實驗內容

1. 配置ACL禁止192.168.3.0/24網段的icmp協議資料包通向與192.168.1.0/24網段
2. 配置ACL禁止特點的協議埠通訊：
   
   1. 禁止192.168.2.10訪問web（禁止網段與禁止單個之間的區別）
   2. 禁止192.168.2.20訪問DNS

ACL（訪問控制列表）介紹

1. 應用在路由器介面的指令列表
2. 指定哪些資料報可以接收、哪一些需要拒絕
3. 相對網路介面來說，從網路上流入該介面的資料包，為入站資料流。對入站資料流的過濾控制稱為入站訪問控制。
4. 從網路介面流出的網路資料包，稱為出站資料流。出站訪問控制是對出站資料流的過濾控制。

路由器配置（圖形介面配置）

首先關閉路由器電源，向路由器中配置兩個高速串列埠 WIC-2T

開啟路由器電源，並連線線路
接下來配置路由器埠網段,注意Port Status 選擇on，設定速率匹配

設定預設閘道器，即路由器與主機網段的介面，注意閘道器應該與主機所在網段在一個網段

主機和伺服器配置

設定PC主機的IP地址，子網掩碼，閘道器和DNS服務地址

域名伺服器配置

注意在這裡要開啟DNS服務

伺服器配置

配置RIP協議

1. 在路由器上配置rip協議，就是將路由器相鄰的網段配置到路由器裡
2. 新增rip協議的命令： router rip
3. Network w.x.y.z

4. 注意：如果不是C類網段，可能需要使用version 2模式，宣告路由資訊時攜帶子網掩碼

   下面以對Router0進行RIP配置
   Router>en
Router#conf t
Router(config)#router rip
Router(config-router)#Network 192.168.3.0
Router(config-router)#Network 192.168.4.0
Router(config-router)#Network 192.168.5.0
Router(config-router)#end

   
   在配置完之後可以通過命令 sh ip route 檢視配置情況
   當三個路由器全部配置好後，可以互相ping通
   
   當然也可以通過瀏覽器訪問伺服器
   

   配置ACL禁止192.168.3.0/24網段的icmp協議資料包通向與192.168.1.0/24網段

   拓展ACL配置過程

   • 建立ACL
     Router(config)# access-list access-list-number { permit | deny } protocol source source-wildcard [operator port] destination destination-wildcard [ operator port ] [ established ] [log]

   • 將ACL繫結到指定埠
     Router(config-if)# ip access-group access-list-number { in | out }

   • 注意
     access-list-number 要選擇在100以上的數字
     in 表示入站訪問控制
     out表示出站訪問控制
     “no access-list access-list-number” 命令刪除指定號碼的ACL
     “no ip access-group access-list-number” 命令在特定介面禁用ACL
     “sh access-lists”可以檢視某臺路由上ACL配置情況

Router>en
Router#conf t
Router(config)#access-list 101 deny icmp 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255
Router(config)#access-list 101 permit ip any any 
Router(config)#int fa0/0
Router(config-if)#ip access-group 101 in

配置好之後，192.168.3.0網段應該就無法ping通192.168.1.0網段

但是仍然可以通過瀏覽器訪問網址（沒有禁止TCP、UDP）

禁止192.168.2.2訪問web（禁止網段與禁止單個的區別）；禁止192.168.2.3訪問DNS

Router>en
Router#conf t
Router(config)#access-list 101 deny tcp host 192.168.2.10 192.168.1.0 0.0.0.255 eq www
Router(config)#access-list 101 deny udp host 192.168.2.20 192.168.1.0 0.0.0.255 eq 53
Router(config)#access-list 101 permit  ip any any 
Router(config)#int fa0/0
Router(config-if)#ip access-group 101 out

• 設定好之後，主機192.168.2.10無法通過瀏覽器訪問192.168.1.0網段
  
  
• 主機192.168.2.20 無法通過域名訪問192.168.1.0網段，但可以通過輸入IP地址的方式在瀏覽器中訪問