IP訪問控制列表配置實驗.doc

IP訪問控制列表配置一、IP標準訪問控制列表的建立及應(yīng)用 工作任務(wù) 你是學(xué)校網(wǎng)絡(luò)管理員，學(xué)校的財務(wù)處、教師辦公室和校辦企業(yè)財務(wù)科分屬不同的3個網(wǎng)段，三個部門之間通過路由器進行信息傳遞，為了安全起見，學(xué)校領(lǐng)導(dǎo)要求你對網(wǎng)絡(luò)的數(shù)據(jù)流量進行控制，實現(xiàn)校辦企業(yè)財務(wù)科的主機可以訪問財務(wù)處的主機，但是教師辦公室主機不能訪問財務(wù)處主機。首先對兩路由器進行基本配置，實現(xiàn)三個網(wǎng)段可以相互訪問；然后對距離控制目的地址較近的路由器RouterB配置IP標準訪問控制列表，允許網(wǎng)段（校辦企業(yè)財務(wù)科）主機發(fā)出的數(shù)據(jù)包通過，不允許網(wǎng)段（教師辦公室）主機發(fā)出的數(shù)據(jù)包通過，最后將這一策略加到路由器RouterB的Fa 0端口，如圖所示。第1步：基本配置路由器RouterA：R enableR #configure terminalR(config)#hostname RouterARouterA (config)# line vty 0 4 RouterA (config-line)#loginRouterA (config-line)#password 100RouterA (config-line)#exitRouterA (config)# enable password 100RouterA (config)#interface fastethernet 0/0 注釋：fa 0RouterA (config-if)#ip address RouterA (config-if)#no shutdownRouterA (config-if)#ExitRouterA (config)#interface fastethernet 0/1 注釋：fa 1RouterA (config-if)#ip address RouterA (config-if)#no shutdownRouterA (config-if)#ExitRouterA (config)#interface fastethernet 1/0 注釋：fa 2RouterA (config-if)#ip address RouterA (config-if)#no shutdownRouterA (config-if)#ExitRouterA (config)#ip route 路由器RouterB：R enableR #configure terminalR(config)#hostname RouterBRouterB (config)# line vty 0 4 RouterB (config-line)#loginRouterB (config-line)#password 100RouterB (config-line)#exitRouterB (config)# enable password 100RouterB (config)#interface fastethernet 0/0 注釋：fa 0RouterB (config-if)#ip address RouterB (config-if)#no shutdownRouterB (config-if)#ExitRouterB (config)#interface fastethernet 0/1 注釋：fa 1RouterB (config-if)#ip address RouterB (config-if)#no shutdownRouterB (config-if)#ExitRouterB (config)#ip route RouterB (config)#ip route 第2步：在路由器RouterB上配置IP標準訪問控制列表RouterB (config)#access-list 1 deny 55RouterB (config)#access-list 1 permit 55驗證測試RouterB #show access-list 1第3步：應(yīng)用在路由器RouterB的Fa 0/0接口輸出方向上RouterB (config)#interface fastethernet 0/0 注釋：fa 0RouterB (config-if)#ip access-group 1 out驗證測試RouterB #show ip interface fastethernet 0/0 注釋：fa 0第4步：驗證測試 在PC1主機的命令提示符下Ping 0，能Ping通。 在PC2主機的命令提示符下Ping 0，不能Ping通。任務(wù)如圖所示，首先對交換機進行基本配置，實現(xiàn)三個網(wǎng)段可以相互訪問；然后對交換機配置IP標準訪問控制列表，允許網(wǎng)段（校企財務(wù)科）主機發(fā)出的數(shù)據(jù)包通過，不允許網(wǎng)段（教師辦公室）主機發(fā)出的數(shù)據(jù)包通過，最后將這一策略加到交換機VLAN30的SVI端口輸出方向上。第1步：交換機的基本配置Switch#configure terminalSwitch(config)#hostname s3550S3550(conifg)#ip routingS3550(conifg)#vlan 10S3550(config-vlan)#exitS3550(conifg)#vlan 20S3550(config-vlan)#exitS3550(conifg)#interface fastethernet 0/1S3550(conifg-if)#switchport mode accessS3550(conifg-if)#switchport access vlan 10S3550(conifg-if)#exitS3550(conifg)# interface fastethernet 0/6S3550(conifg-if)#switchport mode accessS3550(conifg-if)#switchport access vlan 20S3550(config-vlan)#exitS3550(conifg)# interface fastethernet 0/20S3550(conifg-if)#switchport mode accessS3550(conifg-if)#switchport access vlan 30S3550(config-vlan)#exitS3550(conifg)#S3550(config)#interface vlan 10S3550(conifg-if)#ip address S3550(conifg-if)#no shutdownS3550(conifg-if)#exitS3550(config)#interface vlan 20S3550(conifg-if)#ip address S3550(conifg-if)#no shutdownS3550(conifg-if)#exitS3550(config)#interface vlan 30S3550(conifg-if)#ip address S3550(conifg-if)#no shutdownS3550(conifg-if)#endS3550#查看三層交換機的路由表S3550#show ip route第2步：配置命名IP標準訪問控制列表S3550(config)#ip access-list standard ABCS3550(config-std-nacl)#deny 55S3550(config-std-nacl)#permit 55S3550(config-std-nacl)#exitS3550(config)#interface vlan 30S3550(config-if)# ip access-group ABC out驗證測試S3550#show ip interface vlan 30第3步：驗證測試 在PC1主機的命令提示符下Ping 0，能Ping通。 在PC2主機的命令提示符下Ping 0，不能Ping通。二、IP擴展訪問控制列表的建立及應(yīng)用工作任務(wù)你是學(xué)校網(wǎng)絡(luò)管理員，學(xué)校的網(wǎng)管中心分別架設(shè)FTP、Web服務(wù)器，其中FTP服務(wù)器供教師專用，學(xué)生不可使用；Web服務(wù)器教師和學(xué)生都可訪問。FTP及Web服務(wù)器、教師辦公室和學(xué)生宿舍分屬不同的3個網(wǎng)段，三個網(wǎng)段之間通過路由器進行信息傳遞，要求你對路由器進行適當設(shè)置實現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)流量控制。首先對兩路由器進行基本配置，實現(xiàn)三個網(wǎng)段相互訪問；然后對離控制源地址較近的路由器RouterA配置IP擴展訪問控制列表，不允許網(wǎng)段（學(xué)生宿舍）主機發(fā)出的去網(wǎng)段的FTP數(shù)據(jù)包通過，允許網(wǎng)段主機發(fā)出的其它服務(wù)數(shù)據(jù)包通過，最后將這一策略加到路由器RouterA的Fa 0端口 ，如圖所示 。第1步：基本配置路由器RouterA：R enableR #configure terminalR(config)#hostname RouterARouterA (config)# line vty 0 4 RouterA (config-line)#loginRouterA (config-line)#password 100RouterA (config-line)#exitRouterA (config)# enable password 100RouterA (config)#interface fastethernet 0/0 注釋：fa 0RouterA (config-if)#ip address RouterA (config-if)#no shutdownRouterA (config-if)#ExitRouterA (config)#interface fastethernet 0/1 注釋：fa 1RouterA (config-if)#ip address RouterA (config-if)#no shutdownRouterA (config-if)#ExitRouterA (config)#interface fastethernet 1/0 注釋：fa 2RouterA (config-if)#ip address RouterA (config-if)#no shutdownRouterA (config-if)#ExitRouterA (config)#ip route 路由器RouterB：R enableR #configure terminalR(config)#hostname RouterBRouterB (config)# line vty 0 4 RouterB (config-line)#loginRouterB (config-line)#password 100RouterB (config-line)#exitRouterB (config)# enable password 100RouterB (config)#interface fastethernet 0/0 注釋：fa 0RouterB (config-if)#ip address RouterB (config-if)#no shutdownRouterB (config-if)#ExitRouterB (config)#interface fastethernet 0/1 注釋：fa 1RouterB (config-if)#ip address RouterB (config-if)#no shutdownRouterB (config-if)#ExitRou