计算机网络工程实训张纯容郑向阳1实训82扩展ACL的配置与管理课件教学.pptVIP

实训8.2 扩展ACL的配置与管理 扩展ACL理论基础 第一部分 扩展ACL 的概念与作用 扩展ACL是对标准ACL功能上的扩展，其不仅可以基于源和目标IP地址数据包的测试，还可基于协议类型和TCP端口号进行数据包的测试，从而较标准的ACL提供了更强大的包过滤功能和设置上的灵活性 扩展ACL通常用于下列情况 指定源和目标地址的包过滤 指定协议类型的包过滤 指定传输层端口号的包过滤 扩展ACL列表的定义 Router(config)#access-list access-list-number{permit | deny} protocol source [source-mask destination destination-mask operator operand] [established] [precedence priority] [tos type of service] 扩展ACL列表的接口配置 Router(config-if)#ip access-group access-list-number {in | out} 命名方式的扩展ACL 定义扩展的命名ACL的命令格式如下： Router(config)# ip access-list extended name 扩展命名ACL的接口配置 Router(config-if)# ip access-group name{in | out}} 实训环境 实训环境 每一实验小组采用如图8.3的网络环境 需两台路由器、两台台带windows 95/98/2000/xp操作系统，超级终端仿真软件的PC机 路由器之间以串行链路连接,其中Router_A充当DCE，Router_B充当DTE 充当超级终端的计算机以反接线（rollover cable）连接路由器的控制端口 配置 第二部分 准备 按下列要求配置IP地址： 路由器接口IP地址： Router_A: F0/0为 F0/1为 Router_B: F0/0为 另外，配置主机： 在网络中配置一台IP地址为的主机 配置路由协议 允许或拒绝来自某一特定主机的访问 实例：绝从主机来的telnet数据包和ICMP数据包到达网络 选择路由器A配置 Router_A(config)#access-list 101 deny tcp host 55 eq telnet Router_A (config)#access-list 101 deny icmp host 55 Router_A (config)#access-list 101 permit ip any any Router_A #show access-list 101 Router_A (config)# interface f0/0 Router_A (config-if)# ip access-group 101 in Router_A #show running-config 利用PING命令或其他你认为可行的方法测试所设置的ACL是否与需求一致。 允许或拒绝来自某一特定主机的访问 实例：除来自主机的WWW数据包之外，拒绝所有的其他数据包到达网络 选择路由器A Router(config)#access-list 102 permit tcp host 55 eq www Router(config)#access-list 102 deny ip any any Router#show access-list 102 Router(config)# interface f0/0 (请思考为何选择此端口?) Router(config-if)# ip access-group 102 in (请思考为何选择in?) Router#show running-config 在主机上建立www服务器或者打开路由器B的WWW服务功能 从IP地址为的主机访问 或者的www服务器 允许或拒绝来自某一网络或子网络的访问 实例：拒绝所有从网络来的FTP数据包和ICMP数据包到达网络 选择路由器A（请学生思考为什么？） Router(config)#access-list 103 deny icmp 55 55 Router(config)#access-list 103 deny tcp 55 55 eq ftp Router(config)#access-list 103 permit ip any any Router