访问控制列表
实验01： 标准访问控制列表
实验目标： 标准访问控制列表只能根据数据包的源IP地址决定是否允许通过
实验环境：
指令列表用来告诉路由器哪能些数据包可以收、哪能数据包需要拒绝。至于数据包是被接收还是拒绝，只能根据数据包的源IP地址决定是否允许通过，可以由类似于源地址、目的地址、端口号等的特定指示条件来决定
实验拓扑图：
实验步骤：
一． 配置IP地址
1. 配置PC0 IP地址
2. 配置PC1 IP地址
3.配置PC2 IP地址
4.配置server服务器地址
二、标准访问控制列表配置
1.配置路由器IP地址
1） Router>en
2） Router#configure terminal
3） Router(config)#interface f0/0（端口0/0）
4） Router(config-if)#ip address 192.168.1.254 255.255.255.0（IP地址）
5） Router(config-if)#no shutdown
6） Router(config-if)#exit
7） Router(config)#interface f0/1（端口0/1）
8） Router(config-if)#ip address 192.168.2.1 255.255.255.0（IP地址）
9） Router(config-if)#no shut
10）Router(config-if)#no shutdown
2.测试主机到Web Server的连通性
1） PC>ping 192.168.2.1（服务器IP地址）
2） Pinging 192.168.2.1 with 32 bytes of data:
3） Reply from 192.168.2.1: bytes=32 time=0ms TTL=127
4） Reply from 192.168.2.1: bytes=32 time=0ms TTL=127
5） Reply from 192.168.2.1: bytes=32 time=0ms TTL=127
6） Reply from 192.168.2.1: bytes=32 time=0ms TTL=127
Ping statistics for 192.168.2.1:
Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
Minimum = 0ms, Maximum = 0ms, Average = 0msRouter(config-if)#standby 2 ip 192.168.2.252
3.标准访问控制列表的配置拒绝PC1访问服务器
1） Router>en
2） Router#configure terminal
3） Router(config)#access-list 1 deny 192.168.1.1 0.0.0.0（拒绝PC1访问）
4） Router(config)#interface f0/0（开启端口）
5） Router(config-if)#ip access-group 1 in（将ACL应用于接口）
实验结果：
6） Router(config)#access-list 1 permit 192.168.1.0 0.0.0.255（允许访问）
7） Router(config)#interface fastEthernet 0/0
8） Router(config-if)#ip access-group 1 in（将ACL应用于接口）
实验结果：
结构验证：
1.PC>ping 192.168.2.1（PC1上）
1） Pinging 192.168.2.1 with 32 bytes of data:
2） Reply from 192.168.1.254: Destination host unreachable.
3） Reply from 192.168.1.254: Destination host unreachable.
4） Reply from 192.168.1.254: Destination host unreachable.
5） Reply from 192.168.1.254: Destination host unreachable.
Ping statistics for 192.168.2.1:
Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),
2. Router#show ip access-lists
Standard IP access list 1
permit any (4 match(es))
deny host 192.168.1.1
标准访问控制列表因为只能限制源IP地址，因此应该把ACL放到离目标最近的
端 口出方向上。
ACL的匹配规则中，最后有一条隐含拒绝全部。如果语句中全部是拒绝条
目，那么最后必须存在允许语句，否则所有数据通信都将被拒绝。
三、访问控制列表配置
1. 标准访问控制列表移除，其他配置保留
1） Router(config)#interface f0/0
2） Router(config-if)#no ip access-group 1 in
3） Router(config-if)#no access-list 1
2. 在PC1 Server的HTTP协议访问
3. 配置扩展访问控制列表，仅拒绝PC1到Server的访问
1） Router(config)#access-list 100 deny tcp host 192.168.1.1 host 192.168.2.1 eq 80
2） Router(config)#access-list 100 permit ip any any
3） Router(config)#interface fastEthernet 0/0
4） Router(config-if)#ip access-group 100 in
结构验证：
1. 在PCI上验证
5） PC>ping 192.168.2.1
6） Pinging 192.168.2.1 with 32 bytes of data:
8） Reply from 192.168.2.1: bytes=32 time=1ms TTL=127
9） Reply from 192.168.2.1: bytes=32 time=0ms TTL=127
10） Reply from 192.168.2.1: bytes=32 time=0ms TTL=127
11） Reply from 192.168.2.1: bytes=32 time=0ms TTL=127
13） Ping statistics for 192.168.2.1:
14） Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
15） Approximate round trip times in milli-seconds:
16） Minimum = 0ms, Maximum = 1ms, Average = 0ms
18） PC>ipconfig
20） FastEthernet0 Connection:(default port)
21） Link-local IPv6 Address.........: FE80::250:FFF:FE6C:6929
22） IP Address......................: 192.168.1.1
23） Subnet Mask.....................: 255.255.255.0
24） Default Gateway.................: 192.168.1.254
2.在服务器上验证
因为只限制了到Web Server的HTTP访问，所以WEB服务已经无法访问，但是仍然可以ping通
实验02： 命名访问控制列表
实验目标： 标准访问控制列表只能根据数据包的源IP地址决定是否允许通过
实验环境：指令列表用来告诉路由器哪能些数据包可以收、
哪能数据包需要拒绝。至于数据包是被接收还
是拒绝，只能根据数据包的源IP地址决定是否
允许通过，可以由类似于源地址、目的地址、
端口号等的特定指示条件来决定 。
PC1只允许访问192.168.4.1的web访问
不允许PC1访问192.168.4.1的其他服务
允许除PC1外其他主机访问所有
实验拓扑图：
实验步骤：
一、 配置IP地址
1.配置PC0 IP地址
2. 配置PC1 IP地址
3.配置PC2 IP地址
4.配置server服务器地址
二、命名访问控制列表配置
1.配置路由器1IP地址及动态路由
1） Router#configure terminal
2） Router(config)#interface fastEthernet 0/0
3） Router(config-if)#ip address 192.168.1.254 255.255.255.0
4） Router(config-if)#no shutdown
5） Router(config-if)#exit
6） Router(config)#interface fastEthernet 0/1
7） Router(config-if)#ip address 192.168.2.1 255.255.255.0
8） Router(config-if)#no shutdown
9） Router(config)#router rip
10） Router(config-router)#version 2
11） Router(config-router)#no auto-summary
12） Router(config-router)#network 192.168.1.0
13） Router(config-router)#network 192.168.2.0
2.配置路由器2IP地址及动态路由
1） Router#configure terminal
2） Router(config)#interface fastEthernet 0/1
3） Router(config-if)#ip add
4） Router(config-if)#ip address 192.168.2.2 255.255.255.0
5） Router(config-if)#no shutdown
6） Router(config-if)#exit
7） Router(config)#interface fastEthernet 0/0
8） Router(config-if)#ip address 192.168.3.1 255.255.255.0
9） Router(config-if)#no shutdown
10） Router(config-if)#exit
11） Router(config)#router rip （开启动态路由）
12） Router(config-router)#version 2
13） Router(config-router)#no auto-summary （关闭路由汇总）
14） Router(config-router)#network 192.168.2.0
15） Router(config-router)#network 192.168.3.0
3.配置路由器3IP地址及动态路由
1） Router(config)#interface fastEthernet 0/0
2） Router(config-if)#ip address 192.168.3.2 255.255.255.0
3） Router(config-if)#no shutdown
4） Router(config-if)#exit
5） Router(config)#int
6） Router(config)#interface fastEthernet 0/1
7） Router(config-if)#ip address 192.168.4.254 255.255.255.0
8） Router(config-if)#no shutdown
9） Router(config-if)#exit
10） Router(config)#router rip
11） Router(config-router)#version 2
12） Router(config-router)#no auto-summary
13） Router(config-router)#network 192.168.4.0
14） Router(config-router)#network 192.168.3.0
4.测试主机到Web Server的连通性
1） PC>ping 192.168.4.1
2） Pinging 192.168.4.1 with 32 bytes of data:
3） Reply from 192.168.4.1: bytes=32 time=0ms TTL=125
4） Reply from 192.168.4.1: bytes=32 time=0ms TTL=125
5） Reply from 192.168.4.1: bytes=32 time=0ms TTL=125
6） Reply from 192.168.4.1: bytes=32 time=0ms TTL=125
7） Ping statistics for 192.168.4.1:
8） Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
9） Approximate round trip times in milli-seconds:
10） Minimum = 0ms, Maximum = 0ms, Average = 0ms
5标准访问控制列表的配置拒绝PC1访问服务器
1） Router(config)#no access-list 100
2） Router#configure terminal
3） Router(config)#ip access-list extended nsd1407（名字）
PC1只允许访问192.168.4.1的web访问
4） Router(config-ext-nacl)#permit tcp host 192.168.1.1 host 192.168.4.1 eq 80
不允许PC1访问192.168.4.1的其他服务
5） Router(config-ext-nacl)#deny ip host 192.168.1.1 host 192.168.4.1
允许除PC1外其他主机访问所有
6） Router(config-ext-nacl)#permit ip 192.168.1.0 0.0.0.255 192.168.4.1 0.0.0.0
7） Router(config-ext-nacl)#exit
8） Router(config)#interface f0/0
9） Router(config-if)#ip access-group nsd1407 in（在nsd1407这个端口上执行）
三、命名标准访问控制列表配置
1） Router(config)#ip access-list standard nsd（建立名字nsd）
2） Router(config-std-nacl)#deny host 192.168.1.1（拒绝）
3） RRouter(config-std-nacl)#permit 192.168.1.0 0.0.0.255（允许）
4） Router(config-std-nacl)#exit
5） Router(config)#interface fastEthernet 0/0
Router(config-if)#ip access-group nsd
结构验证：
1. 在PC1上验证
1） PC>ping 192.168.4.1
2） Pinging 192.168.4.1 with 32 bytes of data:
3） Reply from 192.168.4.1: bytes=32 time=0ms TTL=125
4） Reply from 192.168.4.1: bytes=32 time=0ms TTL=125
5） Reply from 192.168.4.1: bytes=32 time=0ms TTL=125
6） Reply from 192.168.4.1: bytes=32 time=0ms TTL=125
7） Ping statistics for 192.168.4.1:
8） Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
9） Approximate round trip times in milli-seconds:
10） Minimum = 0ms, Maximum = 0ms, Average = 0ms
2.在PC3上验证
11） PC>ping 192.168.4.1
12） Pinging 192.168.4.1 with 32 bytes of data:
13） Reply from 192.168.4.1: bytes=32 time=0ms TTL=125
14） Reply from 192.168.4.1: bytes=32 time=0ms TTL=125
15） Reply from 192.168.4.1: bytes=32 time=0ms TTL=125
16） Reply from 192.168.4.1: bytes=32 time=0ms TTL=125
17） Ping statistics for 192.168.4.1:
18） Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
19） Approximate round trip times in milli-seconds:
20） Minimum = 0ms, Maximum = 0ms, Average = 0ms
21） Reply from 192.168.4.1: bytes=32 time=0ms TTL=125
22） Reply from 192.168.4.1: bytes=32 time=0ms TTL=125