思科访问控制列表实验案例

1、思科访问控制列表实验案例1. 配置路由器到网络各点可通 网络如图，动态路由已设好，IP 地址分配如下：RouterA f0/0: 10.65.1.2RouterA f0/1: 10.66.1.2RouterA s0/1: 10.68.1.2RouterC s0/0: 10.68.1.1RouterC s0/1: 10.78.1.2RouterB s0/0: 10.78.1.1RouterB s0/1: 10.69.1.2RouterB f0/0: 10.70.1.2SWA:10.65.1.8 gateway:10.65.1.2PCA:10.65.1.1 gateway:10.65.1.2PCB

2、:10.66.1.1 gateway:10.66.1.2PCC:10.69.1.1 gateway:10.69.1.2PCD:10.70.1.1 gateway:10.70.1.2PCE:10.65.1.3 gateway:10.65.1.2PCF:10.65.2.1 gateway:10.65.1.22. 基本的访问控制列表：先从 PCA ping PCD:rootPCA root#ping 10.70.1.1 （ 通 ）在ROC的s0/0写一个输入的访问控制列表：RouterC（config）#access-lilt 1 permit 10.65.1.1 0.0.0.0RouterC（co

3、nfig）#access-list 1 deny anyRouterC（config）#int s0/0RouterC（config-if）#ip access-group 1 inRouterC（config-if）#endRouterC#sh access-list 1rootPCA root#ping 10.70.1.1 （ 通 ）rootPCE root#ping 10.70.1.1 （ 不通 ）rootPCE root#ping 10.66.1.1 （ 通 ）rootPCB root#ping 10.70.1.1 （ 不通 ）rootPCD root#ping 10.66.1.1 （

4、 通 ）第一个ping, PCA的IP地址是10.65.1.1在访问控制列表 access-list 1中是允许的，所以通。第二个ping,PCE虽然是65网段，但是 access-list 1对10.65.1.1是完全匹配，所以 10.65.1.3 的数据包不能通过。第三个ping,PCE到PCB不通过 RouterC的s0/0,所以能通。第四个ping,PCB的IP地址是10.66.1.1，它是被禁止的，所以不通。第五个ping,从 PCD到PCB的数据包是从 RouterC的s0/0 口出，不受access-list 1的控制,所以通。下面再写一个访问控制列表,先删除原访问控制列表：Ro

5、uterC(config)#no access-lilt 1RouterC(config-if)#no ip access-group 1 in二者都可能实现去掉访问列表的目的。前者是从列表号角度删除,后者是从接口的输入和输出角度删除。可以通过 sh access-list <n> 命令查看访问控制列表。下面再写一个访问控制列表：RouterC(config)#access-lilt 2 deny 10.65.1.1 0.0.0.255RouterC(config)#access-list 2 permit anyRouterC(config)#int s0/0RouterC(co

6、nfig-if)#ip access-group 1 outRouterC(config-if)#endRouterC#sh access-list 1这个访问控制列表比上一个访问控制列表有以下几点不同：(1) 先 deny 后 permit ,(2) 禁止的是一个C类(3) 一个输出的访问控制rootPCA root#ping 10.69.1.1 ( 不通)rootPCE root#ping 10.69.1.1 ( 不通)rootPCF root#ping 10.69.1.1 ( 通)rootPCB root#ping 10.69.1.1 ( 通)因为PCA和PCE的IP地址10.65.1.

7、1、10.65.1.3,在deny范围内，所以不通。而PCF的IP是10.65.2.1不在10.65.1.0 0.0.0.255范围内，所以能通。3. 梯形基本访问控制列表访问控制列表一般是顺序匹配的,梯形结构,下面是一个参考：RouterC(config)#access-list 4 permit 10.65.1.1RouterC(config)#access-list 4 deny 10.65.1.0 0.0.0.255RouterC(config)#access-list 4 permit 10.65.0.0 0.0.255.255RouterC(config)#access-list

8、4 deny 10.0.0.0 0.255.255.255RouterC(config)#access-list 4 permit anyRouterC(config)#int s0/1RouterC(config-if)#ip access-group 4 outrootPCA root#ping 10.69.1.1 ( 通 )rootPCE root#ping 10.69.1.1 ( 不通 )rootPCF root#ping 10.69.1.1 ( 通 )rootPCB root#ping 10.69.1.1 ( 不通 )4. 扩展访问控制列表扩展的访问控制列表，有源和目的两个ip，并且

9、要指明应用的协议。例 1. 阻止 PCA 访问 PCD:RouterC(config)#access-list 101 deny icmp 10.65.1.1 0.0.0.0 10.70.1.10.0.0.0 echo /PING 的时候，请求方发送一个 ICMP Echo 报文给目的地址。不允许响应 10.65.1.1 PING10.70.1.1 。RouterC(config)#access-list 101 permit ip any anyRouterC(config)#int s0/0RouterC(config-if)#ip access-group 101 inRouterC#s

10、h access-list 101rootPCA root#ping 10.70.1.1 (不通)(只控制这一台)rootPCE root#ping 10.70.1.1 (通)rootPCF root#ping 10.70.1.1 (通)RouterC(config)#no access-lilt 101RouterC#sh access-listrootPCA root#ping 10.70.1.1 (去掉访问控制列表，就通了)5. 阻止 10.65.1.0/ 24 网络访问 10.70.1.1( PCD)。RouterC(config)#access-list 102 deny ip 10.65.1.1 0.0.0.255 10.74.1.10.0.0.0RouterC(config)#access-list 102 permit ip any anyRouterC(conf