柯侧耳倾听者 - 云代码空间
—— 翱翔在Java世界的海洋之上
一、实验目的与要求
1、理解标准IP访问控制列表的原理及功能，掌握编号的标准IP访问控制列表的配置方法；
2、理解扩展IP访问控制列表的原理及功能，掌握扩展IP访问控制列表的配置方法。
二、实验原理
1、ACLs 的全称为接入控制列表（Access Control Lists），也称访问控制列表（Access Lists），俗称防火墙，在有的文档中还称包过滤。ACLs通过定义一些规则对网络设备接口上的数据包文进行控制；允许通过或丢弃，从而提高网络可管理型和安全性。
IPACL分为两种：标准IP访问列表和扩展IP访问列表，编号范围为1～99、1300～1999、100～199、2000～2699。
标准IP访问控制列表可以根据数据包的源IP地址定义规则，进行数据包的过滤；扩展 IP访问列表可以根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，进行数据包的过滤。
IPACL基于接口进行规则的应用，分为：入栈应用和出栈应用。
2、访问列表中定义的典型规则主要有以下：源地址、目标地址、上层协议、时间区域。
扩展 IP访问列表（编号100-199、2000、2699）使用以上四种组合来进行转发或阻断分组；可以根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，进行数据包的过滤。
扩展 IP访问列表的配置包括以下两部：定义扩展IP访问列表；将扩展IP访问列表应用于特定接口上。
三、预习与准备
预习访问控制列表的工作机制以及ACL配置方法的相关知识点。准备好实验设备，安装好模拟器软件Packet Tracer 6.0。
四、实验内容与步骤
1、实验背景
（1）练习一实验背景：你是公司的网络管理员，公司的经理部、财务部门和销售部门分属于不同的3个网段，三部门之间用路由器进行信息传递，为了安全起见，公司领导要求销售部门不能对财务部进行访问，但经理部可以对财务部进行访问。
PC0代表经理部的主机、PC1代表销售部的主机、PC2代表财务部的主机，实验拓扑如图9.1所示。
（2）练习二实验背景：总公司有一家分公司相距较远，总公司和分公司之间通过串行线路相连。总公司有一台WWW服务器0，总公司的出口路由器为Router2；分公司有两台路由器Router0、Route1，期中Router1为出口路由器，分公司内有一台主机PC0，网络拓扑如图9.2所示。
现在假设你是公司的网络管理员，为了工作方便以及安全起见，公司领导要求分公司的PC0能够通过IP地址访问总公司的服务器0上的Web服务，但是不能ping通服务器0。
2、实验设备
练习一：PC 3 台；Router-PT 2 台；交叉线；DCE串口线。
练习二：PC 1 台；Server-PT 1台； Router-PT 3 台；交叉线；DCE串口线。
3、练习一 标准ACL的配置
新建 Packet Tracer 拓扑图
（1）路由器之间通过V.35 电缆通过串口连接，DCE 端连接在R0上，配置其时钟频率64000；主机与路由器通过交叉线连接。
（2）配置路由器接口IP地址。
（3）在路由器上配置静态路由协议，让三台PC能够相互Ping通，因为只有在互通的前提下才涉及到访问控制列表。
（4）在R0上配置编号的IP标准访问控制。
（5）将标准IP访问控制应用到接口上。
（6）验证主机之间的互通性。
图9.1 练习一实验拓扑图
练习一网络拓扑图如下：
PC0
IP: 172.16.1.2
Submask: 255.255.255.0
Gageway: 172.16.1.1
PC1
IP: 172.16.2.2
Submask: 255.255.255.0
Gageway: 172.16.2.1
PC2
IP: 172.16.4.2
Submask: 255.255.255.0
Gageway: 172.16.4.1
Router0
en
conf t
host R0
int fa 0/0
ip address 172.16.1.1 255.255.255.0
no shutdown
exit
int fa 1/0
ip address 172.16.2.1 255.255.255.0
no shutdown
exit
int s 2/0
ip address 172.16.3.1 255.255.255.0
no shutdown
clock rate 64000
Router1
en
conf t
host R1
int s 2/0
ip address 172.16.3.2 255.255.255.0
no shutdown
exit
int fa 0/0
ip address 172.16.4.1 255.255.255.0
no shutdown
Router0
exit
ip route 172.16.4.0 255.255.255.0 172.16.3.2
Router1
exit
ip route 0.0.0.0 0.0.0.0 172.16.3.1
end
show ip route
PC0
ping 172.16.4.2 (success)
PC1
ping 172.16.4.2 (success)
Router0
access-list 1 deny 172.16.2.0 0.0.0.255
access-list 1 permit 172.16.1.0 0.0.0.255
int s 2/0
ip access-group 1 out
end
（或者按照以下命令配置
ip access-list standard 5ijsj
permit 172.16.1.0 0.0.0.255
deny 172.16.2.0 0.0.0.255 (如果有上面的permit 默认跟一个deny，所以此命令可不写)
int s 2/0
ip access-group 5ijsj out
end
）
PC0
ping 172.16.4.2 (success)
PC1
ping 172.16.4.2 (Replay from 172.16.2.1: Destination host unreachable)
4、练习二 扩展ACL的配置
新建 Packet Tracer 拓扑图
（1）分公司出口路由器与外路由器之间通过V.35电缆串口连接，DCE端连接在R1上，配置其时钟频率64000；主机与路由器通过交叉线连接。
（2）配置PC机、服务器及路由器接口IP地址。
（3）在各路由器上配置静态路由协议，让PC间能相互ping通，因为只有在互通的前提下才涉及到访问控制列表。
（4）在R1上配置编号的IP扩展访问控制列表。
（5）将扩展IP访问列表应用到接口上。
（6）验证主机之间的互通性。
图9.2 练习二实验拓扑图
练习二网络拓扑图如下：
PC0
IP: 172.16.1.2
Submask: 255.255.255.0
Gateway: 172.16.1.1
Server0
IP: 172.16.4.2
Submask: 255.255.255.0
Gateway: 172.16.4.1
Router0
en
conf t
host R0
int fa 0/0
ip address 172.16.1.1 255.255.255.0
no shutdown
exit
int fa 1/0
ip address 172.16.2.1 255.255.255.0
no shutdown
exit
Router1
en
conf t
host R1
int fa 1/0
ip address 172.16.2.2 255.255.255.0
no shutdown
exit
int s 2/0
ip address 172.16.3.1 255.255.255.0
no shutdown
clock rate 64000
Router2
en
conf t
host R2
int s 2/0
ip address 172.16.3.2 255.255.255.0
no shutdown
exit
int fa 0/0
ip address 172.16.4.1 255.255.255.0
no shutdown
Router0
ip route 0.0.0.0 0.0.0.0 172.16.2.2
Router2
exit
ip route 0.0.0.0 0.0.0.0 172.16.3.1
Router1
exit
ip route 172.16.1.0 255.255.255.0 172.16.2.1
ip route 172.16.4.0 255.255.255.0 172.16.3.2
end
show ip route
PC0
ping 172.16.4.2 (success)
Web浏览器：http://172.16.4.2 (success)
Router1
conf t
access-list 100 permit tcp host 172.16.1.2 host 172.16.4.2 eq www
access-list 100 deny icmp host 172.16.1.2 host 172.16.4.2 echo
int s 2/0
ip access-group 100 out
end
PC0
Web浏览器：http://172.16.4.2 (success)
ping 172.16.4.2 (Reply from 172.16.2.2: Destination host unreachable)