Cisco PT模擬實驗(17) 路由器IP訪問控制列表配置

實驗目的：

理解兩種IP訪問控制列表的原理及功能

掌握常見IP訪問控制列表的配置方法

實驗背景：

公司的經理部、財務部們和銷售部門分屬於不同的3個網段，三部門之間用路由器進行信息傳遞，為了安全起見，公司領導要求銷售部門不能對財務部進行訪問，但經理部可以對財務部進行訪問。

技術原理：

• 路由器能提供防火墻的功能，根據一些預設置的ACL過濾規則對任何經過接口的流量進行過濾，說明哪些具體的通信(來自設備、協議或端口等)是被允許或拒絕，該功能是通過路由器的訪問控制列表功能實現的。

• 訪問/接入控制列表(Access Control List, ACL) ，或稱包過濾，一種基於路由器或交換機接口的指令列表，用來控制端口進出的數據包，即入站（Inbound）或出站（Outbound）過濾，其主要作用如下：

  • 限制網絡流量、提高網絡性能

  • 提供對通信流量的控制手段，提高帶寬利用率

  • 提供網絡安全訪問的基本手段

  • 在路由器端口處決定哪種類型的通信流量被轉發或被阻塞

• ACL適用於所有的網絡層協議，如IP、IPX等協議，其中IP ACL應用極為普遍，主要有兩種類型：

  • IP標準ACL，表號範圍為1 ~ 99及1300~1999，只能檢查數據包的源地址，功能有較大局限性；

  • IP擴展ACL，表號範圍為100 ~ 199及2000~2699，不僅可檢查數據包的源地址和目的地址，還可根據指定的協議類型或端口號進行過濾，功能更強，應用非常廣泛。

• ACL列表由一條條ACL語句組成，每一個ACL列表都有對應標號或名字，作為接口引用ACL的索引，當一個分組經過路由器時，路由器將自頂而下逐個對分組信息與ACL語句進行比較，ACL語句排列順序至關重要：

  • 前提：該接口啟用了ACL及出入站規則，則將對出/入站的數據包進行比較；

  • 若第一條語句匹配成功，則不再處理其他語句，路由器將允許（Permit）或拒絕（Deny）分組通過；

  • 若不匹配，則與下一條ACL語句比較，直到匹配成功並進行允許或拒絕處理；

  • 若整個ACL列表中沒有匹配的語句，則分組將默認被丟棄/拒絕；

• 根據IP ACL列表索引的不同，其配置命令格式可分為 access-list 和 ip access-list 兩種，前者只能用表號作為ACL標識符，後者可使表號或名字作為ACL標識符。使用名字可不受取值範圍的限制。

  • IP標準ACL命令：access-list 表號 {permit/deny} 源地址 反掩碼

  • IP擴展ACL命令：access-list 表號 {permit/deny} 協議類型 源地址 反掩碼 [源端口限制] 目的地址 反掩碼 [目的端口限制]

• 進入可命名的ACL配置模式下：ip access-list {standard/extended} {表號/表名}

Router(config-std-acl)#{permit/deny} 源地址 反掩碼

Router(config-ext-acl)#{permit/deny} 協議類型 源地址 反掩碼 [源端口限制] 目的地址 反掩碼 [目的端口限制]

• 出入站規則配置命令：ip access-group {表號/表名} {in/out}

實驗設備：Router-PT 2臺；PC 2臺，Server 1臺；交叉線，串口線。

實驗拓撲：

實驗步驟：

新建Cisco PT 拓撲圖

為各PC及Server設置IP及網關地址，其中網關地址分別為路由接口的IP地址

對各Router進行相關配置(接口IP、時鐘頻率等)

為各Router配置靜態路由和默認路由

測試並確保各終端(PC、Server)之間的互通性

在Router0上配置基於編號的IP標準ACL

在Router1上配置基於命名的IP擴展ACL

查看路由器上訪問控制列表的配置信息

驗證不同局域網PC、Server之間的相互通信

PC0 設置
192.168.1.2
//子網掩碼和網關
255.255.255.0
192.168.1.1

PC1 設置
192.168.2.2
//子網掩碼和網關
255.255.255.0
192.168.2.1

Server0 設置
192.168.3.2
//子網掩碼和網關
255.255.255.0
192.168.3.1

/*=Part1  Router0 基本配置  */ 
Router>enable
Router#conf t
Router(config)#inter f0/0                 //進入第0模塊第0端口（快速以太網接口）
Router(config-if)#ip address 192.168.1.1 255.255.255.0    //配置f0/0接口IP
Router(config-if)#no shutdown             //開啟端口
Router(config-if)#exit
Router(config)#inter f1/0                 //進入第1模塊第0端口（快速以太網接口）
Router(config-if)#ip address 192.168.2.1 255.255.255.0    //配置f1/0接口IP
Router(config-if)#no shutdown             //開啟端口
Router(config-if)#exit
Router(config)#interface serial 2/0       //進入第2模塊第0端口（串行接口）
Router(config-if)#ip address 10.10.254.1 255.255.255.0    //配置s2/0接口IP
Router(config-if)#clock rate 64000        //必須配置時鐘才可通信
Router(config-if)#no shutdown             //開啟端口
Router(config-if)#exit
/*=Part2  靜態路由配置  */ 
Router(config)#ip route 192.168.3.0 255.255.255.0 10.254.10.2
/*=Part3  IP標準ACL配置  */
Router(config)#access-list 20 permit 192.168.1.0 0.0.0.255    
//允許192.168.1.0網段內的數據包通過
Router(config)#access-list 20 deny 192.168.2.2 0.0.0.0    
//拒絕特定192.168.2.2的數據包通過
Router(config)#access-list 20 permit any
//一般在ACL列表末尾需配置permit any語句，否則任何沒有匹配到的數據包都會被丟棄    
Router(config)#inter s2/0        
Router(config-if)#ip access-group 20 out    
//在s2/0接口的出站規則上啟用此ACL列表
Router(config-if)#^Z
Router#show r
Router#show access-lists

/*=Part1  Router1 基本配置  */ 
Router>enable
Router#conf t
Router(config)#inter f0/0                 //進入第0模塊第0端口（快速以太網接口）
Router(config-if)#ip address 192.168.3.1 255.255.255.0    //配置f0/0接口IP
Router(config-if)#no shutdown             //開啟端口
Router(config-if)#exit
Router(config)#interface serial 2/0       //進入第2模塊第0端口（串行接口）
Router(config-if)#ip address 10.10.254.2 255.255.255.0    //配置s2/0接口IP
Router(config-if)#no shutdown             //開啟端口
Router(config-if)#exit
/*=Part2  靜態路由配置  */
Router(config)#ip route 0.0.0.0 0.0.0.0 10.254.10.1
/*=Part3  IP擴展ACL配置  */
Router(config)#ip access-list extended ACL001
Router(config-ext-nacl)#deny icmp 192.168.1.0 0.0.0.255 any echo-reply
Router(config-ext-nacl)#deny tcp 192.168.1.2 0.0.0.0 any eq telnet
Router(config-ext-nacl)#deny tcp host 192.168.1.2  any eq ftp
Router(config-ext-nacl)#permit ip any any
Router(config-ext-nacl)#permit tcp any any
Router(config)#inter s2/0        
Router(config-if)#ip access-group ACL001 out    
//在s2/0接口的出站規則上啟用此ACL列表
Router(config-if)#^Z
Router#show r
Router#show access-lists

# PC0 ACL測試
ping 192.168.1.1                  //鏈路通
ping 10.254.10.2                  //鏈路通
ping 192.168.3.2                  //鏈路不通
訪問 http://192.168.3.2               //訪問成功
# PC1 ACL測試
ping 192.168.2.1                  //鏈路通
ping 10.254.10.1                  //鏈路不通
ping 192.168.3.2                  //鏈路不通
訪問 http://192.168.3.2               //訪問失敗

實驗環境： Windows 7，Cisco PT 7.0

參考資料：CCNA學習指南（第7版）

Cisco PT模擬實驗(17) 路由器IP訪問控制列表配置