ACL访问控制列表的配置
实验目的：
理解ACL的工作原理
掌握ACL的配置
对比标准ACL和扩展ACL的区别
实验环境拓扑图及要求：
实验拓扑：
说明：
１、虚拟ＰＣ2用桥接ＰＣ模拟
２、因桥接到真实网络，建议内部地址重新自主设置
３、测试server用路由器模拟
４、测试server上开启http服务和telnet服务
要求：
１、 全网互通
RA:
en
conf t
host RA
no ip domain-lo
int f1/0
ip add 192.168.10.1 255.255.255.0
no sh
exit
int f0/0
ip add 172.16.20.1 255.255.255.0
no sh
end
-----------------------------------------------
server:
en
conf t
host server
no ip domain-lo
int f0/0
ip add 172.16.20.2 255.255.255.0 //配置IP
no sh
exit
line vty 0 4 //激活telnet
password cisco
login
enable password bt0901jl //配置密码
ip route 0.0.0.0 0.0.0.0 172.16.20.1 //配置默认路由
end
-----------------------------------------------
SW1:
en
conf t
no ip domain-lo
no ip routing //禁用路由功能
host SW1
int vlan 1
ip add 192.168.10.11 255.255.255.0 //配置vlan1的IP地址
no sh
exit
ip default-gateway 192.168.10.1 //配置网关
end
２、 测试server上开启http服务和telnet服务
３、 禁止ＰＣ１访问外部网络，ＰＣ２能正常访问外部网络。提示：标准ＡＣＬ实现。
RA:
conf t
access-list 1 deny host 192.168.10.11
access-list 1 permit any
int f1/0
ip access-group 1 in
end
删除
RA:
conf t
no access-list 1 deny host 192.168.10.11
no access-list 1 permit any
int f1/0
no ip access-group 1 in
end
４、 禁止ＰＣ１访问测试server的telnet服务，能ping通。提示：扩展ＡＣＬ实现，记得删除之前ACL。
RA:
conf t
access-list 101 deny tcp host 192.168.10.11 host 172.16.20.2 eq 23 //禁止TCP的23端口
access-list 101 permit ip any any
int f1/0
ip access-group 101 in
end
删除
RA:
conf t
no access-list 101 deny tcp host 192.168.10.11 host 172.16.20.2 eq 23
no access-list 101 permit ip any any
end
５、 禁止ＰＣ２访问测试server的http服务，能访问测试server的telnet服务。提示：扩展ＡＣＬ实现。提示：扩展ＡＣＬ实现，记得删除之前ACL。
RA:
conf t
access-list 101 deny tcp host 192.168.10.12 host 172.16.20.2 eq 80 //禁止tcp 的80端口
access-list 101 permit ip any any
int f1/0
ip access-group 101 in
end
删除掉
RA:
conf t
no access-list 101 deny tcp host 192.168.10.12 host 172.16.20.2 eq 80
no access-list 101 permit ip any any
end
６、 禁止ＰＣ２访问ping通测试server，但能够通过HTTP和telnet访问测试server，记得删除之前ACL。
RA:
conf t
access-list 101 deny icmp host 192.168.10.12 host 172.16.20.2 echo //禁止ICMP请求
access-list 101 permit ip any any //允许其它所有
int f1/0
ip access-group 101 in
end
删除掉。
RA:
conf t
no access-list 101 deny icmp host 192.168.10.12 host 172.16.20.2 echo
no access-list 101 permit ip any any
end
７、 用命名ＡＣＬ实现要求３、４、５。
RA:
conf t
ip access-list standard cisco
deny host 192.168.10.11
permit any
ip access-list extended xiaj
deny tcp host 192.168.10.11 host 172.16.20.2 eq 23
permit ip any any
ip access-list extended bt0901
deny tcp host 192.168.10.12 host 172.16.20.2 eq 80
permit ip any any
RA:
Conf t
int f1/0
ip access-group cisco in
end
在接口上删除cisco，测试。！
RA：
Conf t
Int f1/0
no ip access
no ip access-group cisco in
end
在接口上应用bt0901，测试。
RA:
Conf t
int f1/0
ip access-group bt0901 in
end
在接口上删除bt0901，测试…
RA:
conf t
int f1/0
no ip access-group bt0901 in
end
在接口上应用xiaj，测试
RA:
conf t
int f1/0
ip access-group xiaj in
end
在接口上删除xiaj，测试
RA:
conf t
int f1/0
no access-group xiaj in
end
