访问控制：标准acl及扩展acl

《访问控制：标准acl及扩展acl》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、实验访问控制：标准ACL及应用一、实验目的1、了解标准ACL的概念和原理2、掌握ACL配置方法。3、了解ACL的应用二、原理概述在网络管理中，需要允许/禁止访问一些站点，也要控制某些外部节点的连接，或者要限制特定的网络流量，这些可以通过设置路由器/防火墙/三层交换机的访问控制列表（ACL）来实现。ACL用于控制端口上进出的数据包，适用于所有被路由的协议。ACL的定义是基于协议的，每种协议需要定义一种ACL。端口在每收到一个数据包以后，根据端口的ACL表逐条检查。对于允许发送ACL，如果在表中有一条

2、规则匹配的话就立即发送，而不用检查其他规则。如果所有的规则都不匹配，则丢弃该数据包。路由器内部产生的数据包不受ACL影响。ACL分两种，标准ACL和扩展ACL。标准ACL只检查数据包的源地址，而扩展的ACL更灵活，可以检查数据包的源、目的地址以及协议、端口等。在配置中，标准ACL和扩展ACL是通过ACL编号区分的，1-99表示标准ACL,而100-199为扩展ACL。标准ACL格式如下：#access-listaccess-list-number[permit

3、deny]source[source

4、-mask]扩展ACL的完全命令格式如下：#access-listaccess-list-number[permit

5、deny][protocol

6、protocol-number]sourcesource-wildcard[source-port]destinationdestination-wildcard[destination-port][established]ACL配置分两步，首先在全局模式下利用access-list命令创建ACL,然后在接口配置模式下利用access-group命令应

7、用ACL到接口上。一、实验目的1、配置标准ACL,使特定子网中的某一机器才能访问其他网络。2、测试ACL规则。3、配置扩展ACL,拒绝一个子网内所有机器ping另一子网内机器。4、实际应用测试。二、实验环境cisco路由器一台，交换机两台，主机四台，控制台线缆及双绞线若干。网络拓扑结构：R1fa0/0:192.168.1.1/24fa0/1:192.168.2.1/24s1s2192.168.1.2/24192.168.1.3/24192.168.2.2/24192.168.2.2/24三、实验步

8、骤1、连接网络1、主机及路由器地址配置2、配置标准ACL,使子网1（192.168.1.0）中只有主机H1才可以访问子网2（192.168.2.0）configureterminalaccess-list1permithost192.168.1.2interfacefa0/0ipaccess-group1out测试：H1pingH3、H4，H2pingH3、H4查看标准ACL的统计信息：showaccess-list1取消:noipaccess-group1out案例应用某一个企业有三个部门如图.

9、要求实现经理部可以访问财务部,其他部门不能访问财务部.Router>ENRouter#CONFTEnterconfigurationcommands,oneperline.EndwithCNTL/Z.Router(config)#hostr0r0(config)#intfa0/0r0(config-if)#ipadd192.168.0.1255.255.255.0r0(config-if)#noshutr0(config-if)#exitr0(config)#intfa1/0r0(config-i

10、f)#ipadd192.168.1.1255.255.255.0r0(config-if)#noshutr0(config-if)#exitr0(config)#ints2/0r0(config-if)#ipadd192.168.2.1255.255.255.0r0(config-if)#clockrate56000r0(config-if)#noshutr0(config-if)#r0(config-if)#r0(config-if)#exitr0(config)#iproute192.168.

11、3.0255.255.255.0192.168.2.2r0(config)#ipaccr0(config)#ipaccess-lists按TAB键r0(config)#ipaccess-liststandardxieher0(config-std-nacl)#permit192.168.0.00.0.0.255r0(config-std-nacl)#exitr0(config)#ints2/0r0(config-if)#ipaccess-groupxieheoutr0(config