1、1/3第13課：標準IP訪問控制列表配置注意：入棧端口和出棧端口實驗目標?理解標準IP訪問控制列表的原理及功能；?掌握編號的標準IP訪問控制列表的配置方法；實驗背景?你是公司的網絡管理員，公司的經理部、財務部門和銷售部分別屬于不同的3個網段，三部門之間用路由器進行信息傳遞，為了安全起見，公司領導要求銷售部門不能對財務部進行訪問，但經理部可以對財務部進行訪問。?PC1代表經理部的主機、PC2代表銷售部的主機、PC3代表財務部的主機。技術原理?ACLs的全稱為接入控制列表(AccessControlLists)，也稱為訪問列表（AccessLists），俗稱為防火墻，在有的文檔中還稱之為包過濾。A

2、CLs通過定義一些規則對網絡設備接口上的數據報文進行控制：允許通過或丟棄，從而提高網絡可管理性和安全性；?IPACL分為兩種：標準IP訪問列表和擴展IP訪問列表，編號X圍分別為199、13001999；100199、20002699；?標準IP訪問列表可以根據數據包的源IP地址定義規則，進行數據包的過濾；?擴展IP訪問列表可以根據數據包的源IP、目的IP、源端口、目的端口、協議來定義規則，進行數據包的過濾；?IPACL基于接口進行規則的應用，分為：入棧應用和出棧應用；實驗步驟?新建packettracer拓撲圖（如圖）（1）路由器之間通過V.35電纜通過串口連接，DCE端連接在R1上，配置其時

3、鐘頻率64000；主機與路由器通過交叉線連接。（2）配置路由器接口IP地址。（3）在路由器上配置靜態路由協議，讓三臺pc能相互ping通，因為只有在互通的前提下才能涉及到訪問控制列表。（4）在R1上配置編號的IP標準訪問控制列表。（5）將標準IP訪問列表應用到接口上。（6）驗證主機之間的互通性。配置過程：第一步：首先配置三臺PC的IP：主機0的IP為172.16.1.2255.255.255.0172.16.1.1主機1的IP為172.16.2.2255.255.255.0172.16.2.1主機2的IP為172.16.4.2255.255.255.0172.16.4.1路由器R1設置：Rou

4、terenableRouter#configureterminalRouter(config)#hostnameR1R0(config)#intfa0/0R0(config-if)#ipadd172.16.1.1255.255.255.0R0(config-if)#noshutdownR0(config-if)#intfa1/0R0(config-if)#ipadd172.16.2.1255.255.255.0R0(config-if)#noshutdownR0(config-if)#ints2/0R0(config-if)#ipadd172.16.3.1255.255.255.0R0(con

5、fig-if)#noshutdownR0(config-if)#clockrate64000路由器R2設置：RouterenableRouter#configureterminalRouter(config)#hostnameR2R1(config)#ints2/0R1(config-if)#ipaddress172.16.3.2255.255.255.0R1(config-if)#noshutdownR1(config-if)#intfa0/0R1(config-if)#ipaddress172.16.4.1255.255.255.0R1(config-if)#noshutdown第二步：接

6、下來配置路由表，通過靜態路由實現繼續路由器R1設置：R0(config-if)#exitR0(config)#iproute172.16.4.0255.255.255.0172.16.3.2設置靜態路由繼續路由器R2設置：R1(config-if)#exitR1(config)#iproute0.0.0.00.0.0.0172.16.3.1設置缺省路由，下一跳的那個路由器上接了兩個網段，因都要到達不好設置目標網絡。R1(config)#end測試：三臺PC互通現在第三步：在R1上配置基本訪問控制列表（要求配置，主機1能訪問主機3；主機2不能訪問主機3）創建基本訪問控制列表有兩種方式，一種通過命

7、名的方式來創建，另一種通過編號的方式來創建。在這里采用命名的方式來創建。R1enR1#configureterminalR1(config)#ipaccess-liststandardmm(創建基本訪問控制列表standard，名字為mm)R1(config-std-nacl)#進入訪問控制列表模式/R1(config-std-nacl)#permit?允許/A.B.C.DAddresstomatch允許某一個網段？/anyAnysourcehost允許任何的地址？/hostAsinglehostaddress允許某一個主機？R1(config-std-nacl)#permit172.16.1.00.0.0.255(允許172.16.1.0網段)R1(config-std-nacl)#deny172.16.2.00.0.0.255(在這里這條可以不寫，默認寫完上面那一條以后，默認只讓上面那條通過)R1(config-std-nacl)#end注釋：1、訪問控制列表的網絡掩碼是反掩碼；R1#configureterminal2、標準控制列表應用要盡量靠近目的地址的接口R1(config)#intserial2/0（配置完訪問控制列表后，需要在某個端口上應用一下。這里在出口端口上應用）R1(config-if)#ipa