路由器ACL.docVIP

实验五 路由器访问控制列表ACL配置 实验目的及要求： 理解路由器中重要的安全控制技术——访问控制列表的工作原理，对路由器IP访问控制列表ACL进行配置与监测，掌握配置使用编号的标准IP访问控制列表与扩展IP访问控制列表。 实验设备： 1. 带Cisco IOS 10.0以上版本的Cisco路由器2台； 2. RJ45-to-RJ45 rollover cable（反转线）2根、RJ45-DB9 Adapter（转换头）2个，用于将路由器console口与PC机COM口相连； 3. RJ45-to-RJ45 crossover cable（RJ45交叉线）2根，用于将路由器以太接口与PC机以太接口相连； 4. V.35（一种同步串行传输标准）DTE线缆、V.35 DCE线缆各1根，用于将2台路由器异步/同步serial串行接口相连； 5. 带9针COM口的PC机2台。 实验方法： 1. 实验前预先阅读实验讲义课文，理解访问控制列表ACL的工作原理与配置及监测的方法； 2．阅读后附的技术背景文档，熟悉使用访问控制列表的三个步骤及每个步骤使用的命令用法、掌握标准IP访问控制列表与扩展IP访问控制列表各自对报文的过滤能力； 3.按照实验内容给出的步骤，完成对IP访问控制列表的配置和监测，并将获取的信息和配置及监测结果在实验报告中给出；验证所做配置是否能正常工作。 实验内容： 1、配置和引用标准IP访问控制列表 如下图，先连接好实验设备，使用erase startup-config命令清除以前配置。并配置好各设备的基本IP地址及静态路由，实现整个拓扑的IP连通性，在此基础上进行IP访问控制列表的配置和监测。 下图中，如实际实验设备的网络端口为100M快速以太网端口，则须改用fa0/0、fa0/1表示，图中的lo为loopback自回环网络端口。 配置访问控制列表：在Router_A上，我们允许从网络来的数据通过，拒绝其他的数据。 Router_A# conf t Enter configuration commands, one per line. End with CNTL/Z. Router_A(config)# access-list 1 permit 55 //设定访问控制列表； Router_A(config)# interface s0/0 Router_A(config-if)# ip access-group 1 in //应用到端口，这一步总在上一步设定访问表之后。去除访问表时则相反； Router_A(config-if)# end Router_A# 以下为显示的左边路由器A及右边路由器B的配置： Router_A …… interface Serial0/0 ip address ip access-group 1 in //所有从s0/0进入的数据包都经过这个表的过滤； ! interface Ethernet0/0 ip address ip classless ！ access-list 1 permit 55 ！ //定义访问表规则，此处只允许一个网络通过； //注意：这儿紧跟着隐含有一个省略的语句：deny any any； …… Router_B …… interface Loopback0 ip address ! interface Serial0/0 no switchport ip address ! interface Ethernet0/0 no switchport ip address no keepalive //使该端口在不接设备时，也被激活； 接着，监测标准访问控制列表，使用路由器上扩展的ping命令： Router_B# ping Protocol [ip]: //回车确认默认值； Target IP address: //输入目标地址； Repeat count [5]: Datagram size [100]: Timeout in seconds [2]: //回车确认以上三项； Extended commands [n]: y //输入yes，使用扩展?ping命令； Source address or interface: //指定数据包发出的地方； Type of service [0]: Set DF bit in IP header? [no]: Validate reply data? [no]: Data pattern [0xABCD]: Loose, Strict, Re