ACL配置练习

覃浩

发布于：2020年3月4日

网络安全

字数：2.1k字

时长：9分钟

次浏览

为了增强网络的安全性，可以通过防火墙禁止未经授权或可能存在危险的访问进入网络。ACL包过滤技术就是一种被广泛应用于防火墙的网络安全技术。

任务

基础配置任务

1 2	（1）按图中所示配置各计算机、服务器、路由器对应端口的IP地址相关信息；（2）在路由器R0、R1、R2上启动rip v2协议，使得全网互通。

ACL配置任务

1
2

（1）禁止PC0 ping通外网，允许PC2 ping通外网；（标准acl，序号1）
（2）禁止PC2访问服务器Server0的web服务，但可以ping通服务器Server0。（扩展acl，序号101）

实现步骤

1、如图所示，全网由内网1、内网2及ISP（运营商网络：模拟互联网）组成，首先配置各计算机、服务器、路由器对应端口的IP地址相关信息，使用show ip route、ping命令测试网络并记录输出信息。

" class="lazyload" data-srcset="" srcset="data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAAAEAAAABCAYAAAAfFcSJAAAABGdBTUEAALGPC/xhBQAAADhlWElmTU0AKgAAAAgAAYdpAAQAAAABAAAAGgAAAAAAAqACAAQAAAABAAAAAaADAAQAAAABAAAAAQAAAADa6r/EAAAAC0lEQVQIHWNgAAIAAAUAAY27m/MAAAAASUVORK5CYII=" class="lazyload" data-srcset="" srcset="data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAAAEAAAABCAYAAAAfFcSJAAAABGdBTUEAALGPC/xhBQAAADhlWElmTU0AKgAAAAgAAYdpAAQAAAABAAAAGgAAAAAAAqACAAQAAAABAAAAAaADAAQAAAABAAAAAQAAAADa6r/EAAAAC0lEQVQIHWNgAAIAAAUAAY27m/MAAAAASUVORK5CYII=

设备名称	接口	IP地址	网关
R0	Fa0/0	192.168.22.254/24
R0	Se0/3/0	58.1.1.1/30
R1	Fa0/0	192.168.18.254/24
R1	Se0/3/0	210.28.144.2/30
R2	Se0/1/0	58.1.1.2/30
R2	Se0/0/0	210.28.144.1/30
Server0		192.168.18.250/24	192.168.18.254/24
PC0		192.168.22.10/24	192.168.22.254/24
PC2		192.168.22.20/24	192.168.22.254/24
PC3		192.168.18.10/24	192.168.18.254/24
PC5		192.168.18.20/24	192.168.18.254/24

基础配置

Router0配置Fa0/0端口

R0> enable													#进入特权模式
R0# config terminal											#进入全局模式
R0(config)# interface fastEthernet 0/0						#进入Fa0/0端口
R0(config-if)# ip address 192.168.22.254 255.255.255.0		#配置IP和子网掩码
R0(config-if)# no shutdown									#开启端口
R0(config-if)# exit											#退回Fa0/0端口

Router0配置Se0/3/0端口

1 2	R0(config)# interface serial 0/3/0 #配置se0/3/0端口 R0(config-if)# ip address 58.1.1.1 255.255.255.252 #配置IP和子网掩码

Router2配置Se0/1/0端口

R2> enable													#进入特权模式
R2# config terminal											#进入全局模式
R2(config)# interface serial 0/1/0							#进入se0/1/0端口
R2(config-if)# ip address 58.1.1.2 255.255.255.252			#配置IP和子网掩码
R2(config-if)# no shutdown 									#开启端口
R2(config-if)# exit											#退出se0/1/0端口

Router2配置Se0/0/0端口

R2(config)# interface serial 0/0/0							#进入se0/0/0端口
R2(config-if)# ip address 210.28.144.1 255.255.255.252		#配置IP和子网掩码
R2(config-if)# no shutdown									#开启端口
R2(config-if)# exit											#退出se0/0/0端口

Router1配置Se0/3/0端口

R1> enable													#进入特权模式
R1# config terminal											#进入全局模式
R1(config)# interface serial 0/3/0							#进入se0/3/0端口
R1(config-if)# ip address 210.28.144.2 255.255.255.252		#配置IP和子网掩码
R1(config-if)# no shutdown									#配置IP和子网掩码
R1(config-if)# exit											#退出se0/3/0端口

Router1配置Fa0/0端口

1
2
3

R1(config)# interface fastEthernet 0/0						#进入Fa0/0端口
R1(config-if)# ip address 192.168.18.254 255.255.255.0		#配置IP和子网掩码
R1(config-if)# no shutdown									#配置IP和子网掩码

Router0路由表

Router1路由表

Router2路由表

PC0 ping PC5

全网互通（RIP配置)

R0:RIP 2配置

R0(config)# router rip								#启动rip协议
R0(config-router)# version 2						#指定rip v2版本
R0(config-router)# no auto-summary					#关闭路由器自动汇总功能
R0(config-router)# network 192.168.22.0				#宣告自己的网段
R0(config-router)# network 58.1.1.1					#宣告自己的网段
R0(config-router)# exit								#退出rip配置模式

R1:RIP 2配置

R1(config)# router rip								#启动rip协议
R1(config-router)# version 2						#指定rip v2版本
R1(config-router)# no auto-summary					#关闭路由器自动汇总功能
R1(config-router)# network 192.168.18.0				#宣告自己的网段
R1(config-router)# network 210.28.144.2				#宣告自己的网段
R1(config-router)# exit								#退出rip配置模式

R2:RIP 2配置

R1(config)# router rip								#启动rip协议
R1(config-router)# version 2						#指定rip v2版本
R1(config-router)# no auto-summary					#关闭路由器自动汇总功能
R1(config-router)# network 58.1.1.2					#宣告自己的网段
R1(config-router)# network 210.28.144.1				#宣告自己的网段
R1(config-router)# exit								#退出rip配置模式

Router0路由表

Router1路由表

Router2路由表

PC0 ping PC5

R0配置标准ACL

1	在R0上配置标准ACL，禁止PC0 ping PC5,允许PC2 ping PC5,请思考需采用几条ACL，应用于R0那个端口、什么方向;配置完毕后，PC0 ping PC5显示什么信息？

配置ACL

1 2	R0(config)# access-list 1 permit host 192.168.22.20 #允许主机192.168.22.20的数据包 R0(config)# access-list 1 deny any #拒绝其他所有的数据包

接口及方向

1 2	R0(config)# interface serial 0/3/0 #进入接口se0/3/0端口 R0(config-if)# ip access-group 1 out #将指定的访问列表应用到se0/3/0接口的入方向

PC0 ping PC5

PC0 PING PC3能通吗，为什么？

解析：PC0 不能ping通PC3，因为我们配置了标准acl，在R0的进方向就已经将PC0发出的数据包拒绝了，我们设置了在192.168.22.0/24中只允许192.168.22.20发出的数据，其他主机无法向外网发送数据。

PC2 ping PC5 能通吗，为什么？

1	PC2可以ping通PC5.因为我们写的acl配置就是运行主机PC2访问外网，而且由于之前我们写了RIP，保证了全网互通，所以PC2可以ping通PC5。

R0配置拓展ACL

在R0上配置扩展ACL，禁止PC2访问服务器WEB服务，但是可以ping通服务器，请思考需采用几条ACL，应用于R0那个端口、什么方向;配置完毕后，PC0访问服务器WEB服务显示什么信息？

配置ACL

1
2

R0(config)# access-list 101 deny tcp host 192.168.22.20 0.0.0.0 192.168.18.250 eq www 		#拒绝主机192.168.22.20向主机192.168.18.250的www请求
R0(config)# access-list 101 permit ip any any 			#允许访问列表101的任意IP通过控制列表

端口及方向

R0(config)# interface fastEthernet 0/0				#进入Fa0/0端口
R0(config-if)# ip access-group 101 in				#将指定的访问列表应用到Fa0/0接口的入方向
--------------------------------------------------------------------------------------
解析：根据ACL的放置原则，拓展ACL应放置在尽可能靠近需要过滤的流量源的位置上，所以应该选择接口R0的Fa0/0接口。由于要检查的数据流是从接口Fa0/0流入的，所以检查方向为“in”。

PC0访问服务器WEB服务

思考题

对于标准型ACL，应该放在网络什么位置；而对于扩展型ACL，又应该放在网络什么位置？

1 2	标准ACL不指定目的地址，所以其位置应该尽可能靠近目的地。根据ACL的放置原则，拓展ACL应放置在尽可能靠近需要过滤的流量源的位置上。

在IP访问列表中，如果到最后也没有找到匹配，则传输数据包将如何处理？（以cisco为例）

1	如果都不匹配，那么一定匹配最后的隐含拒绝条目，思科默认拒绝。

你该如何安排访问列表中条目顺序？

①最小特权原则。只给受控对象完成任务所必需的最小的权限，因为总规则是各个规则的交集，只满足部分条件的是不容许通过的。
②最靠近受控对象原则。检查规则时是采用自上向下的形式在ACL中逐条检测的，只要发现符合条件的就立刻转发，不再继续检测后面的ACL语句。
③默认丢弃原则。如果都不匹配，那么一定匹配最后的隐含拒绝条目，思科默认拒绝。
④拓展ACL中具体的判别条目放在前面，标准ACL按照主机、网络、any排序。

更新于：2021年12月30日

移动网络发展与技术笔记

移动通信基础的学习笔记第一代移动通信（1G)采用模拟技术的语言移动通信，提供9.6Kbit/s的通信带宽，接入技术采用FDMA。缺点12345- 频谱利用率低- 系统容量有限- 抗干扰能...

计算机网络基础知识

计算机网络基础知识，简单介绍了IP地址，TCP与UDP，路由器以及VPN等相关知识。 1IPv4中的v是英文version的缩写，表示版本。 1IP地址一共有32位，用点分十进制表...