ACL 应用之ICMP

ACL 应用之ICMP
3.1 问题
如图配置IP地址，配置路由，确保各设备互通
拒绝Client 1 ping 通 R2
拒绝 R1 ping 通 Server1
其他流量均可以互通
3.2 方案
搭建实验环境，如图-3所示。

图-3

3.3 步骤
实现此案例需要按照如下步骤进行。

1）配置终端设备 - Client 1

  地址：192.168.1.1
  掩码：255.255.255.0
  网关：192.168.1.254

2）配置终端设备 – Client 2

  地址：192.168.2.1
  掩码：255.255.255.0
  网关：192.168.2.254

配置终端设备 – Server1

  地址：192.168.3.1
  掩码：255.255.255.0
  网关：192.168.3.254

3）配置网络设备 – R1

>system-view                                         // 进入系统模式
[Huawei]sysname R1                                          // 更改设备名称
[R1]interface gi0/0/2                                       // 连接 Client1
[R1-GigabitEthernet0/0/2] ip address 192.168.1.254 24
[R1-GigabitEthernet0/0/2] quit 
[R1]interface gi0/0/0                                       // 连接 R2的接口
[R1-GigabitEthernet0/0/0] ip address 192.168.12.1 24
[R1-GigabitEthernet0/0/0] quit 
[R1]ip route-static 0.0.0.0 0.0.0.0 192.168.12.2        // 去往其他网段的默认路由

4）配置网络设备 – R2

>system-view                                         // 进入系统模式
[Huawei]sysname R2                                          // 更改设备名称
[R2]interface gi0/0/2                                       // 连接 PC1 
[R2-GigabitEthernet0/0/2] ip address 192.168.2.254 24
[R2-GigabitEthernet0/0/2] quit 
[R2]interface gi0/0/1                                       // 连接 R1 的接口
[R2-GigabitEthernet0/0/1] ip address 192.168.12.2 24
[R2-GigabitEthernet0/0/1] quit 
[R2]interface gi0/0/0                                       // 连接 R3 的接口
[R2-GigabitEthernet0/0/0] ip address 192.168.23.2 24
[R2-GigabitEthernet0/0/0] quit 
[R2]ip route-static 192.168.1.0 255.255.255.0  192.168.12.1  // 去往Client1的网段
[R2]ip route-static 192.168.3.0 255.255.255.0  192.168.23.3  // 去往Server1的网段

5）配置网络设备 – R3

>system-view                                         // 进入系统模式
[Huawei]sysname R3                                          // 更改设备名称
[R3]interface gi0/0/2                                       // 连接 Server1
[R3-GigabitEthernet0/0/2] ip address 192.168.3.254 24
[R3-GigabitEthernet0/0/2] quit 
[R3]interface gi0/0/1                                       // 连接 R2 的接口
[R3-GigabitEthernet0/0/1] ip address 192.168.23.3 24
[R3-GigabitEthernet0/0/1] quit 
[R3]ip route-static 0.0.0.0  0.0.0.0  192.168.23.2       // 去往其他网段的默认路由

6）在 R1 上配置并调用 ACL，拒绝 Client1 ping R2

[R1] acl 3000
[R1-acl-adv-3000]rule 10 deny icmp source 192.168.1.1 0 destination 192.168.12.2 0 
[R1-acl-adv-3000]rule 20 deny icmp source 192.168.1.1 0 destination 192.168.23.2 0 
[R1-acl-adv-3000]rule 30 deny icmp source 192.168.1.1 0 destination 192.168.2.254 0
[R1] interface  gi0/0/2
[R1-GigabitEthernet0/0/2] traffic-filter  inbound  acl  3000 // 在该接口入向调用ACL

7）在 R2 上配置并调用 ACL，拒绝 R1 ping Server1

[R2]acl 3000
[R2-acl-adv-3000]rule 10 deny icmp source 192.168.1.254 0 destination 192.168.3.1 0
[R2-acl-adv-3000]rule 20 deny icmp source 192.168.12.1 0 destination 192.168.3.1 0
[R2] interface  gi0/0/1
[R2-GigabitEthernet0/0/1] traffic-filter  inbound  acl  3000 // 在该接口入向调用ACL

8）测试

在Client1 测试：
Ping 192.168.12.2 ,不通；
Ping 192.168.23.2 ,不通；
Ping 192.168.2.254,不通；
在 R1 上测试：
Ping 192.168.3.1 , 不通；
Ping –a 192.168.1.254 192.168.3.1 , 不通