Cisco PT模拟实验(17) 路由器IP访问控制列表ACL配置

Cisco PT模拟实验(17) 路由器IP访问控制列表ACL配置

实验目的： 

        理解两种IP访问控制列表的原理及功能

        掌握常见IP访问控制列表的配置方法

实验背景：

           公司的经理部、财务部们和销售部门分属于不同的3个网段，三部门之间用路由器进行信息传递，为了安全起见，公司领导要求销售部门不能对财务部进行访问，但经理部可以对财务部进行访问。

技术原理：

• 路由器能提供防火墙的功能，根据一些预设置的ACL过滤规则对任何经过接口的流量进行过滤，说明哪些具体的通信(来自设备、协议或端口等)是被允许或拒绝，该功能是通过路由器的访问控制列表功能实现的。

• 访问/接入控制列表(Access Control List, ACL) ，或称包过滤，一种基于路由器或交换机接口的指令列表，用来控制端口进出的数据包，即入站（Inbound）或出站（Outbound）过滤，其主要作用如下：

• 限制网络流量、提高网络性能

• 提供对通信流量的控制手段，提高带宽利用率

• 提供网络安全访问的基本手段

• 在路由器端口处决定哪种类型的通信流量被转发或被阻塞

• ACL适用于所有的网络层协议，如IP、IPX等协议，其中IP ACL应用极为普遍，主要有两种类型：

• IP标准ACL，表号范围为1 ~ 99及1300~1999，只能检查数据包的源地址，功能有较大局限性；

• IP扩展ACL，表号范围为100 ~ 199及2000~2699，不仅可检查数据包的源地址和目的地址，还可根据指定的协议类型或端口号进行过滤，功能更强，应用非常广泛。

• ACL列表由一条条ACL语句组成，每一个ACL列表都有对应标号或名字，作为接口引用ACL的索引，当一个分组经过路由器时，路由器将自顶而下逐个对分组信息与ACL语句进行比较，ACL语句排列顺序至关重要：

• 前提：该接口启用了ACL及出入站规则，则将对出/入站的数据包进行比较；

• 若第一条语句匹配成功，则不再处理其他语句，路由器将允许（Permit）或拒绝（Deny）分组通过；

• 若不匹配，则与下一条ACL语句比较，直到匹配成功并进行允许或拒绝处理；

• 若整个ACL列表中没有匹配的语句，则分组将默认被丢弃/拒绝；

• 根据IP ACL列表索引的不同，其配置命令格式可分为 access-list 和 ip access-list 两种，前者只能用表号作为ACL标识符，后者可使表号或名字作为ACL标识符。使用名字可不受取值范围的限制。

• IP标准ACL命令：access-list 表号 {permit/deny} 源地址 反掩码

• IP扩展ACL命令：access-list 表号 {permit/deny} 协议类型 源地址 反掩码 [源端口限制] 目的地址 反掩码 [目的端口限制]

• 进入可命名的ACL配置模式下：ip access-list {standard/extended} {表号/表名}

            Router(config-std-acl)#{permit/deny} 源地址 反掩码

            Router(config-ext-acl)#{permit/deny} 协议类型 源地址 反掩码 [源端口限制] 目的地址 反掩码 [目的端口限制]

• 出入站规则配置命令：ip access-group {表号/表名} {in/out}

实验设备：Router-PT 2台；PC 2台，Server 1台；交叉线，串口线。

实验拓扑：

实验步骤：

        新建Cisco PT 拓扑图

        为各PC及Server设置IP及网关地址，其中网关地址分别为路由接口的IP地址

        对各Router进行相关配置(接口IP、时钟频率等)

        为各Router配置静态路由和默认路由

        测试并确保各终端(PC、Server)之间的互通性

        在Router0上配置基于编号的IP标准ACL

        在Router1上配置基于命名的IP扩展ACL

        查看路由器上访问控制列表的配置信息

        验证不同局域网PC、Server之间的相互通信

PC0 设置
192.168.1.2
//子网掩码和网关
255.255.255.0
192.168.1.1

PC1 设置
192.168.2.2
//子网掩码和网关
255.255.255.0
192.168.2.1

Server0 设置
192.168.3.2
//子网掩码和网关
255.255.255.0
192.168.3.1

/*=Part1  Router0 基本配置  */ 
Router>enable
Router#conf t
Router(config)#inter f0/0                 //进入第0模块第0端口（快速以太网接口）
Router(config-if)#ip address 192.168.1.1 255.255.255.0    //配置f0/0接口IP
Router(config-if)#no shutdown             //开启端口
Router(config-if)#exit
Router(config)#inter f1/0                 //进入第1模块第0端口（快速以太网接口）
Router(config-if)#ip address 192.168.2.1 255.255.255.0    //配置f1/0接口IP
Router(config-if)#no shutdown             //开启端口
Router(config-if)#exit
Router(config)#interface serial 2/0       //进入第2模块第0端口（串行接口）
Router(config-if)#ip address 10.10.254.1 255.255.255.0    //配置s2/0接口IP
Router(config-if)#clock rate 64000        //必须配置时钟才可通信
Router(config-if)#no shutdown             //开启端口
Router(config-if)#exit
/*=Part2  静态路由配置  */ 
Router(config)#ip route 192.168.3.0 255.255.255.0 10.254.10.2
/*=Part3  IP标准ACL配置  */
Router(config)#access-list 20 permit 192.168.1.0 0.0.0.255    
//允许192.168.1.0网段内的数据包通过
Router(config)#access-list 20 deny 192.168.2.2 0.0.0.0    
//拒绝特定192.168.2.2的数据包通过
Router(config)#access-list 20 permit any
//一般在ACL列表末尾需配置permit any语句，否则任何没有匹配到的数据包都会被丢弃    
Router(config)#inter s2/0        
Router(config-if)#ip access-group 20 out    
//在s2/0接口的出站规则上启用此ACL列表
Router(config-if)#^Z
Router#show r
Router#show access-lists

/*=Part1  Router1 基本配置  */ 
Router>enable
Router#conf t
Router(config)#inter f0/0                 //进入第0模块第0端口（快速以太网接口）
Router(config-if)#ip address 192.168.3.1 255.255.255.0    //配置f0/0接口IP
Router(config-if)#no shutdown             //开启端口
Router(config-if)#exit
Router(config)#interface serial 2/0       //进入第2模块第0端口（串行接口）
Router(config-if)#ip address 10.10.254.2 255.255.255.0    //配置s2/0接口IP
Router(config-if)#no shutdown             //开启端口
Router(config-if)#exit
/*=Part2  静态路由配置  */
Router(config)#ip route 0.0.0.0 0.0.0.0 10.254.10.1
/*=Part3  IP扩展ACL配置  */
Router(config)#ip access-list extended ACL001
Router(config-ext-nacl)#deny icmp 192.168.1.0 0.0.0.255 any echo-reply
Router(config-ext-nacl)#deny tcp 192.168.1.2 0.0.0.0 any eq telnet
Router(config-ext-nacl)#deny tcp host 192.168.1.2  any eq ftp
Router(config-ext-nacl)#permit ip any any
Router(config-ext-nacl)#permit tcp any any
Router(config)#inter s2/0        
Router(config-if)#ip access-group ACL001 out    
//在s2/0接口的出站规则上启用此ACL列表
Router(config-if)#^Z
Router#show r
Router#show access-lists

# PC0 ACL测试
ping 192.168.1.1                  //链路通
ping 10.254.10.2                  //链路通
ping 192.168.3.2                  //链路不通
访问 http://192.168.3.2               //访问成功
# PC1 ACL测试
ping 192.168.2.1                  //链路通
ping 10.254.10.1                  //链路不通
ping 192.168.3.2                  //链路不通
访问 http://192.168.3.2               //访问失败

---

实验环境： Windows 7，Cisco PT 7.0

参考资料：CCNA学习指南（第7版）