计算机网络实验--在Cisco Packet Tracer中配置ACL

实验内容

---

1. 配置ACL禁止192.168.3.0/24网段的icmp协议数据包通向与192.168.1.0/24网段
2. 配置ACL禁止特点的协议端口通讯：
   
   1. 禁止192.168.2.10访问web（禁止网段与禁止单个之间的区别）
   2. 禁止192.168.2.20访问DNS

ACL（访问控制列表）介绍

1. 应用在路由器接口的指令列表
2. 指定哪些数据报可以接收、哪一些需要拒绝
3. 相对网络接口来说，从网络上流入该接口的数据包，为入站数据流。对入站数据流的过滤控制称为入站访问控制。
4. 从网络接口流出的网络数据包，称为出站数据流。出站访问控制是对出站数据流的过滤控制。

---

路由器配置（图形界面配置）

首先关闭路由器电源，向路由器中配置两个高速串口 WIC-2T

开启路由器电源，并连接线路
接下来配置路由器端口网段,注意Port Status 选择on，设置速率匹配

设置默认网关，即路由器与主机网段的接口，注意网关应该与主机所在网段在一个网段

主机和服务器配置

设置PC主机的IP地址，子网掩码，网关和DNS服务地址

域名服务器配置

注意在这里要开启DNS服务

服务器配置

配置RIP协议

1. 在路由器上配置rip协议，就是将路由器相邻的网段配置到路由器里
2. 添加rip协议的命令： router rip
3. Network w.x.y.z

4. 注意：如果不是C类网段，可能需要使用version 2模式，宣告路由信息时携带子网掩码

   下面以对Router0进行RIP配置
   Router>en
Router#conf t
Router(config)#router rip
Router(config-router)#Network 192.168.3.0
Router(config-router)#Network 192.168.4.0
Router(config-router)#Network 192.168.5.0
Router(config-router)#end
   在配置完之后可以通过命令 sh ip route 查看配置情况
   当三个路由器全部配置好后，可以互相ping通
   
   当然也可以通过浏览器访问服务器
   

   配置ACL禁止192.168.3.0/24网段的icmp协议数据包通向与192.168.1.0/24网段

   拓展ACL配置过程

   • 创建ACL
     Router(config)# access-list access-list-number { permit | deny } protocol source source-wildcard [operator port] destination destination-wildcard [ operator port ] [ established ] [log]

   • 将ACL绑定到指定端口
     Router(config-if)# ip access-group access-list-number { in | out }

   • 注意
     access-list-number 要选择在100以上的数字
     in 表示入站访问控制
     out表示出站访问控制
     “no access-list access-list-number” 命令删除指定号码的ACL
     “no ip access-group access-list-number” 命令在特定接口禁用ACL
     “sh access-lists”可以查看某台路由上ACL配置情况

Router>en
Router#conf t
Router(config)#access-list 101 deny icmp 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255
Router(config)#access-list 101 permit ip any any 
Router(config)#int fa0/0
Router(config-if)#ip access-group 101 in

配置好之后，192.168.3.0网段应该就无法ping通192.168.1.0网段

但是仍然可以通过浏览器访问网址（没有禁止TCP、UDP）

禁止192.168.2.2访问web（禁止网段与禁止单个的区别）；禁止192.168.2.3访问DNS

Router>en
Router#conf t
Router(config)#access-list 101 deny tcp host 192.168.2.10 192.168.1.0 0.0.0.255 eq www
Router(config)#access-list 101 deny udp host 192.168.2.20 192.168.1.0 0.0.0.255 eq 53
Router(config)#access-list 101 permit  ip any any 
Router(config)#int fa0/0
Router(config-if)#ip access-group 101 out

• 设置好之后，主机192.168.2.10无法通过浏览器访问192.168.1.0网段
  
  
• 主机192.168.2.20 无法通过域名访问192.168.1.0网段，但可以通过输入IP地址的方式在浏览器中访问