實驗五 訪問控制列表

1、實驗五、訪問控制列表5.1實驗目的 1熟悉路由器的包過濾的核心技術：訪問控制列表。2. 掌握訪問控制列表的相關知識。3. 掌握訪問控制列表的應用，靈活設計防火墻。5.2 設備需求(1) 2臺路由器。(2) 12臺交換機(可選)。(2) 25臺PC機。(3) 2根Console控制臺電纜(一端接交換機Console端口，一端接PC機串口)。(4) 2根V.35電纜。5.3 實驗環(huán)境圖5-1 訪問控制列表配置實驗5.4實驗內(nèi)容和步驟1. 基本訪問控制列表(序號為20002999)基本訪問控制列表只使用數(shù)據(jù)包的源地址來判斷數(shù)據(jù)包，所以它只能以源地址來區(qū)分數(shù)據(jù)包，源相同而目的不同的數(shù)據(jù)包也只能采取同一

2、種策略。所以利用標準訪問控制列表，我們只能粗略的區(qū)別對待網(wǎng)內(nèi)的用戶群，那些主機能訪問外部網(wǎng)，那些不能。在實驗環(huán)境中，我們?nèi)绻辉试SIP地址為的主機PCA訪問外部網(wǎng)絡，則只需在路由器上進行如下配置即可。(1) 配置訪問控制列表 在路由器RTA上配置：進入超級終端，進入路由器的系統(tǒng)視圖。RTA firewall enableRTA interface GigabitEthernet0/0RTA-GigabitEthernet0/0 ip address 202.0.0.1 24RTA-GigabitEthernet0/0 interface Serial5/0RTA-Serial5/0 ip ad

3、dress 192.0.0.1 24RTA-Serial5/0 quitRTA ripRTA-rip-1 RTA-rip-1 network 202.0.0.0RTA-rip-1 quit允許IP地址是的特定主機訪問外部網(wǎng)絡，而禁止該網(wǎng)段的其他主機訪問外部網(wǎng)絡。RTA acl number 2001RTA-acl-basic-2001 rule permit source 202.0.0.2 .0RTA-acl-basic-2001 rule deny source 202.0.0.2 .255RTA-acl-basic-2001 quitRTA interface Serial5/0RTA-

4、Serial5/0 firewall packet-filter 2001 outboundRTA display ip routing-tableRouting Tables: Public Destinations : 8 Routes : 8Destination/Mask Proto Pre Cost NextHop Interface 在路由器RTB上配置：RTA interface GigabitEthernet0/0RTA-GigabitEthernet0/0 ip address 202.0.1.1 24RTA-GigabitEthernet0/0 interface Seri

5、al5/0RTA-Serial5/0 ip address 192.0.0.2 24RTA-Serial5/0 quitRTA rip / 啟動路由協(xié)議RTA-rip-1 RTA-rip-1 network 202.0.1.0RTA-rip-1 quit(2) 驗證訪問控制列表的作用在PCA主機(IP地址是：)的命令窗口，Ping PCD主機(IP地址是：202.0.1.2)：Ping 202.0.1.2 應該能Ping 通，而在主機PCB(IP地址是：202.0.0.3，若實驗中僅有2臺PC機，則需將PCA主機的IP地址改為202.0.0.3)的命令窗口，Ping PCD主機，則不能Ping

6、 通。2. 擴展訪問控制列表 (序號為30003999)擴展訪問控制列表不僅使用數(shù)據(jù)包的源地址作為判斷條件，還使用目的地址、協(xié)議號為判斷條件。所以它可以更加詳細的區(qū)分數(shù)據(jù)包，更好的控制用戶訪問。下面我們先應用擴展訪問控制列表來完成前面標準訪問控制列表完成的功能，以便比較。在路由器上的具體配置如下： (1) 配置訪問控制列表在路由器RTA上配置：RTA firewall enableRTAacl number 3000 match configRTA-acl-adv-3000 rule 1 permit ip source 202.0.0.2 .0 destination 202.0.1.0 .

7、255RTA-acl-adv-3000 rule deny ip source 202.0.0.0 RTA-acl-adv-3000quitRTA int Serial5/0RTA-Serial5/0 firewall packet-filter 3000 outbound / 使訪問列表在S0口生效RTA-Serial5/0 quitRTA RTA rip在路由器RTB上配置： 與標準訪問控制列表的RTB的配置相同，即只需配置E0口和S0口的IP地址，以及啟動動態(tài)路由RIPRTA rip 啟動路由協(xié)議Router-rip network 192.0.0.0Router-rip network 202.0.1.0(2) 驗證訪問控制列表的作用在PCA主機 (IP地址是：)的命令窗口，Ping PCD主機(IP地址是：202.0.1.2)：Ping 202.0.1.2 應該能Ping 通，而在主機PCB(IP地址是：202.0.0.3