標(biāo)準(zhǔn)、擴(kuò)展、名稱訪問控制列表配置

1、標(biāo)準(zhǔn)、擴(kuò)展、名稱訪問控制列表配置 2008-09-06 16:45:41| 分類： 網(wǎng)絡(luò)試驗 | 標(biāo)簽：acl 訪問控制列表 |字號大中小 訂閱試驗?zāi)康模菏煜?biāo)準(zhǔn)訪問控制列表的應(yīng)用。試驗設(shè)備：r1、r2、r3、sw1、sw2、vpcs。說明：在全網(wǎng)均能連通的情況下完成試驗，注意：標(biāo)準(zhǔn)訪問控制列表放置原則是，盡可能離目標(biāo)地址近。試驗內(nèi)容：由于基本訪問控制列表的放置原則，所以我們知道應(yīng)該在r3上設(shè)置ACL，并且將其放置在r3的e1/0接口上。1、只允許網(wǎng)絡(luò)的主機(jī)訪問PC6。命令如下： /定義一個ACL名字為1，只允許的網(wǎng)絡(luò)內(nèi)的主機(jī)信息通過，注意:這里的通配符掩碼中0表示必須符合，1表示可以不同，所

2、以55（1111111）就表示192.168.1這三位必須相同，而第四位可以任意。r3(config)#int e1/0 /進(jìn)入端口E1/0r3(config-if)#ip access-group 1 out /將ACL 1應(yīng)用在該接口上，控制出站數(shù)據(jù)流。這時可以試驗，從不同的網(wǎng)絡(luò)PING PC6的IP地址，并且還可以PING R3的E1/0地址，除了網(wǎng)絡(luò)的信息外，都只能到達(dá)00而終止。2、只允許PC1:訪問PC6。首先執(zhí)行r3(config)#no access-list 1 刪除掉剛才建立的內(nèi)容以便后續(xù)試驗。這時就只有pc1能ping通pc6了，請讀者在pc1和pc3上ping pc6。

3、3、只拒絕網(wǎng)絡(luò)的主機(jī)訪問PC6。r3(config)#no access-list 1 /刪除前面建立的列表 /只拒絕網(wǎng)絡(luò)的數(shù)據(jù)r3(config)#access-list 1 permit any /允許通過所有數(shù)據(jù)，any表示所有網(wǎng)絡(luò)，因為所有的ACL末尾都有條隱藏deny any（拒絕所有）的語句，所以在這條語句之前必須加一條允許所有的語句來讓所有其他的網(wǎng)絡(luò)的數(shù)據(jù)通過。請讀者自行測試。4、只拒絕PC2:主機(jī)訪問PC6。r3(config)#no access-list 1 r3(config)#access-list 1 permit any請讀者自信測試。注意：因為在第一步的試驗的時候

4、已經(jīng)將ACL1應(yīng)用到E1/0接口，并且后續(xù)試驗中依然有效，所以后續(xù)的試驗中就沒有再次使用ip access-group 1 out命令了。*擴(kuò)展訪問列表。其實擴(kuò)展訪問列表相對于標(biāo)準(zhǔn)訪問列表的不同就在于，它可以更加細(xì)化的控制訪問，與標(biāo)準(zhǔn)訪問列表不同，擴(kuò)展訪問列表需要放在距離控制源盡可能近的地方，因為這個原則所以以上的標(biāo)準(zhǔn)訪問控制列表的試驗中，在用擴(kuò)展訪問控制列表做的時候就因該放在R1的F2/0.10和F2/0.20口上，做入站數(shù)據(jù)流的控制。比如：1、只允許網(wǎng)絡(luò)的主機(jī)訪問PC6的FTP服務(wù)。r1(config)#access-list 101 permit tcp 55 host eq 21 /擴(kuò)展列表101只允許從網(wǎng)絡(luò)到的tcp數(shù)據(jù)通過，端口為21（這是FTP服務(wù)的段口之一21、20）r1(config)#access-list 101 permit tcp 55 host eq 20r1(config)#int f2/0.10 /進(jìn)入端口f2/0.10r1(config-if)#ip access-group 101 in /將ACL 101應(yīng)用在該接口上，控制入站數(shù)據(jù)流。其他的以此類推，另外還有名稱訪問控制列表也只是可以用非數(shù)字的字符來定義列表名稱比如將101替換為NO