实训九 扩展ACL配置与调试.docVIP

实训九　扩展ACL配置与调试 1．实训目标 在这个实训中，我们将在思科路由器上配置扩展ACL。通过该实训我们可以进一步了解ACL的定义和应用，并且掌握扩展ACL的配置和调试。 2．实训拓扑 实训的拓扑结构如图1所示。 图1? ACL实训拓扑结构 3．实训要求 根据图1，设计扩展ACL，在R1路由器上禁止PC2所在网络的http请求和所有的telnet请求，但仍能互相ping通。 4．实训步骤 ⑴、⑵、⑶、⑷步骤同实训13的操作完全相同，限于篇幅的限制，再这里就不一一讲述了。 ⑸ 分别在R1和R2上启动HTTP服务： R1(config)#ip http server R2(config)#ip http server ⑹ 在R1路由器上禁止PC2所在网络的http请求和所有的telnet请求，但允许能够互相ping通： ①在R1路由器上配置ACL： R1(config)# access-list 101 deny tcp 55 55 eq www R1(config)# access-list 101 deny tcp any any eq 23 R1(config)# access-list 101 permit ip any any R1(config)#interface s0/0 R1(config-if)#ip access-group 101 in ②测试上述配置： A．在PC2上访问的WWW服务，结果是无法访问。 B．在PC2上访问的WWW服务，结果如图2所示。 图2? 在PC2上访问路由器R1的s0/0的结果 【问题1】：为什么在PC2上访问同一个路由器的不同端口，会出现不同的结果？ C. 在PC2上远程登录和的结果如图3所示。 图3? 从PC2上telnet到路由器R1的不同的接口 D. 从PC2上ping和的结果如4所示。 【问题2】：为什么在C和D的测试结果却是相同的？ ③查看定义ACL列表： R1#show access-lists Extended IP access list 101 ??? deny tcp 55 55 eq www (12 matches) ??? deny tcp any any eq telnet (224 matches) permit ip any any (122 matches) 【问题3】：为什么我们定义ACL标号没有延续实训13的标号选为3，而是101？ 【问题4】：“any”代表什么含义？ 【问题5】：如果想拒绝PC2到主机的FTP服务，应该怎样定义ACL？ 图4? 从PC2上ping到路由器R1的不同的接口 5．实训问题参考答案 【问题1】：这是由我们所定义的ACL决定的，“access-list 101 deny tcp 55 55 eq www”的含义是拒绝网络到网络的http请求，并没有拒绝到网络的http请求，所以访问可以成功，而访问却被拒绝。 【问题2】：同样是由我们的ACL引起的，“access-list 101 deny tcp any any eq 23” 和 “access-list 101 permit ip any any”两条语句的源和目的都是“any”,也就是全部的，当然访问的结果是一样的。 【问题3】：因为扩展ACL标号的范围是100-199。 【问题4】：“any”代表“ 55”。 【问题5】：access-list 101 deny tcp host host eq 21