首页 理论教育配置标准ACL-网络设备配置与实训

配置标准ACL-网络设备配置与实训

2025-09-30 理论教育 版权反馈
【摘要】：实训目的通过以下案例的配置，掌握路由器上编号的标准IP访问列表规则及配置，实现不同网段间互相访问的安全控制。公司的经理部、财务部门和销售部门分属不同的3个网段，三部门之间用路由器进行信息传递。实训步骤首先按实训拓扑图连接各设备，然后按以下步骤进行功能配置。

实训目的

通过以下案例的配置，掌握路由器上编号的标准IP访问列表规则及配置，实现不同网段间互相访问的安全控制。

公司的经理部、财务部门和销售部门分属不同的3个网段，三部门之间用路由器进行信息传递。为了安全起见，公司领导要求销售部门不能对财务部门进行访问，但经理部可以对财务部门进行访问。PC 1代表经理部的主机，PC 2代表销售部门的主机，PC 3代表财务部门的主机，如图5-6所示。

图5-6　配置标准ACL

拓扑图中各设备和接口地址为：

PC 1：192.168.1.2/24

PC 2：192.168.2.2/24

PC 3：192.168.4.2/24

Router 1 S 1/2：192.168.3.1/24

F 1/0：192.168.1.1/24

F 1/1：192.168.2.1/24

Router 2 S 1/2：192.168.3.2/24

F 1/0：192.168.4.1/24

实训设备

R1762路由器2台，V.35线缆2条（一条DCE，一条DTE），直连线或交叉线3条。

实训步骤

首先按实训拓扑图连接各设备，然后按以下步骤进行功能配置。

1.Router 1基本配置

Red-Giant＞enable

Red-Giantconfigure terminal

Red-Giant（config）hostname Router1

Router1（config） interface fastEthernet1/0

Router1（config-if）ip add 192.168.1.1 255.255.255.0

Router1（config-if）no shutdown

Router1（config-if）exit

Router1（config） interface fastEthernet1/1

Router1（config-if）ip add 192.168.2.1 255.255.255.0

Router1（config-if）no shutdown

Router1（config-if）exit

Router1（config）interface serial 1/2

Router1（config-if）ip add 192.168.3.1 255.255.255.0

Router1（config-if）clock rate 64000

Router1（config-if）no shutdown

Router1（config-if）end

2.测试接口状态

Router1show ip int brief

！观察接口状态

Interface IP-Address（Pri）OK？Status

serial 1/2 192.168.3.1/24 YES UP

serial 1/3 no address YES DOWN

FastEthernet1/0 192.168.1.1/24 YES UP

FastEthernet1/1 192.168.2.1/24 YES UP

Null 0 no address YES UP

3.Router 2基本配置

Red-Giant＞enable

Red-Giantconfigure terminal

Red-Giant（config）hostname Router2

Router2（config） interface fastEthernet1/0

Router2（config-if）ip add 192.168.4.1 255.255.255.0

Router2（config-if）no shutdown

Router2（config-if）exit

Router2（config）interface serial 1/2

Router2（config-if）ip add 192.168.3.2 255.255.255.0

Router2（config-if）no shutdown

Router2（config-if）end

4.测试接口状态

Router2show ip int brief

！观察接口状态

Interface IP-Address（Pri）OK？Status

serial 1/2 192.168.3.2/24 YES UP

serial 1/3 no address YES DOWN

FastEthernet1/0 192.168.4.1/24 YES UP

FastEthernet1/1 no address YES DOWN

Null 0 no address YES UP

5.配置静态路由

Router1（config）ip route 192.168.4.0 255.255.255.0 192.168.3.2

Router2（config）ip route 192.168.1.0 255.255.255.0 192.168.3.1

Router2（config）ip route 192.168.2.0 255.255.255.0 192.168.3.1

6.测试路由信息(https://www.chuimin.cn)

Router1show ip route

！查看路由表信息

Codes：C-connected，S-static，R-RIP

O-OSPF，IA-OSPF inter area

N1-OSPF NSSA external type 1，N2-OSPF NSSA external type 2

E1-OSPF external type 1，E2-OSPF external type 2

-candidate default

Gateway of last resort is no set

C 192.168.1.0/24 is directly connected，FastEthernet1/0

C 192.168.1.1/32 is local host.

C 192.168.2.0/24 is directly connected，FastEthernet1/1

C 192.168.2.1/32 is local host.

C 192.168.3.0/24 is directly connected，serial 1/2

C 192.168.3.1/32 is local host.

S 192.168.4.0/24 is directly connected，serial 1/2

Router2show ip route

Codes：C-connected，S-static，R-RIP

O-OSPF，IA-OSPF inter area

N1-OSPF NSSA external type 1，N2-OSPF NSSA external type 2

E1-OSPF external type 1，E2-OSPF external type 2

-candidate default

Gateway of last resort is no set

S 192.168.1.0/24 is directly connected，serial 1/2

S 192.168.2.0/24 is directly connected，serial 1/2

C 192.168.3.0/24 is directly connected，serial 1/2

C 192.168.3.2/32 is local host.

C 192.168.4.0/24 is directly connected，FastEthernet1/0

C 192.168.4.1/32 is local host.

7.配置标准IP访问控制列表

Router2（config）access-list1 deny 192.168.2.0 0.0.0.255

！拒绝来自192.168.2.0网段的流量通过

Router2（config）access-list1 permit 192.168.1.0 0.0.0.255

！允许来自192.168.1.0网段的流量通过

8.验证ACL配置信息

Router2show access-lists 1

Standard IP access list1 includes 2 items：

deny 192.168.2.0，wildcard bits 0.0.0.255

permit192.168.1.0，wildcard bits 0.0.0.255

9.在接口下应用访问控制列表

Router2（config） interface fastEthernet1/0

Router2（config-if）ip access-group 1 out

！在接口下访问控制列表出栈流量调用

10.查看访问列表在接口上的应用

Router2show ip interface fastEthernet1/0

FastEthernet1/0

IP interface state is：UP

IP interface type is：BROADCAST

IP interface MTU is：1500

IP address is：

192.168.4.1/24（primary）

IP address negotiate is：OFF

Forward direct-boardcast is：ON

ICMPmask reply is：ON

Send ICMP redirect is：ON

Send ICMP unreachabled is：ON

DHCP relay is：OFF

Fast switch is：ON

Route horizontal-split is：ON

Help address is：0.0.0.0

Proxy ARP is：ON

Outgoing access list is 1.

Inbound access list is not set.

验证测试

ping 192.168.2.0网段的主机，不能ping通172.16.4.0网段的主机；172.16.1.0网段的主机能ping通192.168.4.0网段的主机。

知识拓展

通配符掩码

通配符掩码是一个32位的数字串，它被用点号分成4个8位组，每组包含8位。在通配符掩码中，0表示“检查相应的位”，1表示“不检查相应的位”。通配符掩码与IP地址是成对出现的，但通配符掩码和子网掩码工作原理不同。在子网掩码中，数字1和0用来决定是网络、子网，还是相应主机的IP地址。如172.16.0.0这个网段，使用的通配符掩码应为0.0.255.255。

在ACL的判别条件中，使用一个IP地址与通配符来指定匹配的范围。通配符中为“0”的位，代表被检测的数据包中的地址位必须与前面的IP地址相应位一致，才被认为满足了匹配条件。而通配符中为“1”的位，代表被检测的数据包中的地址位无论是否与前面的IP地址相应位一致，都认为满足了匹配条件。如果想指定匹配所有地址，可使用IP地址与通配符为0.0.0.0 255.255.255.255，其中IP地址0.0.0.0代表所有网络地址，而通配符255.255.255.255代表不管数据包中的IP地址是什么都满足匹配条件，所以0.0.0.0 255.255.255.255意为接受所有地址并且可简写为any。如果要对特定主机进行匹配，则需要匹配IP地址中所有位，所以通配符为0.0.0.0，代表必须匹配　所　有 位　才　满 足　匹　配　条 件。例 如172.30.16.29 0.0.0.0，可　表 示 为host172.30.16.29。

相关文章

  • 网络设备配置与实训：静态路由配置实践 网络设备配置与实训：静态路由配置实践

    实训目的理解路由器静态路由协议，实现两个局域网互相通信。图2-13静态路由配置2.在路由器R 1上配置接口的IP地址和串口上的时钟频率。验证R 2上的静态路由配置6.测试网络的互连互通性。通过子接口可以实现对不同VLAN的路由。......

    2025-09-30

    详细阅读
  • 静态路由配置实例-网络设备配置与实训 静态路由配置实例-网络设备配置与实训

    表2-2ip route命令参数说明通常使用该命令时只使用network、net-mask、ip-address三种参数，其他参数使用默认值，例如：router#ip route 192.168.2.0 255.255.255.0 192.168.3.2这时，该静态路由的管理距离为默认的“1”。图2-11静态路由表示例如果静态路由配置错误，重新配置之前必须将错误的路由删除，静态路由是不能被覆盖的。......

    2025-09-30

    详细阅读
  • 网络设备配置实训：路由器基本配置 网络设备配置实训：路由器基本配置

    实训目的通过以下配置，练习路由器的常用管理方式和基本配置命令。图2-9实验拓扑如图2-9所示，要求：配置路由器R 1的主机名、端口IP，并将R 1的特权密码设置为12345。同时为路由器设置Telnet参数，实现PC 1对R 1的Telnet访问。实训设备锐捷RG-R1762 1台，主机1台，交叉双绞线1条，控制线1条。路由器R 1的配置：Router#configRouter#hostname R1R1#enable secret 12345！进入路由器线路配置模式R1#loginR1#password 12345R1#exitR1#interface fastethernet1/0R1#no shutdown！结果表明，可以成功ping通和登录路由器。......

    2025-09-30

    详细阅读
  • 网络设备配置与实训：交换机基本配置 网络设备配置与实训：交换机基本配置

    实训目的通过以下案例的配置，练习交换机的常用管理方式和基本配置命令。同时为了方便管理，交换机允许远程Telnet登录配置。实训步骤1.按实验拓扑图1-12正确连接网线并进行配置。交换机Office的配置：switch#configswitch#hostname officeoffice#enable secret level 1 0 1234567！知识拓展神州数码交换机启用Telnet远程管理的配置方法不同厂家的交换机可能使用不同的操作系统或不同的命令格式，与锐捷产品相比，神州数码的交换机在启用Telnet远程管理服务时，必须为远程用户设置用户名和密码。......

    2025-09-30

    详细阅读
  • 网络设备配置与实训：端口安全简介 网络设备配置与实训：端口安全简介

    端口安全功能是通过对MAC地址表的配置，来实现在某一端口只允许一台或几台确定的设备访问此台交换机端口。利用端口安全这个特性，我们可以通过限制允许访问交换机上某个端口的MAC地址以及IP（可选）来实现严格控制对该端口的输入。此外，我们还可以限制一个端口上能包含的安全地址最大个数，如果将最大个数设置为1，并且为该端口配置一个安全地址，则连接到这个口的工作站将独享该端口的全部带宽。......

    2025-09-30

    详细阅读
  • NAT技术概念解析-网络设备配置与实训 NAT技术概念解析-网络设备配置与实训

    如图3-2所示，是网络中不同位置IP地址的NAT技术分类名称的一个图例。如图3-3所示，内部网络192.168.1.0/24的主机要访问IP地址为63.5.8.1的外部服务器，就需要采用动态地址转换技术，建立一个地址池，与内部全局地址200.8.7.3或200.8.7.4进行随机映射。例如当从内部网络的主机192.168.1.5访问HTTP服务器63.5.8.1时，数据包的源地址192.168.1.5在NAT路由器上被转换成内部全局地址200.8.7.3，同时附加以自定义的大于1023的随机端口号1136，内部局域地址是临时的，并且要保证唯一。......

    2025-09-30

    详细阅读
  • 跨交换机VLAN的配置：网络设备配置与实训 跨交换机VLAN的配置：网络设备配置与实训

    实训目的熟悉跨交换机VLAN的划分方法，以及划分后对网络结构的影响。为了实现同VLAN成员之间的通信，在两台交换机的F 0/1端口之间建立Trunk链路。实训步骤1.按实验拓扑图1-17和表1-2正确连接网络并进行配置。交换机Office1的配置按照“实训2 单交换机的VLAN划分”将交换机Office 1的VLAN进行划分。结果表明，通过Trunk链路，不同交换机上的相同VLAN可以自由通信，而不同VLAN仍然被有效隔离。......

    2025-09-30

    详细阅读
  • 网络设备端口安全配置实训 网络设备端口安全配置实训

    端口安全的相关配置都在端口配置模式下进行。禁用端口安全功能设置接口上安全地址的最大个数设置接口上安全地址的最大个数，范围是1～128，缺省值为128。端口安全地址的最大个数为10设置处理违例的方式switch#switchport port-security violation［protect｜restrict｜shutdown］其中，protect：保护端口，当安全地址个数满后，安全端口将丢弃未知名地址；restrict：当违例产生时，将发送一个Trap通知；shutdown：当违例产生时，将关闭端口并发送一个Trap通知。例如：switch# switchport port-security 0F-A3-16-FE-BCD4 192.168.1.1查看端口安全配置结构switch#show port-security......

    2025-09-30

    详细阅读