中国CCIE实验室.doc

中国CCIE实验室-思科华为网络技术论坛 CCNA/CCDA ACL(访问控制列表)配置实验查看完整版本: ACL(访问控制列表)配置实验乡巴佬 2007-9-13 09:08ACL(访问控制列表)配置实验color=Red实验要求标准访问控制列表： 只允许网段1和网段2之间互相访问 扩展访问控制列表： 只允许网段1(/24)访问R2路由器内部的WWW服务和PING服务，拒绝访问该服务器上的其他服务； 只允许网段2(/24)访问R3路由器内部的TFTP服务和PING服务，拒绝访问该服务器上的其他服务。 做访问控制列表实验之前我已经在各个路由器上配置了动态路由协议，使整个网络拓扑是连通的。所以，大家在做访问控制列表实验之前，先配置好路由(动态/静态)，网络运行正常后再配置访问控制列表标准访问控制列表配置：只允许网段1和网段2之间互相访问R1配置：R1#conf tR1(config)#access-list 1 deny 55R1(config)#access-list 1 deny 55R1(config)#access-list 1 permit anyR1(config)#int f0/0R1(config-if)#ip access-group 1 out测试：在PC1上ping PC2()PC1#ping Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds:!Success rate is 100 percent (5/5), round-trip min/avg/max = 108/227/312 ms测试结果为可以访问在PC1上PING R2路由器的内部网络()PC1#ping Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds:U.U.USuccess rate is 0 percent (0/5)测试结果是不能访问在PC2上PING PC1()PC2#ping Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds:!Success rate is 100 percent (5/5), round-trip min/avg/max = 72/176/216 ms测试结果为可以访问在PC2上PING R3路由器的内部网络()PC2#ping Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds:U.U.USuccess rate is 0 percent (0/5)测试结果为不能访问扩展访问控制列表配置：只允许网段1(/24)访问R2路由器内部的WWW服务和PING服务，拒绝访问该服务器上的其他服务；只允许网段2(/24)访问R3路由器内部的TFTP服务和PING服务，拒绝访问该服务器上的其他服务。因为先前我们已经配置了一个标准访问控制列表，为了不影响下一步的实验，现在我们先将其删除R1#show access-lists Standard IP access list 1 10 deny , wildcard bits 55 (8 matches) 20 deny , wildcard bits 55 (16 matches) 30 permit anyR1#conf tR1(config)#int f0/0R1(config-if)#no ip access-group 1 outR1(config-if)#exit R1(config)#no access-list 1 R1(config)#endR1#show access-listsR1#好了，现在我们开始配置扩展的访问控制列表了，根据上面的要求来做R1配置：R1#conf tR1(config)#access-list 101 permit tcp 55 host eq 80 R1(config)#access-list 101 permit icmp 55 host R1(config)#access-list 101 permit udp 55 host eq 69R1(config)#access-list 101 permit icmp 55 host echo R1(config)#access-list 101 permit icmp 55 host echo-replyR1(config)#int f0/0R1(config-if)#ip access-group 101 outR1(config-if)#endR1#show access-lists Extended IP access list 101 10 permit tcp 55 host eq www 20 permit icmp 55 host 30 permit udp 55 host eq tftp 40 permit icmp 55 host echo 50 permit icmp 55 host echo-reply测试：PC1:在PC1上PING R2路由器内部网段的WEB服务器()PC1#ping Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds:!Success rate is 100 percent (5/5), round-trip min/avg/max = 148/268/420 ms测试结果为可以PING在PC1上PING R3路由器内部网段的TFTP服务器()PC1#ping Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds:U.U.USuccess rate is 0 percent (0/5)测试结果为不可以PINGPC2：* Hidden Message */colorzhanqingtai 2007-9-17 19:52回回回/看看了。yc03zhangyuli1983 2007-10-2 23:03dinggggggggggggggggggggggpplove 2007-10-3 14:29yc06 kannnnnnnnnnnnnnnnnnnnwzyxlh 2007-10-3 19:05看看halfhour 2007-10-18 11:03狂顶.南宫雅稚 2007-10-18 23:01实验好啊看看mars 2007-10-21 11:04谢谢LZ的分享.乡巴佬 2007-10-21 21:22谢谢大家的支持以后如果我有什么好的资料的话会和大家一起分享的以后大家一起努力 把论坛弄的更好dreams_fly 2007-10-23 11:17瞅瞅.dailin1986 2007-10-24 02:04回复万岁！乡巴佬 2007-11-1 08:38不能让这个帖子沉底啊yc01sandyxjs 2007-11-7 16:25回复看看,谢谢分享,呵呵lzxlzx1983 2007-11-7 20:08恩 学习学习再学习 ！111renjianfei 2007-12-5 13:37ddddddddddddddddljf87654 2007-12-8 20:07很感谢，正发愁呢。chlove