实验十二 访问控制列表
实验十二、十三：IP访问控制列表
实验十二、十三IP访问控制列表（ACL）实验1 标准IP访问列表[实验目的]掌握标准IP访问列表规则及配置。
[背景描述]你是一个公司的网络管理员，公司一经理部门用户PC1和一销售部门用户PC2在同一网段内，而财务部门PC3在另一分公司且属另一网段，三部门以下图方式进行信息传递，为了安全起见，公司领导要求销售部门PC2不能对财务部门PC3进行访问，但经理部门用户PC1可以对财务部门PC3进行访问。
[实现功能]实现网段间相互访问的安全控制。
[实验拓扑][实验设备]R1762路由器（2台），交换机或集线器（1台）。
[实验步骤]第一步：基本配置Router1配置：Router>enable 14Password :adminRouter#configure terminalRouter(config)#int s1/2Router(config-if)#ip add 172.16.0.1 255.255.0.0Router(config-if)#no shutRouter(config-if)#int f1/0Router(config-if)#ip add 192.168.0.254 255.255.255.0Router(config-if)#no shutRouter(config-if)#endRouter(config)#ip route 0.0.0.0 0.0.0.0 serial 1/2Router2配置：Router>enable 14Password :adminRouter#configure terminalRouter(config)#int s1/3Router(config-if)#ip add 172.16.0.2 255.255.0.0Router(config-if)#no shutRouter(config-if)#clock rate 64000Router(config-if)#int f1/0Router(config-if)#ip add 192.168.1.254 255.255.255.0Router(config-if)#no shutRouter(config-if)#endRouter(config)#ip route 0.0.0.0 0.0.0.0 serial 1/3各PC机IP可按上图示设置为：PC1：IP 192.168.0.1 netmask 255.255.255.0 gateway 192.168.0.254；PC2：IP 192.168.0.2 netmask 255.255.255.0 gateway 192.168.0.254；PC3：IP 192.168.1.1 netmask 255.255.255.0 gateway 192.168.1.254。
实验12标准IP访问控制列表配置
一、实验目标∙理解标准IP访问控制列表的原理及功能；∙掌握编号的标准IP访问控制列表的配置方法；二、实验背景公司的经理部、财务部和销售部分别属于不同的3个网段，三部门之间用路由器进行信息传递，为了安全起见，公司领导要求销售部不能对财务部进行访问，但经理部可以对财务部进行访问。
三、技术原理ACLs的全称为接入控制列表（Access Control Lists），也称为访问列表（Access List），俗称为防火墙，在有的文档中还称之为包过滤。
ACLs通过定义一些规则对网络设备接口上的数据报文进行控制：允许通过或丢弃，从而提高网络可管理性和安全性；IP ACL分为两种：标准IP访问列表和扩展IP访问列表，编号范围分别为1~99、1300~1999，100~199、2000~2699；标准IP访问列表可以根据数据包的源IP地址定义规则，进行数据包的过滤；扩展IP访问列表可以根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，进行数据包的过滤；IP ACL基于接口进行规则的应用，分为：入栈应用和出栈应用；四、实验步骤实验拓扑1、路由器之间通过V.35电缆串口连接，DCE端连接在R1上，配置其时间频率为64000；主机与路由器通过交叉线连接；2、配置路由器接口IP地址；3、在路由器上配置OSPF路由协议，让三台PC 能相互ping通，因为只有在互通的前提下才能涉及到访问控制列表；4、在R1上配置编号的IP标准访问控制列表；5、将标准IP访问列表应用到接口上；6、验证主机之间的互通性；R1:Router>enRouter#conf tEnter configuration commands, one per line. End with CNTL/Z.Router(config)#hostname R1R1(config)#interface fa1/0R1(config-if)#ip address 192.168.1.1 255.255.255.0R1(config-if)#no shut%LINK-5-CHANGED: Interface FastEthernet1/0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet1/0, changed state to upR1(config-if)#exitR1(config)#int fa0/0R1(config-if)#ip add 192.168.2.1 255.255.255.0R1(config-if)#no shut%LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to upR1(config-if)#exitR1(config)#int se2/0R1(config-if)#clock rate 64000R1(config-if)#ip add 192.168.3.1 255.255.255.0R1(config-if)#no shut%LINK-5-CHANGED: Interface Serial2/0, changed state to downR1(config-if)#exitR1(config)#R1(config)#router ospf 1R1(config-router)#network 192.168.1.0 0.0.0.255 area 0R1(config-router)#network 192.168.2.0 0.0.0.255 area 0R1(config-router)#network 192.168.3.0 0.0.0.255 area 0R1(config-router)#endR1#%SYS-5-CONFIG_I: Configured from console by consoleR1#show ip routeCodes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGPD - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter areaN1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGPi - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS interarea* - candidate default, U - per-user static route, o - ODRP - periodic downloaded static routeGateway of last resort is not setC 192.168.1.0/24 is directly connected, FastEthernet1/0C 192.168.2.0/24 is directly connected, FastEthernet0/0R1#R1#R1#show ip route //两台路由器配置好后的路由信息Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGPD - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF interareaN1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type2E1 - OSPF external type 1, E2 - OSPF external type 2, E -EGPi - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-ISinter area* - candidate default, U - per-user static route, o - ODRP - periodic downloaded static routeGateway of last resort is not setC 192.168.1.0/24 is directly connected, FastEthernet1/0C 192.168.2.0/24 is directly connected, FastEthernet0/0C 192.168.3.0/24 is directly connected, Serial2/0O 192.168.4.0/24 [110/782] via 192.168.3.2, 00:00:15, Serial2/0R1#R1#conf tEnter configuration commands, one per line. End with CNTL/Z.R1(config)#ip ?access-list Named access-listdefault-network Flags networks as candidates for default routesdhcp Configure DHCP server and relayparametersdomain IP DNS Resolverdomain-lookup Enable IP Domain Name System hostname translationdomain-name Define the default domain nameforward-protocol Controls forwarding of physical and directed IP broadcastshost Add an entry to the ip hostname table name-server Specify address of name server to usenat NAT configuration commandsroute Establish static routestcp Global TCP parametersR1(config)#ip acR1(config)#ip access-list ?extended Extended Access Liststandard Standard Access ListR1(config)#ip access-list staR1(config)#ip access-list standard ?<1-99> Standard IP access-list numberWORD Access-list nameR1(config)#ip access-list standard david ?<cr>R1(config)#ip access-list standard david //配置名为david的IP标准访问控制列表R1(config-std-nacl)#?default Set a command to its defaultsdeny Specify packets to rejectexit Exit from access-list configuration modeno Negate a command or set its defaultspermit Specify packets to forwardremark Access list entry commentR1(config-std-nacl)#permit 192.168.1.0 ?A.B.C.D Wildcard bits<cr>R1(config-std-nacl)#permit 192.168.1.0 0.0.0.255 ?<cr>R1(config-std-nacl)#permit 192.168.1.0 0.0.0.255 //允许192.168.1.0网段通过R1(config-std-nacl)#deny ?A.B.C.D Address to matchany Any source hosthost A single host addressR1(config-std-nacl)#deny 192.168.2.0 ?A.B.C.D Wildcard bits<cr>R1(config-std-nacl)#deny 192.168.2.0 0.0.0.255 ?<cr>R1(config-std-nacl)#deny 192.168.2.0 0.0.0.255 //禁止192.168.2.0网段通过R1(config-std-nacl)#exitR1(config)#interR1(config)#interface se2/0R1(config-if)#?bandwidth Set bandwidth informational parameter cdp CDP interface subcommandsclock Configure serial interface clock crypto Encryption/Decryption commandscustom-queue-list Assign a custom queue list to an interfacedelay Specify interface throughput delay description Interface specific descriptionencapsulation Set encapsulation type for an interfaceexit Exit from interface configuration modefair-queue Enable Fair Queuing on an Interfaceframe-relay Set frame relay parametershold-queue Set hold queue depthip Interface Internet Protocol config commandskeepalive Enable keepalivemtu Set the interface Maximum Transmission Unit (MTU)no Negate a command or set its defaultsppp Point-to-Point Protocolpriority-group Assign a priority group to an interfaceservice-policy Configure QoS Service Policyshutdown Shutdown the selected interfacetx-ring-limit Configure PA level transmit ring limitzone-member Apply zone nameR1(config-if)#ip ?access-group Specify access control for packetsaddress Set the IP address of an interface hello-interval Configures IP-EIGRP hello intervalhelper-address Specify a destination address for UDP broadcastsinspect Apply inspect nameips Create IPS rulemtu Set IP Maximum Transmission Unit nat NAT interface commandsospf OSPF interface commandssplit-horizon Perform split horizonsummary-address Perform address summarizationvirtual-reassembly Virtual ReassemblyR1(config-if)#ip acR1(config-if)#ip access-group ?<1-199> IP access list (standard or extended)WORD Access-list nameR1(config-if)#ip access-group david ?in inbound packetsout outbound packetsR1(config-if)#ip access-group david out ?<cr>R1(config-if)#ip access-group david out //将名为david的IP标准访问控制列表应用到se2/0端口R1(config-if)#endR1#%SYS-5-CONFIG_I: Configured from console by consoleR1#show running-configBuilding configuration...Current configuration : 928 bytes!version 12.2no service timestamps log datetime msecno service timestamps debug datetime msecno service password-encryption!hostname R1!...!interface FastEthernet0/0ip address 192.168.2.1 255.255.255.0duplex autospeed auto!interface FastEthernet1/0ip address 192.168.1.1 255.255.255.0duplex autospeed auto!interface Serial2/0ip address 192.168.3.1 255.255.255.0ip access-group david outclock rate 64000!interface Serial3/0no ip addressshutdown!interface FastEthernet4/0no ip addressshutdown!interface FastEthernet5/0no ip addressshutdown!router ospf 1log-adjacency-changesnetwork 192.168.1.0 0.0.0.255 area 0 network 192.168.2.0 0.0.0.255 area 0 network 192.168.3.0 0.0.0.255 area 0 !ip classless!!ip access-list standard davidpermit 192.168.1.0 0.0.0.255deny 192.168.2.0 0.0.0.255!...!line con 0line vty 0 4login!!!endR1#R2:Router>enRouter#conf tEnter configuration commands, one per line. End with CNTL/Z.Router(config)#hostname R2R2(config)#int fa0/0R2(config-if)#ip add 192.168.4.1 255.255.255.0R2(config-if)#no shut%LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to upR2(config-if)#exitR2(config)#int se2/0R2(config-if)#ip add 192.168.3.2 255.255.255.0R2(config-if)#no shut%LINK-5-CHANGED: Interface Serial2/0, changed state to upR2(config-if)#exitR2(config)#router ospf 1R2(config-router)#%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial2/0, changed state to upR2(config-router)#network 192.168.3.0 0.0.0.255 area 0R2(config-router)#network 192.168.4.0 0.0.0.255 area 000:11:23: %OSPF-5-ADJCHG: Process 1, Nbr 192.168.3.1 on Serial2/0 from LOADING to FULL, Loading DoR2(config-router)#endR2#%SYS-5-CONFIG_I: Configured from console by consoleR2#show ip routeCodes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area* - candidate default, U - per-user static route, o - ODRP - periodic downloaded static routeGateway of last resort is not setO 192.168.1.0/24 [110/782] via 192.168.3.1, 00:00:09, Serial2/0O 192.168.2.0/24 [110/782] via 192.168.3.1, 00:00:09, Serial2/0C 192.168.3.0/24 is directly connected, Serial2/0C 192.168.4.0/24 is directly connected, FastEthernet0/0R2#五、测试PC1:Packet Tracer PC Command Line 1.0PC>ipconfigIP Address......................: 192.168.1.2Subnet Mask.....................: 255.255.255.0Default Gateway.................: 192.168.1.1PC>ping 192.168.4.2 //ACL前Pinging 192.168.4.2 with 32 bytes of data:Request timed out.Reply from 192.168.4.2: bytes=32 time=15ms TTL=126Reply from 192.168.4.2: bytes=32 time=9ms TTL=126Reply from 192.168.4.2: bytes=32 time=15ms TTL=126Ping statistics for 192.168.4.2:Packets: Sent = 4, Received = 3, Lost = 1 (25% loss), Approximate round trip times in milli-seconds:Minimum = 9ms, Maximum = 15ms, Average = 13msPC>ping 192.168.4.2 //ACL后Pinging 192.168.4.2 with 32 bytes of data:Reply from 192.168.4.2: bytes=32 time=10ms TTL=126Reply from 192.168.4.2: bytes=32 time=9ms TTL=126Reply from 192.168.4.2: bytes=32 time=16ms TTL=126Reply from 192.168.4.2: bytes=32 time=13ms TTL=126Ping statistics for 192.168.4.2:Packets: Sent = 4, Received = 4, Lost = 0 (0% loss), Approximate round trip times in milli-seconds:Minimum = 9ms, Maximum = 16ms, Average = 12msPC>PC2:Packet Tracer PC Command Line 1.0PC>ipconfigIP Address......................: 192.168.2.2Subnet Mask.....................: 255.255.255.0Default Gateway.................: 192.168.2.1PC>ping 192.168.4.2 //ACL前Pinging 192.168.4.2 with 32 bytes of data:Reply from 192.168.4.2: bytes=32 time=17ms TTL=126Reply from 192.168.4.2: bytes=32 time=10ms TTL=126Reply from 192.168.4.2: bytes=32 time=11ms TTL=126Reply from 192.168.4.2: bytes=32 time=9ms TTL=126Ping statistics for 192.168.4.2:Packets: Sent = 4, Received = 4, Lost = 0 (0% loss), Approximate round trip times in milli-seconds:Minimum = 9ms, Maximum = 17ms, Average = 11msPC>ping 192.168.4.2 //ACL后Pinging 192.168.4.2 with 32 bytes of data:Reply from 192.168.2.1: Destination host unreachable.Reply from 192.168.2.1: Destination host unreachable.Reply from 192.168.2.1: Destination host unreachable.Reply from 192.168.2.1: Destination host unreachable.Ping statistics for 192.168.4.2:Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),PC>要注意：那财务部反过来ping销售部，不通。
访问控制列表实验.详解
实验报告如有雷同，雷同各方当次实验成绩均以0分计。
警示2.当次小组成员成绩只计学号、姓名登录在下表中的。
3.在规定时间内未上交实验报告的，不得以其他方式补交，当次成绩按0分计。
4.实验报告文件以PDF格式提交。
【实验题目】访问控制列表（ACL）实验。
【实验目的】1.掌握标准访问列表规则及配置。
2.掌握扩展访问列表规则及配置。
3. 了解标准访问列表和扩展访问列表的区别。
【实验内容】完成教材实例5-4（P190），请写出步骤0安装与建立，的步骤，并完成P192～P193的测试要求。
【实验要求】重要信息信息需给出截图，注意实验步骤的前后对比。
【实验记录】(如有实验拓扑请自行画出)【实验拓扑】本实验的拓扑图结构如下图：【实验设备】路由器一台，PC 5台（其中两台作为和）。
【实验原理】基于时间的ACL是在各种ACL规则（标准ACL、扩展ACL等）后面应用时间段选项（time-range）以实现基于时间段的访问控制。
当ACL规则应用了时间段后，只有在此时间范围内规则才能生效。
此外，只有配置了时间段的规则才会在指定的时间段内生效，其他未引用时间段的规则将不受影响。
要基于时间的ACL一生效，一般需要下面的配置步骤。
（1）定义时间段及时间范围。
（2）ACL自身的配置，即将详细的规则添加到ACL中。
（3）应用ACL，将设置好的ACL添加到相应的端口中。
【实验步骤】步骤0：（1）配置3台PC（PC1、PC2和Manager）的IP地址、掩码、网关。
（2）检查PC与服务器的连通性如何？PC与服务器无法连通，因为还未安装和和配置路由器。
（3）在服务器上安装和。
需至少创建一个用户名和口令。
我们选择Serv-U，下载安装后见如下界面。
先新建域：再创建用户，设置用户名和密码，选择根目录。
我们选择Apache。
下载，命令行下进入bin目录，使用httpd -k install命令安装。
发现Apache无法正常启动，查看：发现80端口被占用，所以修改conf文件夹下的httpd.conf文件，找到Listen 80一行，把80改为8080(可以设为其它的，最好大于1024，而且必须小于等于65535)，保存，然后重新启动Apache服务。
访问控制列表实验
访问控制列表实验ACL可以限制网络流量、提高网络性能，为了保护内网的安全，可以只允许内网访问外网，不允许外网访问内网，这里利用cisco 路由器的自反ACL来实现。
ACL可以限制网络流量、提高网络性能，为了保护内网的安全，可以只允许内网访问外网，不允许外网访问内网，这里利用cisco 路由器的自反ACL来实现。
用户需要配置路由协议，以下配置的是RIP Version1的，也可以配置别的，如EIGRP或OSPF。
一、实验拓扑图二、实验要求要求内网可以主动访问外网，但是外网不能主动访问内网，从而有效保护内网。
三、实验配置1、配置路由器，并在R1、R3上配置默认路由确保IP连通性。
R1(config)#interface s0/0/0R1(config)#ip address 192.168.12.1 255.255.255.0R1(config)#no shutdownR1(config)#interface g0/0R1(config)#ip address 172.16.1.1 255.255.255.0R1(config)#no shutdownR1(config)#ip route 0.0.0.0 0.0.0.0 192.168.12.2R2(config)#interface s0/0/0R2(config)#ip address 192.168.12.2 255.255.255.0R2(config)#no shutdownR2(config)#interface s0/0/1R2(config)#ip address 202.210.23.2 255.255.255.0R2(config)#no shutdownR3(config)#interface loopback 0R3(config)#ip address 3.3.3.3 255.255.255.0R3(config)#no shutdownR3(config)#interface s0/0/1R3(config)#ip address 202.210.23.3 255.255.255.0R3(config)#no shutdownR3(config)#ip route 0.0.0.0 0.0.0.0 202.210.23.22、在路由器R2上配置自反ACLR2(config)#ip access-list extended ACLOUTR2(config-ext-nacl)#permit tcp any any reflect REF //定义自反ACL R2(config-ext-nacl)#permit udp any any reflect REFR2(config)#ip access-list extended ACLINR2(config-ext-nacl)#evaluate REF //评估反射R2(config)#int s0/0/1R2(config-if)#ip access-group ACLOUT outR2(config-if)#ip access-group ACLIN inPS：(1)、自反ACL永远是permit的;(2)、自反ACL允许高层Session信息的IP包过滤;(3)、利用自反ACL可以只允许出去的流量，但是阻止从外部网络产生的向内部网络的流量，从而可以更好地保护内部网络;(4)、自反ACL是在有流量产生时(如出方向的流量)临时自动产生的，并且当Session 结束条目就删除;(5)、自反ACL不是直接被应用到某个接口下的，而是嵌套在一个扩展命名访问列表下的。
新版第26讲实验12-标准访问控制列表(-A-C-L)课件.ppt
Outgoing Packet
S0/0
精选
18
ACL分类
扩展ACL
– 检查源和目的地址
– 通常允许或拒绝特定的协议 为了更加精确的数据流过滤，需要扩展ACL。扩展
ACL检查源地址和目标地址，以及TCP或UDP端口号。 还可以指定扩展ACL针对特定的协议的进行操作。 扩展ACL使用的数字范围是：100-199。
并写出现的问题的解决的方案
精选
6
教学目标
Access Control List 访问列表（ACL）的作用 访问列表的分类 标准访问列表的应用及配置 扩展访问列表的应用及配置
应用ACL控制和管理通信流量
精选
7
访问列表的概念
访问列表的定义
是一系列运用网络地址或者上层协议上的允许或拒 绝指令的集合
这些指令将运用到网络地址或者上层协议上
这些指令告诉路由器接受哪些数据报而拒绝哪些数 据报。
ACL使得用户能够管理数据流，检测特定的数据报。
接受或者拒绝根据一定的规则进行，如源地址，目 标地址，端口号等。
路由器将根据ACL中指定的条件，对经过路由器端 口的数据报进行检查。
ACL可以基于所有的Routed Protocols，如IP， IPX，对经过路由器的数据报进行过滤。
如果有，根据ACL中的条件指令，检查这个数据报。
如果数据报是被允许的，就查询路由表，决定数据 报的目标端口。
路由器检查目标端口是否存在ACL控制流出的 数据报
不存在，这个数据报就直接发送到目标端口。
如果存在，就再根据ACL进行取舍。
精选
15
ACL的工作流程
精选
16
ACL条件顺序
访问控制列表acl实验报告
访问控制列表（ACL）实验报告1. 实验简介本实验旨在介绍访问控制列表（Access Control List，ACL）的基本概念和使用方法。
ACL是一种用于限制对网络资源访问的方式，通过配置规则表来控制网络流量的传输。
本实验将分为以下几个步骤进行。
2. 实验环境在进行实验前，我们需要准备以下环境：•一台已安装操作系统的计算机•网络设备（如路由器、交换机等）•网络拓扑图（可参考附录）3. 实验步骤步骤一：了解ACL的基本概念在开始配置ACL之前，我们需要了解ACL的基本概念。
ACL由一条或多条规则组成，每条规则定义了一种访问控制策略。
ACL可以基于源IP地址、目标IP地址、协议类型、端口号等信息进行过滤。
步骤二：创建ACL对象我们首先需要在网络设备上创建ACL对象。
打开命令行界面，输入以下命令来创建一个名为“ACL1”的ACL对象：config terminalip access-list extended ACL1步骤三：配置ACL规则接下来，我们可以通过添加ACL规则来实现访问控制。
假设我们要限制某个IP地址的访问权限，可以输入以下命令来添加ACL规则：permit ip 192.168.0.1 any上述命令表示允许IP地址为192.168.0.1的主机访问任何目标IP地址。
同样地，我们可以添加更多的规则来满足需求。
步骤四：将ACL应用到接口在配置完ACL规则后，我们需要将ACL应用到网络设备的接口上，以实现访问控制。
假设我们要将ACL1应用到接口GigabitEthernet0/1上，可以输入以下命令：interface GigabitEthernet0/1ip access-group ACL1 in上述命令中的“in”表示将ACL应用到入向流量上。
如果需要将ACL应用到出向流量上，可以使用“out”参数。
步骤五：验证ACL配置最后，我们需要验证ACL的配置是否生效。
可以通过发送测试流量来检查ACL 是否按照预期工作。
访问控制列表acl实验报告
访问控制列表acl实验报告访问控制列表（ACL）实验报告引言：访问控制列表（ACL）是一种用于网络设备和操作系统中的安全机制，用于限制用户或进程对资源的访问权限。
通过ACL，管理员可以精确地控制谁可以访问特定的资源，以及访问的方式和权限。
本实验报告将介绍ACL的基本概念、实验目的、实验环境、实验步骤和实验结果，并对实验过程中遇到的问题和解决方案进行讨论。
一、ACL的基本概念ACL是一种由许多规则组成的表格，每个规则都包含一个或多个条件和一个动作。
条件可以基于源IP地址、目标IP地址、源端口、目标端口、协议类型等进行匹配。
动作可以是允许或拒绝访问。
ACL通常应用于网络设备（如路由器和交换机）或操作系统的防火墙功能，用于过滤和控制进出网络的流量。
二、实验目的本实验的目的是通过配置和测试ACL，了解ACL的工作原理、应用场景和配置方法。
通过实验，我们可以深入理解ACL对网络安全的重要性，以及如何使用ACL来保护网络资源免受未经授权的访问。
三、实验环境本实验使用了一台配置了Cisco IOS操作系统的路由器作为实验设备。
路由器上有多个接口，分别连接到不同的网络。
我们将通过配置ACL来控制不同网络之间的通信流量。
四、实验步骤1. 配置ACL规则：首先，我们需要确定要保护的资源和规定访问权限。
根据实验需求，我们可以创建多个ACL规则，每个规则对应一个特定的访问需求。
例如，我们可以创建一个规则，允许内部网络的用户访问外部网络的HTTP服务，但禁止访问其他协议。
通过配置源IP地址、目标IP地址和协议类型等条件，我们可以精确地定义ACL规则。
2. 应用ACL规则：一旦我们创建了ACL规则，就需要将其应用到适当的接口或设备上。
在路由器上，我们可以将ACL规则应用到特定的接口，以控制从该接口进出的流量。
通过配置入站和出站的ACL规则，我们可以限制流量的方向和访问权限。
3. 测试ACL效果：配置完成后，我们需要测试ACL的效果，确保ACL规则能够正确地过滤和控制流量。
访问控制列表ACL配置-实验报告
【实验目的】：1．熟悉掌握网络的基本配置连接2．对网络的访问性进行配置【实验说明】：路由器为了过滤数据包，需要配置一系列的规则，以决定什么样的数据包能够通过，这些规则就是通过访问控制列表ACL定义的。
访问控制列表是偶permit/deny语句组成的一系列有顺序的规则，这些规则根据数据包的源地址、目的地址、端口号等来描述。
【实验设备】：【实验过程记录】：步骤1：搭建拓扑结构，进行配置（1）搭建网络拓扑图：（2虚拟机名IP地址GatewayPC0PC1PC2PC3PC4上节课的实验已经展示了如何配置网关和IP地址，所以本次实验将不再展示，其配置对应数据见上表。
（3）设置路由信息并测试rip是否连通三个路由器均做route操作。
对rip结果进行测试，测试结果为连通。
（4）连通后对访问控制列表ACL进行配置代码如下：Route(config)#route ripRoute(config-route)#netRoute(config-route)#netRoute(config-route)#exitRoute(config)#access-list 1 deny Route(config)#access-list 1 permit any Route(config)#int s3/0Route(config-if)#ip access-group 1 in Route(config-if)#end步骤2：检验线路是否通畅将访问控制列表ACL配置完成后点开PC0进行ping操作，ping 。
检验结果：结果显示目的主机不可达，访问控制列表ACL配置成功。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
第七步：设置扩展访问控制列表
设备
设置相关配置
Router-B
Router-B(config)#no access-list 1!将原来的标准ACL取消
Router-B(config)#access-list 101 deny tcp 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255 eq 23
Router-B(config-if)#^Z
Router-B#show ip access-list！显示ACL信息
Extended IP access list 101
deny tcp 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255 eq telnet
permit tcp any any！ACL信息
192.168.1.1
SERVER 0
192.168.3.5
255.255.255.0
192.168.3.1
第二步：在Router-A、Router-B、Router-C上配置接口的IP地址等信息
路由器
相关配置(下划线部分要根据实际情况进行修改)
Router-A
Router-B
Router>enable
Gateway of last resort is not set
C 192.168.1.0/24 is directly connected, FastEthernet0/0
C 192.168.2.0/24 is directly connected, FastEthernet0/1
R 192.168.3.0/24 [120/1] via 192.168.2.2, 00:00:20, FastEthernet0/1
Router#config t
Router(config)#hostnameRouter-A！重命名
Router(config)#exit！退出配置模式，进入特权模式
Router-A#show ip route！查看路由表信息
Router-A#config terminal!进入到配置模式
Router-A (config)#interfacef0/0！进入接口
第五步：设置标准访问控制列表
设备
设置相关配置
Router-B
Router-B(config)#access-list 1 deny 192.168.1.0 0.0.0.255
！阻止192.168.1.0网段上的所有信息
Router-B(config)#access-list 1 permit any！允许所有
五、实验要求
配置表
路由器
Router-A
Router-B
接口
F0/0
S1/0
S1/0
F0/0
IP地址
192.168.1.1
192.168.2.1
192.168.2.2
192.168.3.1
六、实验步骤
第一步：画实验拓扑图，并配置终端的IP地址
计算机
IP地址
子网掩码
网关
PC0
192.168.1.5
255.255.255.0
deny 192.168.1.0 0.0.0.255
permit any！显示的信息
第六步：利用终端进行验证
计算机
PC0 ping PC1时，发现PING不通，则表示访问控制列表有效
PC2
PC>ping 192.168.3.5
Pinging 192.168.3.5 with 32 bytes of data:
第四步：验证最终结果(有两种方法)
路由器
用show ip route显示路由表。若显示类似以下结果，则表示配置成功！
Router-A
Router-B
Router-A#show ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
！不允许192.168.1.0网段远程登录192.168.3.0网段
Router-B(config)#access-list 101 permit icmp any any
！允许ping 192.168.3.0网段
Router-B(config)#int f0/0
Router-B(config-if)#ip access-group 101 out！设置在出口接口上
Router-B(config)#int f0/0
Router-B(config-if)#ip access-group 1 out！将ACL绑定在出口接口上
Router-B(config-if)#^Z
Router-B#show ip access-list！显示ACL信息表
Standard IP access list 1
Reply from 192.168.3.5: bytes=32 time=109ms TTL=126
Reply from 192.168.3.5: bytes=32 time=109ms TTL=126
Reply from 192.168.3.5: bytes=32 time=94ms TTL=126
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
实验十二访问控制列表的配置
一、实验目的
掌握访问控制列表实验安全性的配置
掌握标准和扩展的访问列表的作用和配置
二、应用环境
在某些安全性不高的网络当中，可以利用访问控制列表阻止某些不安全的主机对其进行访问，或者过滤掉一些不安全的协议或服务。
三、实验设备
Packet Tracer 5.1虚拟软件
四、实验拓扑
Request timed out.
Request timed out.
Request timed out.
Request timed out.!超时
Ping statistics for 192.168.3.5:
Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),
Router-A (config-if)#ip address192.168.2.1255.255.255.0
Router-A (config-if)#clock rate 72000
Router-A (config-if)#no shut
第三步：在Router-A、Router-B、Router-C上配置rip路由协议
Reply from 192.168.3.5: bytes=32 time=93ms TTL=126
Reply from 192.168.3.5: bytes=32 time=124ms TTL=126
Ping statistics for 192.168.3.5:
Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
路由器
配置rip路由协议(下划线部分要根据实际情况进行修改)
Router-A
Router-B
Router-A#config t
Router-A(config)#router rip
Router-A(config-router)#network192.168.1.0
Router-A(config-router)#network192.168.2.0
Approximate round trip times in milli-seconds:
Minimum = 93ms, Maximum = 126ms, Average = 109ms
PC>telnet 192.168.3.5
Trying 192.168.3.5 ...
% Connection timed out; remote host not responding！telnet超时
第六步：利用终端进行验证
计算机
PC0 ping PC1时，发现PINGe得通，但TELNET不能用，则表示ACL有效
PC2
PC>ping 192.168.3.5
Pinging 192.168.3.5 with 32 bytes of data:
Reply from 192.168.3.5: bytes=32 time=126ms TTL=126
Ping statistics for 192.168.3.5:
Packets: Sent = 4, Received = 3, Lost = 1 (25% loss),
Approximate round trip times in milli-seconds:
Minimum = 94ms, Maximum = 109ms, Average = 104ms
Router-A (config-if)#ip address192.168.1.1255.255.255.0