Cisco ACL访问控制列表

  访问控制列表类型 

1、 标准访问控制列表（源IP ）

标准访问控制列表根据数据包的源IP地址来允许或拒绝数据包。访问控制列表号1-99

2、扩展访问控制列表（源IP/目标IP、源/目标端口、协议类型）

扩展访问列表根据数据包的源IP 地址、目标IP地址、指定协议、端口和标准来允许或拒绝数据包。访问控制列表号100-199

3、 命名访问控制列表

命名访问控制列表允许在标准和扩展访问控制列表中使用名称代替表号

4、 定时访问控制列表（只有扩展和命名扩展列表可以使用）

定时访问控制列表提供基于时间的附加控制特性，定义在什么时间允许或拒绝数据包

 

实验要求：

1、实现全网联通性

2、拒绝PC2访问服务器（服务器为桥接），用扩展ALC完成

3、拒绝PC1和PC3互访（用标准ACL完成）

4、在R1上做访问控制列表（用扩展ACL，限制用户在工作时间禁止访问外网）

 

R1配置

Router>en

Router#conf t

Router(config)#hostname R1

R1(config)#interface loopback 0

R1(config-if)#ip address 123.0.0.1 255.255.255.0

R1(config-if)#no shutdown

R1(config-if)#exit

R1(config)#interface f0/0

R1(config-if)#ip address 10.0.0.1 255.255.255.0

R1(config-if)#no shutdown

R1(config-if)#exit

R1(config)#ip route 192.168.0.0 255.255.0.0 10.0.0.2

 

SW1三层交换配置

Switch>en

Switch#conf t

Switch(config)#hostname SW1

SW1(config)#interface f0/1

SW1(config-if)#no switchport

SW1(config-if)#ip address 10.0.0.2 255.255.255.0

SW1(config-if)#no shutdown

SW1(config-if)#exit

SW1(config)#interface range f0/2-3

SW1(config-if-range)#switchport mode trunk

SW1(config-if-range)#exit

SW1(config)#ip routing

SW1(config)#vlan 2

SW1(config-vlan)#exit

SW1(config)#vlan 3

SW1(config-vlan)#exit

SW1(config)#vlan 4

SW1(config-vlan)#exit

SW1(config)#vlan 5

SW1(config-vlan)#exit

SW1(config)#interface vlan 2

SW1(config-if)#ip address 192.168.2.1 255.255.255.0

SW1(config-if)#no shutdown

SW1(config-if)#exit

SW1(config)#interface vlan 3

SW1(config-if)#ip address 192.168.3.1 255.255.255.0

SW1(config-if)#no shutdown

SW1(config-if)#exit

SW1(config)#interface vlan 4

SW1(config-if)#ip address 192.168.4.1 255.255.255.0

SW1(config-if)#no shutdown

SW1(config-if)#exit

SW1(config)#interface vlan 5

SW1(config-if)#ip address 192.168.5.1 255.255.255.0

SW1(config-if)#no shutdown

SW1(config-if)#exit

SW1(config)#ip route 0.0.0.0 0.0.0.0 10.0.0.1

 

SW2配置

Switch>en

Switch#conf t

Switch(config)#hostname SW2

SW2(config)#vlan 2

SW2(config-vlan)#exit

SW2(config)#vlan 3

SW2(config-vlan)#exit

SW2(config)#vlan 4

SW2(config-vlan)#exit

SW2(config)#interface f0/1

SW2(config-if)#switchport mode trunk

SW2(config-if)#exit

SW2(config)#interface f0/2

SW2(config-if)#switchport mode access

SW2(config-if)#switchport access vlan 2

SW2(config-if)#exit

SW2(config)#interface f0/3

SW2(config-if)#switchport mode access

SW2(config-if)#switchport access vlan 3

SW2(config-if)#exit

SW2(config)#interface f0/4

SW2(config-if)#switchport mode access

SW2(config-if)#switchport access vlan 4

 

SW3配置

Switch>en

Switch#conf t

Switch(config)#hostname SW3

SW3(config)#interface f0/1

SW3(config-if)#switchport mode trunk

SW3(config-if)#exit

SW3(config)#vlan 5

SW3(config-vlan)#exit

SW3(config)#interface f0/2

SW3(config-if)#switchport mode access

SW3(config-if)#switchport access vlan 5

 

配置3台PC机和服务器的ip地址，测试网络连通性

 

ACL 配置

1、配置扩展访问控制列表

SW1(config)#access-list 101 deny tcp host 192.168.3.2 host 192.168.5.2 eq 80   #扩展列表号是100-199，拒绝来自192.168.3.2的ip地址去访问192.168.5.2的tcp 80端口（如果是单个ip地址，前面必须加host；如果是一个网段，必须跟反掩码）

SW1(config)#access-list 101 permit ip any any    #因为acl默认策略是丢弃，所有最后要写上一条允许其余ip的策略

SW1(config)#interface vlan 3    

SW1(config-if)#ip access-group 101 in      #将ACL组策略应用到端口进口

SW1(config)#show access-list             #查看ACL列表

SW1(config-if)#no ip access-group 101 in    #如果操作有误，想删除应用在接口的组策略操作，执行此命令

SW1(config-if)#exit

SW1(config)#no access-list 101  #删除acl列表

2、配置标准访问控制列表

SW1(config)#access-list 1 deny host 192.168.2.2     #标准列表号是1-99，拒绝来自192.168.2.2的主机访问

SW1(config)#access-list 1 permit any

SW1(config)#interface vlan 4

SW1(config-if)#ip access-group 1 in

SW1(config-if)#no ip access-group 1 in    #删除列表

3、在扩展列表的基础上，配置时间范围限制

R1(config)#time-range abc     #定义一个时间名为abc

R1(config-time-range)#periodic weekdays 8:30 to 17:30

R1(config-time-range)#exit

R1(config)#access-list 101 deny ip host 192.168.2.1 host 202.106.1.1 time-range abc

R1(config)#access-list 101 deny ip host 192.168.4.1 host 202.106.1.1 time-range abc

R1(config)#access-list 101 deny ip host 192.168.4.1 host 202.106.1.1 time-range abc

R1(config)#interface f0/0

R1(config-if)#ip access-group 101 in

R1(config-if)#end

R1(config)#show access-list

4、配置标准命令列表

SW1(config)#ip access-list seandard cisco    #命令列表可以给表定个名字，不必写列表号，同时删除的时候可以删除指定的列表，不必想标准列表和扩展列表一样，删除整个列表

SW1(config-std-nacl)#permit host 192.168.2.1

SW1(config-std-nacl)#deny any

SW1(config-std-nacl)#end

SW1#show access-lists

Standard IP access list cisco     #标准访问列表cisco

      10 permit 192.168.2.1       #配置的第一条ACL语句序列号为10

      20 deny any               #配置的第二条ACL序列号为20

SW1(config)#ip access-list seandard cisco

SW1(config-std-nacl)#15 permit host 192.168.3.2    #在cisco列表中插入一条列表，序号为15,再次查看列表，后看到多了一条

配置扩展命名列表

SW1(config)#ip access-list extended cisco    #命名扩展列表名为cisco

SW1(config-std-nacl)#deny tcp 192.168.2.0 0.0.0.255 host 192.168.3.2 eq 21

SW1(config-std-nacl)#permit ip any any