计算机网络实验--在Cisco Packet Tracer中配置ACL

实验内容

配置ACL禁止192.168.3.0/24网段的icmp协议数据包通向与192.168.1.0/24网段

配置ACL禁止特点的协议端口通讯：

禁止192.168.2.10访问web（禁止网段与禁止单个之间的区别）

禁止192.168.2.20访问DNS

ACL（访问控制列表）介绍

应用在路由器接口的指令列表

指定哪些数据报可以接收、哪一些需要拒绝

相对网络接口来说，从网络上流入该接口的数据包，为入站数据流。对入站数据流的过滤控制称为入站访问控制。

从网络接口流出的网络数据包，称为出站数据流。出站访问控制是对出站数据流的过滤控制。

路由器配置（图形界面配置）

首先关闭路由器电源，向路由器中配置两个高速串口 WIC-2T



开启路由器电源，并连接线路

接下来配置路由器端口网段,注意Port Status 选择on，设置速率匹配



设置默认网关，即路由器与主机网段的接口，注意网关应该与主机所在网段在一个网段

主机和服务器配置

设置PC主机的IP地址，子网掩码，网关和DNS服务地址



域名服务器配置



注意在这里要开启DNS服务



服务器配置

配置RIP协议

在路由器上配置rip协议，就是将路由器相邻的网段配置到路由器里

添加rip协议的命令： router rip

Network w.x.y.z

注意：如果不是C类网段，可能需要使用version 2模式，宣告路由信息时携带子网掩码

下面以对Router0进行RIP配置

Router>en

Router#conf t

Router(config)#router rip

Router(config-router)#Network 192.168.3.0

Router(config-router)#Network 192.168.4.0

Router(config-router)#Network 192.168.5.0

Router(config-router)#end

在配置完之后可以通过命令 sh ip route 查看配置情况

当三个路由器全部配置好后，可以互相ping通



当然也可以通过浏览器访问服务器

配置ACL禁止192.168.3.0/24网段的icmp协议数据包通向与192.168.1.0/24网段

拓展ACL配置过程

创建ACL

Router(config)# access-list access-list-number { permit | deny } protocol source source-wildcard [operator port] destination destination-wildcard [ operator port ] [ established ] [log]

将ACL绑定到指定端口

Router(config-if)# ip access-group access-list-number { in | out }

注意

access-list-number 要选择在100以上的数字

in 表示入站访问控制

out表示出站访问控制

“no access-list access-list-number” 命令删除指定号码的ACL

“no ip access-group access-list-number” 命令在特定接口禁用ACL

“sh access-lists”可以查看某台路由上ACL配置情况

Router>en
Router#conf t
Router(config)#access-list 101 deny icmp 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255
Router(config)#access-list 101 permit ip any any
Router(config)#int fa0/0
Router(config-if)#ip access-group 101 in

配置好之后，192.168.3.0网段应该就无法ping通192.168.1.0网段



但是仍然可以通过浏览器访问网址（没有禁止TCP、UDP）

禁止192.168.2.2访问web（禁止网段与禁止单个的区别）；禁止192.168.2.3访问DNS

Router>en
Router#conf t
Router(config)#access-list 101 deny tcp host 192.168.2.10 192.168.1.0 0.0.0.255 eq www
Router(config)#access-list 101 deny udp host 192.168.2.20 192.168.1.0 0.0.0.255 eq 53
Router(config)#access-list 101 permit  ip any any
Router(config)#int fa0/0
Router(config-if)#ip access-group 101 out

设置好之后，主机192.168.2.10无法通过浏览器访问192.168.1.0网段





主机192.168.2.20 无法通过域名访问192.168.1.0网段，但可以通过输入IP地址的方式在浏览器中访问