linux及案例-思科第四天

NSDCisco的问题，还要解决的问题。配置标准ACL实现PC2（IP地址为0）对WebServerP的浏览器控制是防范和保护的主要策略，它的主要任务是保证网络资源不被使用和。它是保证最重要的策略之一。控制列表（AccessControlLists,ACL）是应用在路由器接口的指令列表。这些指令列表用来告诉路由器哪能些数据包可以收、哪能数据包需要。至于数据包是被接收还是，可以由类似于源地址、目的地址、端等的特定指示条件来决定。网络拓扑如图－1图步骤一：在R1上配置IP地址及静态路tarena-R1(config)#interfacetarena-R1(config-if)#ipaddresstarena-R1(config-if)#notarena-R1(config-if)#interfacetarena-R1(config-if)#ipaddresstarena-R1(config-if)#notarena-R1(config)#iproute步骤二：在R2上配置IP地址及静态路tarena-R2(config)#interfacetarena-R2(config-if)#ipaddresstarena-R2(config-if)#notarena-R2(config-if)#interfacetarena-R2(config-if)#ipaddresstarena-R2(config-if)#notarena-R2(config)#iproute步骤三：在R1R2上检查路由tarena-R1#showipCodes:C-connected,S-static,I-IGRP,R-RIP,M-mobile,B-D-EIGRP,EX-EIGRPexternal,O-OSPF,IA-OSPFinterN1-OSPFNSSAexternaltype1,N2-OSPFNSSAexternaltypeE1-OSPFexternaltype1,E2-OSPFexternaltype2,E-i-IS-IS,L1-IS-ISlevel-1,L2-IS-ISlevel-2,ia-IS-ISinter*-candidatedefault,U-per-userstaticroute,o-P-periodicdownloadedstaticGatewayoflastresortisnotC/24isdirectlyconnected,C/24isdirectlyconnected,S/24[1/0]viatarena-tarena-R2#showipCodes:C-connected,S-static,I-IGRP,R-RIP,M-mobile,B-D-EIGRP,EX-EIGRPexternal,O-OSPF,IA-OSPFinterN1-OSPFNSSAexternaltype1,N2-OSPFNSSAexternaltypeE1-OSPFexternaltype1,E2-OSPFexternaltype2,E-i-IS-IS,L1-IS-ISlevel-1,L2-IS-ISlevel-2,ia-IS-ISinter*-candidatedefault,U-per-userstaticroute,o-P-periodicdownloadedstaticGatewayoflastresortisnot23.[1/0]via24.isdirectlyconnected,25.isdirectlyconnected,WebServerFastEthernet0Connection:(defaultLink-localIPv6Address.........:IPAddress......................:SubnetMask.....................:DefaultGateway.................:PC>ing00with32bytesofRequesttimedRequesttimedReplyfrom00:bytes=32time=0msReplyfrom00:bytes=32time=0msstatisticsforPackets:Sent=4,Received=2,Lost=2(50%Approximateroundtriptimesinmilli-Minimum=0ms,um=0ms,Average=FastEthernet0Connection:(defaultLink-localIPv6Address.........:IPAddress......................:SubnetMask.....................:DefaultGateway.................:PC>ing00with32bytesofReplyfrom00:bytes=32time=2msReplyfrom00:bytes=32time=0msReplyfrom00:bytes=32time=0msReplyfrom00:bytes=32time=0msstatisticsforPackets:Sent=4,Received=4,Lost=0(0%Approximateroundtriptimesinmilli-Minimum=0ms,um=2ms,Average=步骤五：在R2上配置标准控制列表，并应用到Fa0/1端口出方向ACL的匹配规则中，最后有一条隐含全部。如果语句中全部是条目，那么最后必须存在允tarena-R2(config)#access-list1denyhosttarena-R2(config)#access-list1permittarena-R2(config)#interfacetarena-R2(config-if)#ipaccess-group1WebServerFastEthernet0Connection:(defaultLink-localIPv6Address.........:IPAddress......................:SubnetMask.....................:DefaultGateway.................:PC>ing00with32bytesofReplyfrom00:bytes=32time=1msReplyfrom00:bytes=32time=0msReplyfrom00:bytes=32time=0msReplyfrom00:bytes=32time=0msstatisticsforPackets:Sent=4,Received=4,Lost=0(0%Approximateroundtriptimesinmilli-Minimum=0ms,um=1ms,Average=FastEthernet0Connection:(defaultLink-localIPv6Address.........:IPAddress......................:SubnetMask.....................:DefaultGateway.................:PC>ing00with32bytesofReplyfrom:DestinationhostReplyfrom:DestinationhostReplyfrom:DestinationhostReplyfrom:DestinationhoststatisticsforPackets:Sent=4,Received=0,Lost=4(100%结果显示PC1（IP地址为0）可以正常WebServer，而PC2（IP地址步骤七：在R2上查看相关的ACL信tarena-R2#showipaccess-StandardIPaccesslistdenyhost0(4permitany(4在网络中很有可能要允许或的并不是某一个源IP地址，而是根据目标地址或是协议来匹配。但是标准控制列表只能根据源IP地址来决定是否允许一个数据包通过。配置扩展ACL实现PC2（IP地址为0）WebServer的web服务，但可其他服务。扩展IP控制列表比标准IP控制列表具有的匹配项，包括协议类型、源地址、目的地IP图步骤一：将1配置标准ACL中的标准控制列表移除，其他配置保tarena-R2(config)#interfacetarena-R2(config-if)#noipaccess-group1tarena-R2(config)#noaccess-list步骤二：在PC1和PC2上验WebServer的HTTP协议，如图3和图－4所示图图在没有配置扩展ACL的时候，两台主机均可以正常到WebServer。步骤三：R1上配置扩展 PC2到WebServer的HTTP扩展ACL可以对数据包中的源、目标IP地址以及端进行检查，所以可以将该ACL放置在通信tarena-R1(config)#access-list100denytcphost0host00eqtarena-R1(config)#access-list100permitipanytarena-R1(config)#interfacetarena-R1(config-if)#ipaccess-group101步骤四：在PC1上验FastEthernet0Connection:(defaultLink-localIPv6Address.........:IPAddress......................:SubnetMask.....................:DefaultGateway.................:PC>ing00with32bytesofReplyfrom00:bytes=32time=1msReplyfrom00:bytes=32time=0msReplyfrom00:bytes=32time=0msReplyfrom00:bytes=32time=0msstatisticsforPackets:Sent=4,Received=4,Lost=0(0%Approximateroundtriptimesinmilli-Minimum=0ms,um=1ms,Average=图从输入结果可以验证，PC1到WebServer的没有受到任何影响。PC2FastEthernet0Connection:(defaultLink-localIPv6Address.........:IPAddress......................:SubnetMask.....................:DefaultGateway.................:PC>ing00with32bytesofReplyfrom00:bytes=32time=1msReplyfrom00:bytes=32time=1msReplyfrom00:bytes=32time=2msReplyfrom00:bytes=32time=0msstatisticsforPackets:Sent=4,Received=4,Lost=0(0%Approximateroundtriptimesinmilli-Minimum=0ms,um=2ms,Average=图因为只限制了到WebServer的HTTP，所以WEB服务已经无法，但是仍然可以通R1ACLtarena-R1#showipaccess-ExtendedIPaccesslistdenytcphost0host00eqwww(30permitipanyany(5路由器的输出表明了了30个来自PC1到WebServer的HTTP包配置标准命名ACLACLACLACL1~99ACL100~199配置标准命名ACL实现PC2（IP地址为0）对WebServer的命名控制列表可以为ACL起一个有意义的名字，通过名称就可以得知该ACL要实现什么功能。ACL图步骤一：将2配置扩展ACL中的扩展控制列表移除，其他配置保tarena-R1(config)#interfacetarena-R1(config-if)#noipaccess-group100tarena-R1(config)#noaccess-list步骤二：在R2上配置标准名控制列tarena-R2(config)#ipaccess-liststandardtarena-R2(config-std-nacl)#denyhosttarena-R2(config-std-nacl)#permittarena-R2(config)#interfacetarena-R2(config-if)#ipaccess-groupdenypc2步骤三：分别在PC1PC2上做连通性测FastEthernet0Connection:(defaultLink-localIPv6Address.........:IPAddress......................:SubnetMask.....................:DefaultGateway.................:PC>ing00with32bytesofReplyfrom00:bytes=32time=0msReplyfrom00:bytes=32time=0msReplyfrom00:bytes=32time=0msReplyfrom00:bytes=32time=0msstatisticsforPackets:Sent=4,Received=4,Lost=0(0%Approximateroundtriptimesinmilli-Minimum=0ms,um=0ms,Average=FastEthernet0Connection:(defaultLink-localIPv6Address.........:IPAddress......................:SubnetMask.....................:DefaultGateway.................:PC>ing00with32bytesofReplyfrom:DestinationhostReplyfrom:DestinationhostReplyfrom:DestinationhostReplyfrom:DestinationhoststatisticsforPackets:Sent=4,Received=0,Lost=4(100%输出结果表明，PC1的是正常的，而PC2到WebServer的被R2（IP地址）步骤四：在R2上查看相关的ACL信tarena-R2#showipaccess-StandardIPaccesslist10denyhost0(420permitany(4配置扩展命名ACLACLACLACL1~99ACL100~199配置扩展命名ACL实现PC2（IP地址为0）WebServerWeb服务，但可其他服务。命名控制列表可以为ACL起一个有意义的名字，通过名称就可以得知该ACL要实现什么功能。ACL图步骤一：将3配置标准命名ACL中的标准命名控制列表移除，其他配置保tarena-R2(config)#interfacetarena-R2(config-if)#noipaccess-groupdenypc2tarena-R2(config)#noipaccess-liststandard步骤二：在R2上配置扩展命名控制列tarena-R2(config)#ipaccess-listextendedtarena-R2(config-ext-nacl)#denytcphost0host00eqtarena-R2(config-ext-nacl)#permitipanytarena-R2(config)#interfacefastEthernettarena-R2(config-if)#ipaccess-groupdenypc2步骤三：在R2上查看相关的ACL信tarena-R2#showaccess-ExtendedIPaccesslist10denytcphost0host00eq20permitipany步骤四：在PC1上验FastEthernet0Connection:(defaultLink-localIPv6Address.........:IPAddress......................:SubnetMask.