标准IP访问控制列表配置

ROUTER0配置：

Router>en

Router#conf t

Router(config)#int f0/0

Router(config-if)#ip address 192.168.10.1 255.255.255.0

Router(config-if)#no shutdown

Router(config-if)#exit

Router(config)#int f0/1

Router(config-if)#ip address 192.168.20.1 255.255.255.0

Router(config-if)#no shutdown

Router(config-if)#exit

Router(config)#int s0/0/0

Router(config-if)#ip address 192.168.30.1 255.255.255.0

Router(config-if)#no shutdown

Router(config-if)#clock rate 64000

Router(config-if)#exit

Router(config)#router rip

Router(config-router)#version 2

Router(config-router)#network 192.168.10.0

Router(config-router)#network 192.168.20.0

Router(config-router)#network 192.168.30.0

Router(config-router)#no auto-summary

Router(config-router)#

ROUTER1配置：

Router>en

Router#conf t

Router(config)#int f0/0

Router(config-if)#ip address 192.168.40.1 255.255.255.0

[键入文字] 1 / 3 《网络互联技术》课程实验指导书 实验十一：标准访问控制列表配置 当网络管理员想要阻止某一网络的所有通信流量时，或者允许来自某一特定网络的所有通信流量时，或者想要拒绝某一协议簇的所有通信流量时，可以使用标准访问控制列表实现这一目标。 标准ACL检查可以过滤被路由的数据包的源地址、从而允许或拒绝基于网络、子网或主机IP地址的某一协议簇通过路由器出口。 一、网络拓朴 二、实验内容 1、在路由器的E 0/0口添加“ACL 访问控制列表6”并对转出（从路由器端口出来转向交换机或主机）的数据包进行过滤，实现功能：禁止将HostC、HostD的数据包通过路由器E 0/0 口转发到HostA、HostB。其结果是：（对于TCP数据包来说，访问是双向的，只要A不能访问B，则B也将不能访问A）  HostA和HostB之间可以通信，但无法访问HostC、HostD。  HostC和HostD之间可以通信，但无法访问 HostA、HostB。 2、在路由器的E 0/1口添加“ACL 访问控制列表10”并对转出（从路由器端口出来转向 [键入文字] 2 / 3 交换机或主机）的数据包进行过滤，实现功能：禁止HostA、HostC访问Server E服务器。 由于标准ACL访问控制列表只能根据数据包的源地址来过滤通信流量，因此，应该将ACL访问控制列表放置离目标地址最近的地方。 三、实验目的 1、掌握标准访问控制列表的原理 2、掌握标准访问控制列表的配置 四、实验设备 1、一台台思科（Cisco）3620路由器 2、两台思科（Cisco）2950二层交换机 3、思科（Cisco）专用控制端口连接电缆 4、四台安装有 windows 98/xp/2000操作系统的主机 5、一台提供WWW服务的WEB服务器 6、若干直通网线与交叉网线 五、实验过程（需要将相关命令写入实验报告） 1、根据上述图示进行交换机、路由器、主机的连接 2、设置主机的IP地址、子网掩码和默认网关 3、配置路由器接口 Router> enable Router# configure terminal Router(config)# interface ethernet 0/0 Router(config-if)# ip address 192.168.1.1 255.255.255.0 Router(config-if)# no shutdown Router(config-if)# exit Router(config)# interface ethernet 0/1 Router(config-if)# ip address 192.168.3.1 255.255.255.0 Router(config-if)# no shutdown Router(config-if)# exit Router(config)# interface ethernet 0/2 Router(config-if)# ip address 192.168.2.1 255.255.255.0 Router(config-if)# no shutdown Router(config-if)#exit 4、配置访问控制列表6并将之添加到 Ethernet 0/0接口的out方向上 Router(config)# access-list 6 deny 192.168.2.0 0.0.0.255 Router(config)# access-list 6 permit any [键入文字] 3 / 3 Router(config)# interface ethernet 0/0 Router(config-if)# ip access-group 6 out Router(config-if)# exit 5、配置访问控制列表10并将之添加到 Ethernet 0/1接口的out方向上 Router(config)# access-list 10 deny host 192.168.1.2 Router(config)# access-list 10 deny host 192.168.2.2 Router(config)# access-list 10 permit any Router(config)# interface ethernet 0/1 Router(config-if)# ip access-group 10 out Router(config-if)# exit 6、查看设置的访问控制列表信息 Router# show access-lists 7、查看e 0/0 接口上设置的访问控制列表信息 Router# show ip interface e 0/0 8、查看e 0/1 接口上设置的访问控制列表信息 Router# show ip interface e 0/1 六、思考问题 1、请简述标准访问控制列表与扩展访问控制列表有何区别？ 2、请简述设置标准访问控制列表的操作过程。 七、实验报告要求： 按学院实验报告要求完成实验报告的书写。 1、在实验名称的下方写明当前实验的时间（年月日） 2、在实验报告中必须回答当前实验的思考问题 3、实验报告中要求划分当前实验的网络拓朴结构图并书写各步的操作命令。

《交换与路由技术》实验报告书

班级： 姓名： 学号：

课程名称 交换与路由

技术 实验项目 实验十 访问控制列表的建立及应用 实验项目类型

验

证 演示 综合 设计 其他

指导教师 成 绩 √

一、实验目的

掌握网络安全策略布置原则，掌握IP标准及扩展访问控制列表配置技能，能够根据实际需求准确配置IP访问控制列表，具体包括以下几个方面。

（1）了解IP标准及扩展访问控制列表的功能及用途。

（2）掌握IP标准访问控制列表配置技能。

（3）掌握IP扩展访问控制列表配置技能。

二、实验设备及环境

首先对两路由器进行基本配置，实现三个网段可以相互访问；然后对距离控制目的地址较近的路由器RouterB配置IP标准访问控制列表，允许192.168.1.0网段（校办企业财务科）主机发出的数据包通过，不允许192.168.2.0网段（教师办公室）主机发出的数据包通过，最后将这一策略加到路由器RouterB的Fa 0端口，如图12.1所示。 三、实验步骤

模块12.1 IP标准访问控制列表的建立及应用

第1步：基本配置。

路由器RouterA。

路由器RouterB。

查验路由表，此时可以看到路由器的路由表中既包含直连路由，也包含静态路由。

第2步：在路由器RouterB上配置Ilp标准访问控制列表。拒绝来自192.168.2.0网段的流量通过。

允许来自192.168.1.0网段的流量通过。

第3步：把访问控制列表应用在路由器RouterB的Fa 0接口输出方向上。

第4步：验证测试。

在PC1主机的命令提示符下Ping 192.168.3.10，能Ping通。

在PC2主机的命令提示符下Ping 192.168.3.10，不能Ping通。

对于任务2，首先对交换机进行基本配置，实现三个网段可以相互访问；然后对交换机配置IP标准访问控制列表，允许192.168.1.0网段（校企财务科）主机发出的数据包通过，不允许192.168.2.0网段（教师办公室）主机发出的数据包通过，最后将这一策略加到交换机VLAN30的SVI端口输出方向上，如图12.2所示。

IP访问控制列表（ACL）实验

【实验目的】

掌握网络交换设备的标准IP访问列表规则及配置。

1.准备知识

IP ACL(IP访问控制列表或IP访问列表)，是实现对流经路由器或交换机的数据包根据一定的规则进行过滤。从而提高网络可管理性和安全性。类似于包过滤防火墙的功能。

IP ACL分为两种：标准IP访问列表和扩展IP访问列表。标准IP访问列表可以根据数据包的源IP地址定义规则，进行数据包的过滤。扩展IP访问列表可以根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，进行数据包的过滤。

IP ACL基于接口进行规则的应用方向分为：入口应用和出口应用。入口应用是对由外部经该接口进入路由器的数据包进行过滤。出口应用是对从路由器接口向外转发数据时的数据包过滤。

IP ACL的配置有两种方式：按照编号的访问列表，按照命名的访问列表。标准IP访问列表编号范围是1-99、1300-1999，扩展IP访问列表编号范围是100-199、2000-2699。

2.实验模拟环境和拓扑图

在3760三层交换机上连着学校的服务器，另外还连接着学生宿舍楼和学校的办公区，学校规定学生宿舍楼只能访问学校的Web服务器，不能访问办公区。办公区可以访问学校的Web和FTP服务器。

先配置好VLAN 10中的Web/FTP服务器。

3.配置命名的标准IP访问列表

根据以上要求，配置步骤如下： （1）配置三个VLAN：

Switch(config)#vlan 10

Switch(config-vlan)#name server

Switch(config)#vlan 20

Switch(config-vlan)#name teachers

Switch(config)#vlan 30

Switch(config-vlan)#name students

（2）将交换机端口加入相对应的VLAN：

Switch(config)#interface f0/1