Cisco ACL访问控制列表

zhouerla

访问控制列表类型

1、标准访问控制列表（源IP）
标准访问控制列表根据数据包的源IP地址来允许或拒绝数据包。访问控制列表号1-99
2、扩展访问控制列表（源IP/目标IP、源/目标端口、协议类型）
扩展访问列表根据数据包的源IP 地址、目标IP地址、指定协议、端口和标准来允许或拒绝数据包。访问控制列表号100-199
3、命名访问控制列表
命名访问控制列表允许在标准和扩展访问控制列表中使用名称代替表号
4、定时访问控制列表（只有扩展和命名扩展列表可以使用）
定时访问控制列表提供基于时间的附加控制特性，定义在什么时间允许或拒绝数据包

实验要求：
1、实现全网联通性
2、拒绝PC2访问服务器（服务器为桥接），用扩展ALC完成
3、拒绝PC1和PC3互访（用标准ACL完成）
4、在R1上做访问控制列表（用扩展ACL，限制用户在工作时间禁止访问外网）


R1配置
Router>en
Router#conf t
Router(config)#hostname R1
R1(config)#interface loopback 0
R1(config-if)#ip address 123.0.0.1 255.255.255.0
R1(config-if)#no shutdown
R1(config-if)#exit
R1(config)#interface f0/0
R1(config-if)#ip address 10.0.0.1 255.255.255.0
R1(config-if)#no shutdown
R1(config-if)#exit
R1(config)#ip route 192.168.0.0 255.255.0.0 10.0.0.2

SW1三层交换配置
Switch>en
Switch#conf t
Switch(config)#hostname SW1
SW1(config)#interface f0/1
SW1(config-if)#no switchport
SW1(config-if)#ip address 10.0.0.2 255.255.255.0
SW1(config-if)#no shutdown
SW1(config-if)#exit
SW1(config)#interface range f0/2-3
SW1(config-if-range)#switchport mode trunk
SW1(config-if-range)#exit
SW1(config)#ip routing
SW1(config)#vlan 2
SW1(config-vlan)#exit
SW1(config)#vlan 3
SW1(config-vlan)#exit
SW1(config)#vlan 4
SW1(config-vlan)#exit
SW1(config)#vlan 5
SW1(config-vlan)#exit
SW1(config)#interface vlan 2
SW1(config-if)#ip address 192.168.2.1 255.255.255.0
SW1(config-if)#no shutdown
SW1(config-if)#exit
SW1(config)#interface vlan 3
SW1(config-if)#ip address 192.168.3.1 255.255.255.0
SW1(config-if)#no shutdown
SW1(config-if)#exit
SW1(config)#interface vlan 4
SW1(config-if)#ip address 192.168.4.1 255.255.255.0
SW1(config-if)#no shutdown
SW1(config-if)#exit
SW1(config)#interface vlan 5
SW1(config-if)#ip address 192.168.5.1 255.255.255.0
SW1(config-if)#no shutdown
SW1(config-if)#exit
SW1(config)#ip route 0.0.0.0 0.0.0.0 10.0.0.1

SW2配置
Switch>en
Switch#conf t
Switch(config)#hostname SW2
SW2(config)#vlan 2
SW2(config-vlan)#exit
SW2(config)#vlan 3
SW2(config-vlan)#exit
SW2(config)#vlan 4
SW2(config-vlan)#exit
SW2(config)#interface f0/1
SW2(config-if)#switchport mode trunk
SW2(config-if)#exit
SW2(config)#interface f0/2
SW2(config-if)#switchport mode access
SW2(config-if)#switchport access vlan 2
SW2(config-if)#exit
SW2(config)#interface f0/3
SW2(config-if)#switchport mode access
SW2(config-if)#switchport access vlan 3
SW2(config-if)#exit
SW2(config)#interface f0/4
SW2(config-if)#switchport mode access
SW2(config-if)#switchport access vlan 4

SW3配置
Switch>en
Switch#conf t
Switch(config)#hostname SW3
SW3(config)#interface f0/1
SW3(config-if)#switchport mode trunk
SW3(config-if)#exit
SW3(config)#vlan 5
SW3(config-vlan)#exit
SW3(config)#interface f0/2
SW3(config-if)#switchport mode access
SW3(config-if)#switchport access vlan 5

配置3台PC机和服务器的ip地址，测试网络连通性

ACL配置
1、配置扩展访问控制列表
SW1(config)#access-list 101 deny tcp host 192.168.3.2 host 192.168.5.2 eq 80 #扩展列表号是100-199，拒绝来自192.168.3.2的ip地址去访问192.168.5.2的tcp 80端口（如果是单个ip地址，前面必须加host；如果是一个网段，必须跟反掩码）
SW1(config)#access-list 101 permit ip any any   #因为acl默认策略是丢弃，所有最后要写上一条允许其余ip的策略
SW1(config)#interface vlan 3   
SW1(config-if)#ip access-group 101 in    #将ACL组策略应用到端口进口
SW1(config)#show access-list           #查看ACL列表
SW1(config-if)#no ip access-group 101 in  #如果操作有误，想删除应用在接口的组策略操作，执行此命令
SW1(config-if)#exit
SW1(config)#no access-list 101 #删除acl列表
2、配置标准访问控制列表
SW1(config)#access-list 1 deny host 192.168.2.2   #标准列表号是1-99，拒绝来自192.168.2.2的主机访问
SW1(config)#access-list 1 permit any
SW1(config)#interface vlan 4
SW1(config-if)#ip access-group 1 in
SW1(config-if)#no ip access-group 1 in  #删除列表
3、在扩展列表的基础上，配置时间范围限制
R1(config)#time-range abc    #定义一个时间名为abc
R1(config-time-range)#periodic weekdays 8:30 to 17:30
R1(config-time-range)#exit
R1(config)#access-list 101 deny ip host 192.168.2.1 host 202.106.1.1 time-range abc
R1(config)#access-list 101 deny ip host 192.168.4.1 host 202.106.1.1 time-range abc
R1(config)#access-list 101 deny ip host 192.168.4.1 host 202.106.1.1 time-range abc
R1(config)#interface f0/0
R1(config-if)#ip access-group 101 in
R1(config-if)#end
R1(config)#show access-list
4、配置标准命令列表
SW1(config)#ip access-list seandard cisco   #命令列表可以给表定个名字，不必写列表号，同时删除的时候可以删除指定的列表，不必想标准列表和扩展列表一样，删除整个列表
SW1(config-std-nacl)#permit host 192.168.2.1
SW1(config-std-nacl)#deny any
SW1(config-std-nacl)#end
SW1#show access-lists
Standard IP access list cisco    #标准访问列表cisco
      10 permit 192.168.2.1      #配置的第一条ACL语句序列号为10
      20 deny any              #配置的第二条ACL序列号为20
SW1(config)#ip access-list seandard cisco
SW1(config-std-nacl)#15 permit host 192.168.3.2  #在cisco列表中插入一条列表，序号为15,再次查看列表，后看到多了一条
配置扩展命名列表
SW1(config)#ip access-list extended cisco    #命名扩展列表名为cisco
SW1(config-std-nacl)#deny tcp 192.168.2.0 0.0.0.255 host 192.168.3.2 eq 21
SW1(config-std-nacl)#permit ip any any

wcdz

老天，你让夏天和冬天同房了吧？生出这鬼天气!

mindong

勃起不是万能的，但不能勃起却是万万都不能的!

xiaui520

月经不仅仅是女人的痛苦，也是男人的痛苦。

ywg

长得真有创意，活得真有勇气!

jgugugiug

禽兽尚且有半点怜悯之心，而我一点也没有，所以我不是禽兽。

shenyg

支持一下:lol