

Red-Giant>

Red-Giant>enable

Red-Giant#configure terminal

Red-Giant(config)#hostname Router1

Router1(config)# interface fastEthernet 1/0