Cisco Packet Tracer实验4：CISCO ACL 简单配置.doc

实验4：CISCO ACL 简单配置一、实验目的1、了解ACL 配置方法；2、练习在已有网络上配置ACL 协议二、实验环境packet tracer 5.0三、ACL 介绍ACL(Access Control List，访问控制列表)，简单说就是包过滤，根据数据包的报头中的ip 地址、协议端口号等信息进行过滤。利用ACL 可以实现安全控制。编号：1-99 or 1300-1999(standard IP)，100-199 or 2000-2699(Extended IP)。ACL并不复杂，但在实际应用中的，要想恰当地应用ACL，必需要制定合理的策略。四、实验步骤：一、配置实例拓扑图配置DNS SERVER：配置HTTP SERVER：二、配置三个路由器：以Router0 为例，其它两个路由器相似：RouterRouterenable /进入特权配置模式Router#config t /进入全局配置模式Enter configuration commands, one per line. End with CNTL/Z.Router(config)#hostname yangyu-R0 /修改路由器名称yangyu-R0(config)#enable password yangyu /设置特权密码yangyu-R0(config)#LINE VTY 0 4yangyu-R0(config-line)#password yangyu /设置登陆密码yangyu-R0(config-line)#loginyangyu-R0(config-line)#endyangyu-R0#config tEnter configuration commands, one per line. End with CNTL/Z.yangyu-R0(config)#int fa 0/0 /配置FA0/0 端口yangyu-R0(config-if)#ip add yangyu-R0(config-if)#no shut /启用该端口yangyu-R0(config-if)#int s 1/0 /配置serial1/0 端口yangyu-R0(config-if)#ip add yangyu-R0(config-if)# clock rate 64000 /配置串行链路时钟yangyu-R0(config-if)#no shutyangyu-R0(config-if)#exityangyu-R0(config)#interface Serial1/1yangyu-R0(config-if)#ip address yangyu-R0(config-if)#clock rate 64000yangyu-R0(config-if)#no shutdownyangyu-R0(config-if)#exyangyu-R0(config)#router eigrp 24 /启用EIGRP 协议，区域号为24yangyu-R0(config-router)#network /发布邻接网络yangyu-R0(config-router)#network yangyu-R0(config-router)#network yangyu-R0(config-router)#auto-summary /启用自动汇总yangyu-R0(config-router)#exR1，R2 的配置信息：R1：yangyu-R1#show ruyangyu-R1#show running-configBuilding configuration.Current configuration : 738 bytes!version 12.4no service password-encryption!hostname yangyu-R1!enable password yangyu!ip ssh version 1!interface FastEthernet0/0ip address duplex autospeed auto!interface FastEthernet0/1no ip addressduplex autospeed autoshutdown!interface Serial1/0ip address !interface Serial1/1ip address clock rate 64000!interface Serial1/2no ip addressshutdown!interface Serial1/3no ip addressshutdown!interface Vlan1no ip addressshutdown!router eigrp 24network network network auto-summary!ip classless!line con 0line vty 0 4password yangyulogin!EndR2：yangyu-R2#show runnBuilding configuration.Current configuration : 720 bytes!version 12.4no service password-encryption!hostname yangyu-R2!enable password yangyu!ip ssh version 1!interface FastEthernet0/0ip address duplex autospeed auto!interface FastEthernet0/1no ip addressduplex autospeed autoshutdown!interface Serial1/0ip address !interface Serial1/1ip address !interface Serial1/2no ip addressshutdown!interface Serial1/3no ip addressshutdown!interface Vlan1no ip addressshutdown!router eigrp 24network network network auto-summary!ip classless!line con 0line vty 0 4password yangyulogin!end三、配置简单的ACL、配置ACL 限制远程登录（telnet）到路由器的主机yangyu-R0#config tEnter configuration commands, one per line. End with CNTL/Z.yangyu-R0(config)#access-list 1 permit host /路由器yangyu-R0只允许 远程登录(telnet)yangyu-R0(config)#line vty 0 4yangyu-R0(config-line)#access-class 1 inyangyu-R0(config-line)#其它两个路由器也可依照上文配置。、配置ACL 禁止/24 网段的icmp 协议数据包通向与/24 网段yangyu-R2#config tEnter configuration commands, one per line. End with CNTL/Z.yangyu-R2(config)#access-list 101 deny icmp 55 55/指定101 号规则，禁止源地址为 访问yangyu-R2(config)#access-list 101 permit ip any any /允许其他所有源地址访问所有目的地址yangyu-R2(config)#int fa0/0yangyu-R2(config-if)#ip access-group 101 out /在fa0/0 出方向上使用101 号规则yangyu-R2(config-if)#、配置ACL 禁止特点的协议端口通讯yangyu-R0#config tEnter configuration commands, one per line. End with CNTL/Z.yangyu-R0(config)#ip access-list extended ACL2 /创建基于名称的扩展ACLyangyu-R0(config-ext-nacl)#deny tcp host 55 eq 80 /禁止 使用80 端口访问yangyu-R0(config-ext-nacl)#deny udp host 55 eq 53yangyu-R0(config-ext-nacl)#permit ip any any /允许其他访问者yangyu-R0(config-ext-nacl)#exityangyu-R0(config)#int fa 0/0yangyu-R0(config-if)#ip access-group acl2 in /入方向上使用规则2yangyu-R0(config-if)#exyangyu-R0(config)#三、验证ACL 规则：配置主机IP：PC0：PC1：PC2：PC3：通过TELNET 登录路由器：PC0:PC1：网段 的ICMP 包不能访问网段，但可以访问：四检验、查看ACLyangyu-R0#show access-listsExtended IP access list ACL2deny tcp host 55 eq wwwdeny udp host 55 eq domainpermit ip any anyyangyu-R0#show ip access-list acl2Extended IP access list acl2deny tcp host 192.1