关于交换机和路由器的access-list配置

好久没碰     突然发现自己忘记access-list 还有个100-199的extand的  可以不用NO全部就可以增加删改   真杯具

-----------------------------

 

三层路由功能(针对三层交换机)
(config)# ip routing       开启三层交换机的路由功能
(config)# interface fastethernet 0/1    
(config-if)# no switchport      开启端口的三层路由功能(这样就可以为某一端口配置IP)
(config-if)# ip address 192.168.1.1 255.255.255.0 
(config-if)# no shutdown 
三层交换机路由协议
(config)# ip route 172.16.1.0 255.255.255.0 172.16.2.1 配置静态路由
注:172.16.1.0 255.255.255.0  为目标网络的网络号及子网掩码
172.16.2.1 为下一跳的地址，也可用接口表示,如ip route 172.16.1.0 255.255.255.0 serial 1/2(172.16.2.0所接的端口)
(config)# router rip    开启RIP协议进程
(config-router)# network 172.16.1.0    申明本设备的直连网段信息
(config-router)# version 2           开启RIP V2，可选为version 1(RIPV1)、version 2(RIPV2) 
(config-router)# no auto-summary    关闭路由信息的自动汇总功能(只有在RIPV2支持)

(config)# router ospf        开启OSPF路由协议进程（针对1762，无需使用进程ID）
(config)# router ospf 1      开启OSPF路由协议进程（针对2501，需要加OSPF进程ID）
(config-router)# network 192.168.1.0 0.0.0.255 area 0   
申明直连网段信息，并分配区域号(area0为骨干区域)

IP ACL：
交换机采用命名的访问控制列表；分标准(stand)和扩展(extended)两种
1.标准ACL
(config)#ip access-list stand listname  定义命名标准列表，命名为listname，stand为标准列表
(config-std-nacl)#deny 192.168.30.0 0.0.0.255  拒绝来自192.168.30.0网段的IP流量通过
注：deny：拒绝通过；可选：deny(拒绝通过)、permit(允许通过)
   192.168.30.0 0.0.0.255：源地址及源地址通配符；可使用any表示任何IP
(config-std-nacl)#permit any
(config-std-nacl)#end          返回
2.扩展ACL
(config)#ip access-list extended listname 
定义命名扩展列表，命名为listname,extended为扩展
(config-ext-nacl)#deny tcp 192.168.30.0 0.0.0.255 192.168.10.0 0.0.0.255 eq www  拒绝源地址为192.168.30.0网段的IP访问目的地址为192.168.10.0网段的WWW服务
注：deny：拒绝通过，可选：deny(拒绝通过)、permit(允许通过)
tcp: 协议名称，协议可以是udp, ip，eigrp, gre, icmp, igmp, igrp等等。
192.168.10.0 0.0.0.255：源地址及源地址通配符
192.168.30.0 0.0.0.255：目的地址及目的地址通配符
eq：操作符（lt-小于，eq-等于，gt-大于，neg-不等于，range-包含） 
www：端口号，可使用名称或具体编号
可以使用的协议名称（或编号）和端口名称（或编号）请打？查询。
(config-ext-nacl)#permit ip any any   允许其它通过
(config-ext-nacl)#end             返回
(config)#interface vlan 10     进入端口配置模式
(config-if)# ip access-group listname in   访问控制列表在端口下in方向应用；可选：in(入栈)、out(出栈)
(config-if)#end                 返回
注：配置ACL时，若只想对其中部分IP进行限制访问时，必须配置允许其流量通过，否则设备只会对限制IP进行处理，不会对非限制IP进行允许通过处理。

 
路由器

>Enable 进入特权模式
#Exit   返回上一级操作模式
#del flash:config.text   删除配置文件(交换机及1700系列路由器)
#erase startup-config   删除配置文件(2500系列路由器)
#write memory    或copy running-config startup-config  保存配置
#Configure terminal 进入全局配置模式
(config)# hostname routerA   配置设备名称为routerA
(config)#banner motd &      配置每日提示信息  &为终止符
(config)# enable secret star   或者:enable password star   
 设置路由器的特权模式密码为star；secret 指密码以非明文显示，password指密码以明文显示

查看信息
#show running-config       查看当前生效的配置信息
#show interface fastethernet 0/3   查看F0/3端口信息
#show interface serial 1/2       查看S1/2端口信息
#show ip interface brief          查看端口信息
#show version               查看版本信息
#show running-config       查看当前生效的配置信息
#show controllers serial 1/2  查看该端口信息 , 用于R2501
#show ip route          查看路由表信息
#show access-lists 1      查看标准访问控制列表1的配置信息

远程登陆（telnet）
(config)# line vty 0 4  进入线路0~4的配置模式，4为连续线路最后一位的编号，线路为0~4
(conifg-line)#login     
(config-line)#password star   配置远程登陆密码为star
(config-line)#end      返回上层

端口的基本配置
(config)#Interface fastethernet 0/3  进入F0/3的端口配置模式
(config)#interface range fa 0/1-2   进入F01至F0/2的端口配置模式
(config-if)#speed 10             配置端口速率为10M,可选10,100,auto
(config-if)#duplex full   配置端口为全双工模式,可选full(全双工),half(半双式),auto(自适应)
(config-if)#no shutdown       开启该端口

(config)# interface serial 1/2  进入端口S1/2的配置模式
(config-if)# ip address 1.1.1.1 255.255.255.0 配置端口IP及掩码
(config-if)# clock rate 64000    配置时钟频率(单位为K , 仅用于DCE端)
(config-if)# bandwidth 512     配置端口带宽速率为512KB(单位为KB)
(config-if)# no shutdown     开启该端口
(config-if)#encapsulation PPP     定义封装类型为PPP，可选项：
Frame-relay 帧中继   
Hdlc  高级数据链路控制协议 
lapb  X.25的二层协议
PPP   PPP点到点协议
X25   X.25协议

路由协议
(config)# ip route 172.16.1.0 255.255.255.0 172.16.2.1 配置静态路由
注:172.16.1.0 255.255.255.0  为目标网络的网络号及子网掩码
172.16.2.1 为下一跳的地址，也可用接口表示,如ip route 172.16.1.0 255.255.255.0 serial 1/2(172.16.2.0所接的端口)
(config)# router rip    开启RIP协议进程
(config-router)# network 172.16.1.0    申明本设备的直连网段信息
(config-router)# version 2           开启RIP V2，可选为version 1(RIPV1)、version 2(RIPV2) 
(config-router)# no auto-summary    关闭路由信息的自动汇总功能(只有在RIPV2支持)

(config)# router ospf        开启OSPF路由协议进程（针对1762，无需使用进程ID）
(config)# router ospf 1      开启OSPF路由协议进程（针对2501，需要加OSPF进程ID）
(config-router)# network 192.168.1.0 0.0.0.255 area 0   
申明直连网段信息，并分配区域号(area0为骨干区域)
注意：如果是Rip Version1，那么在不连续的子网中，需要为中间网段的两个路由器都配置子接口！！！
RA(config)#int serial0
RA(config-if)#ip address 172.16.2.1 255.255.255.0 secondary
RB(config)#int serial0
RB(config-if)#ip address 172.16.2.2 255.255.255.0 secondary

PAP
路由器Ra为被验证方、 Rb为验证方； 两路由器用V.35线连接(串口线)，分别配置各端口的IP及时钟频率后：
Rb(config)# username Ra password 0 star   验证方配置被验证方的用户名,密码
Rb(config)# intterface  serial 1/2   进入S1/2端口
Rb(config-if)# encapsulation ppp           定义封装类型为PPP
Rb(config-if)# ppp authentication pap       PPP启用PAP认证方式

Ra(config)# itnterface  serial 1/2   进入S1/2端口
Ra(config-if)# encapsulation ppp           定义封装类型为PPP
Ra(config-if)# ppp pap sent-username Ra password 0 star  设置用户名为ra 密码为star,用于发送到验证方进行验证
#debug ppp authentication    可选命令：观察PAP验证过程(如果没看到验证消息，则将端口shutdown，然后再no shutdown，即可看到验证过程的相关信息)

CHAP
路由器Ra、 Rb, 两路由器用V.35线连接(串口线)，分别配置各端口的IP及时钟频率后：
被验证方配置：
Ra(config)# username Rb password 0 star      以对方的主机名作为用户名，密码和对方的路由器一致
Ra(config)# interface serial 1/2   进入S1/2端口
Ra(config-if)# encapsulation PPP     定义封装类型为PPP

验证方配置：
Rb(config)# username Ra password 0 star   以对方的主机名作为用户名，密码和对方的路由器一致
Rb(config)# interface  serial 1/2   进入S1/2端口
Rb(config-if)# encapsulation PPP     定义封装类型为PPP
Rb(config-if)# ppp authentication chap   PPP启用CHAP方式验证