ACL运用----企业设备配置流量

1.实验要求:

1)R1只允许WG登录,WG能ping通Sever1和Client1
2)研发(YF)和财务(CW)不能互通,但是可以与网关(WG)互通
3)研发(YF)可以访问Client1
4)财务 (CW)不能访问Client1
5)研发(YF)和财务(CW)只能访问Sever1的www服务
6)只有网管(WG)可以访问Sever1的所有服务

2.实验拓扑

在这里插入图片描述

3.配置命令

1.配置终端设备
YF:
192.168.20.1
255.255.255.0
192.168.20.254
CW:
192.168.30.1
255.255.255.0
192.168.30.254
Server1:
192.168.1.1
255.255.255.0
192.168.1.254
2.配置网络设备
WG
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 192.168.10.1 24
[Huawei]ip route-static 0.0.0.0 0.0.0.0 192.168.10.254

AR10
[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 192.168.10.254 24
[Huawei-GigabitEthernet0/0/1]int g0/0/2
[Huawei-GigabitEthernet0/0/2]ip address 192.168.20.254 24
[Huawei-GigabitEthern

### 如何在Packet Tracer中配置扩展IPv4 ACL场景2 #### 配置目标 为了确保特定网络中的设备能够按照预期通信,需要通过配置扩展ACL来过滤进出这些网络流量。对于来自两个不同子网(10.101.117.48/29 和 10.101.117.32/28)的数据流,在千兆以太网接口GigabitEthernet0/2上的出站方向应用名为`access-list 199`的规则集。 #### 创建并定义ACL规则 进入全局配置模式后输入如下指令创建一个新的编号型标准IP访问控制列表: ```shell Router(config)# ip access-list extended 199 ``` 接着添加具体的允许或拒绝条件语句至上述新建的ACL里;例如,如果意图阻止除HTTP请求外其他类型的TCP连接尝试到达某台服务器,则可执行下面这条命令[^1]: ```shell Router(config-ext-nacl)# deny tcp any host 172.22.34.62 neq www ``` 此操作会阻断所有试图向主机172.22.34.62发起非WWW端口(TCP 80)的服务请求。当然也可以依据实际需求调整源地址范围以及目的服务类型等参数设置。 #### 将ACL应用于适当位置 考虑到性能优化原则——即尽可能早地丢弃不被接受的数据包以减少不必要的处理开销——通常建议把扩展ACL部署在网络边界处接近潜在威胁源头的地方。然而在这个案例当中因为涉及到多个独立的小规模子网作为数据发送方,所以更合理的选择是在汇聚层交换机面向广域网一侧也就是路由器向外转发之前实施筛选措施。具体来说就是在R1设备上面针对其下行链路GE0/2运用刚才建立起来的那个策略: ```shell Router(config-if)# interface GigabitEthernet0/2 Router(config-if)# ip access-group 199 out ``` 这一步骤使得凡是准备经由此出口离开本局域网前往外部目的地的一切报文都得先经过刚刚设定好的过滤器检验一番才行[^3]。 #### 测试与验证 完成以上各项配置之后应当立即着手测试新加入的安全机制是否真的生效了。可以通过模拟客户端机器发出各种形式的探测信号比如ICMP Echo Request(Ping),或是利用浏览器加载网页等方式观察响应情况从而判断是否有意料之外的行为发生。另外还可以借助于专门设计用来展示当前活动着的各种路由表项连同它们各自对应的计数统计在内的诊断工具如`show access-lists`命令获取更加直观详尽的信息帮助分析排查可能存在的问题所在[^2]。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值