路由访问控制列表配置ACL配置

路由访问控制列表配置ACL配置

12.1. 实验目标

任务一：标准访问控制列表配置

任务二：扩展访问控制列表配置

任务三：命名访问控制列表

实验一:acl 的应用

标准访问控制列表

配置扩展访问控制列表

配置命名访问控制列表

12.2. 准备环境

三台2610路由器连接

12.3. 实验拓扑     最上边的是R1  ，左边的是R2 ,右边的是R3

2.4. 实验步骤及参考

12.4.1. 标准访问控制列表

禁止访问192.168.1.1

第一步：r1上的配置。

r1(config)#int e0/0

r1(config-if)#ip add 192.168.0.1 255.255.255.0

r1(config-if)#no sh

r1(config-if)#int e0/1

r1(config-if)#ip add 10.0.0.1 255.0.0.0

r1(config-if)#no sh

r1(config-if)#router ospf 10

r1(config-router)#network 192.168.0.1 0.255.255.255 area 0

r1(config-router)#network 10.0.0.1 0.0.0.255 area 0

第二步:r2上的配置。

r2(config)#int e0/0

r2(config-if)#ip add 192.168.0.2 255.255.255.0

r2(config-if)#no sh

r2(config-if)#int e0/1

r2(config-if)#ip add 10.10.2.1 255.255.255.0

r2(config-if)#no sh

r2(config-if)#router router ospf 10

r2(config-router)#network 192.168.0.2 0.255.255.255 area 0

r2(config-router)#network 172.16.1.1 0.0.255.255 area 0

（下面这几步是在r1上的e0/0出方向绑定标准访问控制列表项，因为标准的最好在离目的地址近的接口上配置。！）

任务：

R1(config)#access-list 1 deny 192.168.1.1 0.0.0.0      （禁止访问192.168.1.1）

R1(config)#access-list 1 permit 0.0.0.0 255.255.255.255  （允许访问所有）

R1(config)#int e0/2

R1(config-if)#ip access-group 1 out

第三步：r3上的配置。

r3(config)# interface Ethernet0/0

r3(config-if)#ip address 172.16.5.1 255.255.255.0

r3(config-if)#no sh

r3(config)#interface Ethernet0/1

r3(config-if)#ip address 172.15.0.1 255.255.0.0

r3(config-if)#no sh

r3(config)#router rip

r3(config-router)#network 10.10.2.0

r3(config-router)#network 172.15.0.1 0.0.255.255 area 0

查看：

r3(config-router)# do show ip route

r3#ping 192.168.0.1

!!!!!

第四步：在r2上测试。

R2#ping 20.0.0.2

U.U.U （目标地址不可达） 禁用了192.168.0.2发来的数据包，但172.16.0.2可以PING通20.0.0.2

Success rate is 0 percent (0/5)

r1#ping 192.168.0.2

!!!!!

12.4.2. 配置扩展访问控制列表

任务：让192.168.0.1不能连通192.168.0.2但0.2可以连通0.1

第一步：r2上的配置。

r2(config)#access-list 102 deny icmp host 192.168.0.1 host 192.168.0.2 echo

r2(config)#access-list 102 permit ip any any

r2(config)#int e0/0

r2(config-if)#ip access-group 102 in

(这些是拒绝icmp的连通)

r2(config-if)#no ip access-group 102 in

r2(config-if)#exit

r2(config)#no access-list 102

（这是删除一个ACL）

r2(config)#access-list 101 deny tcp host 192.168.0.1 host 192.168.0.2 eq 23

不能用tcp协议中的telnet

r2(config)#access-list 101 permit ip any any

r2(config-if)#ip access-group 101 in

r2(config-if)#exit

（这是拒绝TELNET登陆）

第二步：r1上的配置。

r1#ping 192.168.0.2

(这些是测试拒绝icmp的连通)

Success rate is 0 percent (0/5)

r1#telnet 10.10.2.10

Trying 10.10.2.10 ...

% Destination unreachable; gateway or host down

（这是测试拒绝TELNET登陆）

第三步：r3上的配置。（与标准ACL上的配置一样）

（注：show ip interface 用来显示ACL是否正确配置。）

12.4.3. 配置命名访问控制列表

任务：不让192.168.0.3访问192.168.0.2 但0.2可以访问0.3

第一步：r2上的配置。

r2(config)#ip access-list extended sjd (扩展命名)

r2(config-ext-nacl)#deny icmp host 192.168.0.3 host 192.168.0.2 echo

r2(config-ext-nacl)#permit ip any any（允许其他任何IP流量）

r2(config-ext-nacl)#int e0/0

r2(config-if)#ip access-group cisco in

第二步：r1上测试。

r1#ping 192.168.0.2

转载于:https://blog.51cto.com/sjdwm/122139