实验七标准访问控制列表的配置讲稿.pptVIP

实验七 标准访问控制列表的配置 一、实验目的 1．熟悉访问控制列表的作用 2．进一步理解反掩码的含义及inbound和outbound的区别 3．掌握标准访问控制列表的配置命令 4．熟悉标准访问控制列表的应用 二、实验内容 1．根据下图7-1搭建实验环境 2．启动各路由器的防火墙功能，创建相应的标准访问控制列表 3．将访问控制列表应用到路由器的相应接口上 4．测试网络连通性 图7-1 标准访问控制列表的配置 三、基本知识点 1. 访问控制列表的作用 包过滤技术是在路由器上实现防火墙的一种主要方式，而实现包过滤的核心技术是访问控制列表。 访问控制列表具有“区分数据包”的功能。它可以控制“什么样的数据包”可以做“什么样的事情”。 IP数据包5个元素:源地址、目的地址、协议号、源端口、目的端口。 访问控制列表利用IP数据包的特征来定义规则，以便区分不同的数据包，路由器将在使能访问控制列表的接口上，对所有的数据包进行规则的匹配检查。 三、基本知识点 2. 访问控制列表的分类 按照访问控制列表的用途可以分为四类: 标准的访问控制列表 basic acl 扩展的访问控制列表 advanced acl 基于接口的访问控制列表 interface-based acl 基于MAC地址的访问控制列表 mac-based acl 列表的种类 数字标识的范围 基于接口的访问控制列表 1000～1999 标准的访问控制列表 2000～2999 扩展的访问控制列表 3000～3999 基于MAC地址的访问控制列表 4000～4999 三、基本知识点 3.标准访问控制列表 标准访问控制列表只使用源地址描述规则，表明是允许还是拒绝数据包通过。 从202.110.10.0/24来的数据包可以通过！ 从192.110.10.0/24来的数据包不能通过！ 路由器 三、基本知识点 4.标准访问控制列表的配置命令 配置标准访问控制列表的命令格式如下： acl number acl-number [match-order auto| config ] rule [ rule-id ] permit | deny [ source source-address source-wildcard | any ] 说明： 命令功能：允许或拒绝来自指定网络的数据包，网络由IP地址和反掩码指定。 acl-number为访问控制列表序号，标准访问控制列表的序号范围为2000-2999。 config表示匹配访问列表中的规则时按用户配置的顺序匹配；auto表示匹配规则时按深度优先顺序匹配，即描述地址范围小的规则先匹配。 permit和deny表示如果满足条件则允许或拒绝来自该网络的数据包通过。 source-address和source-wildcard分别为源网络的IP地址和反掩码。 三、基本知识点 5.其它命令 1. 打开或者关闭防火墙—系统视图 firewall enable | disable 2. 设置防火墙的缺省过滤模式—系统视图 firewall default permit|deny 3. 将访问控制列表应用到接口上，指明在接口OUT还是IN方向上有效—接口视图 firewall packet-filter acl-number inbound | outbound 四、实验步骤 （一）配置主机和路由器各端口的配置 （1）依据上图7-1，配置主机A的IP地址为10.65.1.1/24，默认网关为10.65.1.2；配置主机B的IP地址为10.66.1.1/24，默认网关为10.66.1.2；配置主机C的IP地址为10.69.1.1/24，默认网关为10.69.1.2；配置主机D的IP地址为10.70.1.1/24，默认网关为10.70.1.2； （2）配置ROUTER A的E0口IP地址为10.65.1.2/24，E1口IP地址为10.66.1.2/24，S0口IP地址为11.1.1.1/8；配置ROUTER B的E0口IP地址为10.69.1.2/24，E1口IP地址为10.70.1.2/24，S0口IP地址为12.1.1.1/8；配置ROUTER C的S0口IP地址为11.1.1.2/8，S1口IP地址为12.1.1.2/8。 四、实验步骤 （二）各路由器动态路由的配置 （1）在路由器A上，执行“RIP”命令启动RIP路由协议，执行“NETWORK ALL”命令设置其工作网段；重启E0、E1、（二）各路由器动态路由的配置 （1）在路由器A上，执行“RIP”命令启动RIP路由协议，执行“NETWORK ALL”命令设置其工作网段；重启E0、E1、S0口；查看路由器A的路由表信息。