拓展acl主要解决的问题和华为acl应用到接口环境

来源：蜘蛛抓取(WebSpider) 时间：2016-03-21 06:07 标签： 拓展acl
||||||||||||||||||||||||||||||
您现在的位置：>>
>>正文内容
标准ACL和扩展ACL题目
标准ACL和扩展ACL的经典试题
ACL配置实例
拓扑图如下：
实验一：标准访问控制列表
1、设置访问控制列表1，禁止192.168.2.2这台主机访问192.168.1.0/24这个网段中的服务器，而192.168.2.0/24这个网段中的其它主机可以正常访问。
设置访问控制列表如下：
R1(config)#access-list 1 deny host 192.168.2.2
R1(config)#access-list 1 permit any
将访问控制列表应用到接口F0/0的出站方向上
R1(config)#int f0/0
R1(config-if)#ip access-group 1 out
2、设置访问控制列表2，只允许192.168.2.0/24这个网段中的主机可以访问外网，192.168.1.0/24这个网段的主机则不可以。
设置访问控制列表
R1(config)#access-list 2 permit 192.168.2.0 0.0.0.255
将访问控制列表应用到S0/0的出站方向上
R1(config)#int serial 0/0
R1(config-if)#ip access-group 2 out
3、设置访问控制列表3，只允许192.168.2.3这台主机可以使用telnet连接R1。
设置访问控制列表
R1(config)#access-list 3 permit host 192.168.2.3
设置VTY的登录密码
R1(config)#line vty 0 4
R1(config-line)#password cisco
R1(config-line)#login
R1(config-line)#access-class 3 in&&&&&&&&&& //在入站方向上应用访问控制列表3
R1(config-line)#exit
R1(config)#enable password wnt
4、查看访问控制列表
R1#show access-lists
Standard IP access list 1
&&& deny host 192.168.2.2 (4 match(es))
&&& permit any (15 match(es))
Standard IP access list 2
&&& permit 192.168.2.0 0.0.0.255 (4 match(es))
Standard IP access list 3
&&& permit host 192.168.2.3 (2 match(es))
&&&&&& 2 match(es)这些信息显示是过滤包的数据，可以使用clear access-list counters命令来清除。
5、查看配置在接口上的访问控制列表
R1#show ip interface f0/0
FastEthernet0/0 is up, line protocol is up (connected)
& Internet address is 192.168.1.1/24
&&Broadcast address is 255.255.255.255
& Outgoing access list is 1
& Inbound& access list is not set
6、删除访问控制列表
&&&&&& 删除访问控制列表要从两个方面入手，一是删除访问控制列表，二是取消访问控制列表有接口上的应用。
R1(config)#no access-list 1
R1(config)#int f0/0
R1(config-if)#no ip access-group 1 out
实验二：扩展访问控制列表
扩展访问控制列表的语法：
access-list [100-199] [permit/deny] 协议 源IP 源IP反码 目标IP 目标IP反码 条件[eq] [具体协议/端口号]
1、在SERVER上搭建WWW、FTP、DNS服务如下：
2、测试从三台PC中是否可以正常访问各种服务。
如上表明，FTP、WWW、FTP服务都可以正常工作，且其余三台PC都可以正常访问。
3、在R1上设置扩展访问控制列表101，禁止192.168.2.2这台主机PING通服务器，禁止192.168.2.3这台主机访问FTP服务。
R1(config)#access-list 101 deny icmp host 192.168.2.2 host 192.168.1.2
R1(config)#access-list 101 deny tcp host 192.168.2.3 host 192.168.1.2 eq 20
R1(config)#access-list 101 deny tcp host 192.168.2.3 host 192.168.1.2 eq 21
R1(config)#access-list 101 permit ip any any
R1(config)#int f0/1
R1(config-if)#ip access-group 101 in
R1#show access-lists 101
Extended IP access list 101
&&& deny icmp host 192.168.2.2 host 192.168.1.2
&&& deny tcp host 192.168.2.3 host 192.168.1.2 eq 20
&&& deny tcp host 192.168.2.3 host 192.168.1.2 eq ftp
&&& permit ip any any
4、在R1上设置扩展访问控制列表102，允许外网中的用户只能访问WWW服务。
R1(config)#access-list 102 permit tcp any host 192.168.1.2 eq www
R1(config)#int serial 0/0
R1(config-if)#ip access-group 102 in
5、在R1上设置扩展访问控制列表103，只允许192.168.2.2这台主机可以进行TELNET远程管理。
R1(config)#access-list 103 permit tcp host 192.168.2.2 any eq telnet
R1(config)#line vty 0 4
R1(config-line)#password cisco
R1(config-line)#login
R1(config-line)#access-class 103 in
R1(config-line)#exit
R1(config)#enable password wnt
实验二：命名访问控制列表
命名的IP acl提供的两个主要优点是：
解决ACL号码不足的问题。
可以自由的删除ACL中的一条语句，而不必删除整个ACL。(原本需要先取消端口的规则应用，再用no+整个列表)。
基于名字的IP ACL还有一个很好的优点就是可以为每个ACL取一个有意义的名字，便于日后的管理与维护
命名的标准ACL
1、定义命名的标准ACL wnt1,只允许192.168.2.2这台PC可以上外网。
R1(config)#ip access-list standard wnt1
R1(config-std-nacl)#permit host 192.168.2.2
R1(config-std-nacl)#exit
R1(config)#int serial 0/0
R1(config-if)#ip access-group wnt1 out
2、向命令访问列表wnt1中新添加一条语句，允许192.168.1.0/24这个网段中的主机也可以访问外网。
R1(config)#ip access-list standard wnt1
R1(config-std-nacl)#permit 192.168.1.0 0.0.0.255
R1#show access-lists wnt1
Standard IP access list wnt1
&&& permit host 192.168.2.2
&&& permit 192.168.1.0 0.0.0.255
3、删除命令访问列表wnt1中的语句，即实现不允许192.168.2.2 这台主机访问外网。
R1(config)#ip access-list standard wnt1
R1(config-std-nacl)#no permit host 192.168.2.2
R1#show access-lists wnt1
Standard IP access list wnt1
permit 192.168.1.0 0.0.0.255&&
//删除成功，这也是命名访问控制列表的优点。
命名的扩展ACL
1、定义命名扩展ACL，禁止192.168.2.2这台主机PING通服务器，禁止192.168.2.3这台主机访问FTP服务。
R1(config)#ip access-list extended wnt2
R1(config-ext-nacl)#deny icmp host 192.168.2.2 host 192.168.1.2
R1(config-ext-nacl)#deny tcp host 192.168.2.3 host 192.168.1.2 eq 21
R1(config-ext-nacl)#deny tcp host 192.168.2.3 host 192.168.1.2 eq 20
R1(config-ext-nacl)#permit ip any any
R1(config)#int f0/1
R1(config-if)#ip access-group wnt2 in
最 新 图 文
没有任何内容！

我要回帖

更多关于 拓展acl 的文章

 

随机推荐