ACL访问控制列表详细解析

明天会更好

实验十四 ACL标准访问控制列表

一、实验设备

2台28系列型号路由器通过串口相连，3台PC。

二、实验要求

    你是一个公司的网络管理员，公司的经理部、财务部门和销售部门分属不同的3个网段，三部门之间用路由器进行信息传递，为了安全起见，公司领导要求销售部门PC2不能对财务部门PC3进行访问，但经理部PC1可以对财务部门PC3进行访问。

三、实验步骤

步骤1.Router1基本配
Router>en

Router#conf  t

Router(config)#hostname R1

R1(config)#int fa0/0

R1(config-if)#ip add 172.16.1.1 255.255.255.0

R1(config-if)#no shut

R1(config-if)#exit

R1(config)#int fa0/1

R1(config-if)#ip add 172.16.2.1 255.255.255.0

R1(config-if)#no shut

R1(config-if)#exit

R1(config)#int s0/0/0

R1(config-if)#clock rate 64000

R1(config-if)#ip add 172.16.3.1 255.255.255.0

R1(config-if)#no shut

R1(config-if)#end

步骤2.Router2基本配置
Router>en

Router#conf t

Router(config)#hostname R2

R2 (config)#int fa0/0

R2 (config-if)#ip add 172.16.4.1 255.255.255.0

R2 (config-if)#no shut

R2 (config-if)#exit

R2 (config)#int s0/0/0

R2 (config-if)#ip address 172.16.3.2 255.255.255.0

R2 (config-if)#no shut
R2 (config-if)#end

步骤3.配置静态路由

R1(config)#ip route 172.16.4.0 255.255.255.0 172.16.3.2

R2(config)#ip route 172.16.1.0 255.255.255.0 172.16.3.1

R2(config)#ip route 172.16.2.0 255.255.255.0 172.16.3.1

步骤4.配置标准IP访问控制列表。
R2(config)#access-list 1 deny 172.16.2.0 0.0.0.255    ! 拒绝来自172.16.2.0网段的流量通过
R2(config)#access-list 1 permit 172.16.1.0 0.0.0.255   ! 允许来自172.16.1.0网段的流量通过

步骤5.把访问控制列表在接口下应用。
R2(config)# interface fastEthernet 0/0
R2(config-if)#ip access-group 1 out                ! 在接口下访问控制列表出栈流量调用

【注意事项】
1、注意在访问控制列表的网络掩码是反掩码。
2、标准控制列表要应用在尽量靠近目的地址的接口。

1. ping 1.1.1.1出现U.U.U是因为配IP的时候子网没写。

2. 按照ACL中指令的顺序依次检查数据报是否满足某一个指令条件。当检测到某个指令条件满足的时候，就不会再检测后面的指令条件。

3. 标准ACL使用表号范围1－99，只检查源地址，应放置在接近目的的位置。

4. 扩展ACL使用表号范围100－199，可检查源地址和目的地址，可检查第四层的端口号，应放置在接近源的位置上。

实验十五 扩展ACL -1

一、实验设备

S3550交换机（1台）、PC（3台)、直连线（3条）

二、实验要求

   学校规定学生只能对服务器进行FTP访问，不能进行WWW访问，教工则没有此限制。

三、实验步骤

步骤1.基本配置。
3550-24(config)#vlan 10
3550-24(config-vlan)#name server
3550-24(config)#vlan 20
3550-24(config-vlan)#name teachers
3550-24(config)#vlan 30
3550-24(config-vlan)#name students
3550-24(config)#interface f0/5
3550-24(config-if)#switchport mode access
3550-24(config-if)#switchport access vlan 10
3550-24(config)#interface f0/10
3550-24(config-if)#switchport mode access
3550-24(config-if)#switchport access vlan 20
3550-24(config)#interface f0/15
3550-24(config-if)#switchport mode access
3550-24(config-if)#switchport access vlan 30
3550-24(config)#int vlan10
3550-24(config-if)#ip add 192.168.10.1 255.255.255.0
3550-24(config-if)#no shutdown
3550-24(config-if)#int vlan 20
3550-24(config-if)#ip add 192.168.20.1 255.255.255.0
3550-24(config-if)#no shutdown
3550-24(config-if)#int vlan 30
3550-24(config-if)#ip add 192.168.30.1 255.255.255.0
3550-24(config-if)#no shutdown
步骤2.配置命名扩展IP访问控制列表。
3550-24(config)#ip access-list extended denystudentwww  
3550-24(config-ext-nacl)# deny tcp 192.168.30.00.0.0.255  192.168.10.0 0.0.0.255 eq www                                ! 禁止WWW服务
3550-24(config-ext-nacl)# permit ip any  any     !允许其他服务
步骤3.把访问控制列表在接口下应用。
3550-24(config)#int vlan 30
3550-24(config-if)#ip access-group denystudentwww in
步骤4. 验证测试，需要创建复杂PDU测试。

实验十六 扩展ACL -2一、  实验设备S3550交换机（1台）、PC（4台)、直连线（4条），交叉线（2条）

二、实验要求

PC1、PC2、PC3分别在vlan10、vlan20、vlan30中。配置OSPF协议使全网互通，但是不允许PC2远程登陆到Router1上。

三、实验步骤

Router1(config)#int f0/0

Router1(config-if)#ip add 192.168.10.161255.255.255.0

Router1(config-if)#no shutdown

Router1(config)#int f0/1

Router1(config-if)#ip add 192.168.9.130255.255.255.0

Router1(config-if)#no shutdown

Router1(config)#router ospf 10

Router1(config-router)#net 192.168.10.0255.255.255.0 a 0

Router1(config-router)#net 192.168.9.0255.255.255.0 a 0

Router1(config)#access-list 100 deny tcphost 192.168.12.65 host 192.168.9.130 eq telnet

Router1(config)#access-list 100 permit ipany any

Router1(config)#int f0/1

Router1(config-if)#ip access-group 100 in

Switch1(config)#int f0/1

Switch1(config-if)#no switchport

Switch1(config-if)#ip add 192.168.9.129255.255.255.0

Switch1(config-if)#no shutdown

Switch1(config)#vlan 10

Switch1(config-vlan)#vlan 20

Switch1(config-vlan)#vlan 30

Switch1(config-vlan)#exi

Switch1(config)#int vlan 10

Switch1(config-if)#ip add 192.168.11.34255.255.255.0

Switch1(config)#int vlan 20

Switch1(config-if)#ip add 192.168.12.66255.255.255.0

Switch1(config)#int vlan 30

Switch1(config-if)#ip add 192.168.13.98255.255.255.0

Switch1(config)#int f0/2

Switch1(config-if)#sw mo tr

Switch1(config-router)#net 192.168.11.0255.255.255.0 a 0

Switch1(config-router)#net 192.168.12.0255.255.255.0 a 0

Switch1(config-router)#net 192.168.13.0255.255.255.0 a 0

Switch1(config-router)#net 192.168.9.0255.255.255.0 a 0

Switch2(config)#vlan 10

Switch2(config-vlan)#vlan 20

Switch2(config-vlan)#vlan 30

Switch2(config)#int f0/1

Switch2(config-if)#sw access vlan 10

Switch2(config)#int f0/3

Switch2(config-if)#sw access vlan 20

Switch2(config)#int f0/4

Switch2(config-if)#sw access vlan 30

注意事项：

配置PC之间ping通用OSPF没有任何问题，扩展ACL如下：
Router(config)#access-list 100 permit tcp host 192.168.10.33 host192.168.10.130 eq telnet
Router(config)#access-list 100 permit tcp host 192.168.10.97 host192.168.10.130 eq telnet
Router(config)#access-list 100 permit icmp any any
然后把ACL100用在10.130口上做入口，此时发现PC1、2、3全不能ping通pc4 ，并且telnet到路由器也全不行，把扩展ACL做在三层交换机上 做出口设置，就没问题了，为啥用在路由器上就不行？ACL 100放置在10.130的入口方向上，把三层交换机发来的OSPF的路由更新报文和Hello报文也阻断了，等于内网和路由器的路由连接没有了，当然会ping不通。而ACL 100应用在三层交换机的出口上没有问题，则是因为ACL不会作用于路由器自身所产生的数据包，所以这时三层交换机还是可以发出OSPF的报文，而且由于入口没有限制，所以也能收到路由器发出的OSPF报文，路由不会受到影响，自然能ping通。要解决这个问题，你需要在扩展ACL里面添加permit到组播地址224.0.0.5和224.0.0.6的报文，这样才能不会影响OSPF路由协议的正常工作。

实验十七 专家级访问控制列表

一、实验设备（PT中不支持专家级ACL以及基于时间的ACL）

S3560交换机（1台）、PC（3台)、2811路由器1台

二、实验要求

禁止IP地址及MAC地址为172.16.1.1和00e0.9823.9526的主机访问主机160.16.1.1。

步骤1.Router1基本配置：

Router1>en

Router1#conf t

Router1(config)#int fa0/0

Router1(config-if)#ip add 172.16.1.2255.255.255.0

Router1(config-if)#no shut

Router1(config-if)#int fa0/1

Router1(config-if)#ip add 192.168.2.2255.255.255.0

Router1(config-if)#no shut

Router1(config-if)#exit

步骤2.Switch1基本配置：

Switch1>en

Switch1#conf

Switch1(config)#expert caccess-listextended test1             !定义专家级访问列表e1

Switch1(config-ext-nacl)#deny ip host172.16.1.1 host 00e0.9823.9526 host 160.16.1.1 any        

!禁止IP地址及MAC地址为172.16.1.1和00e0.9823.9526的主机访问主机160.16.1.1

Switch1(config-ext-nacl)#permit any any anyany            !验证测试：验证访问列表配置

Switch1#show access-list test1                           !显示专家级访问列表test1

Switch1(config)#int fa0/1

Switch1(config)#expert access-group test1in          !在接口上应用专家级访问列表test1