实验八 利用IP标准访问列表进行网络流量的控制

实验八利用IP标准访问列表进行网络流量的控制【实验名称】编号的标准IP访问列表。【实验目的】掌握路由器上编号的标准IP访问列表规则及配置。【背景描述】你是一个公司的网络管理员，公司的经理部、财务部门和销售部门分属不同的3个网段，三部门之间用路由器进行信息传递，为了安全起见，公司领导要求销售部门不能对财务部门进行访问，但经理部可以对财务部门进行访问。PC1代表经理部的主机，PC2代表销售部门的主机、PC3代表财务部门的主机。【技术原理】IPACL（IP访问控制列表或IP访问列表）是实现对流经路由器或交换机的数据包根据一定的规则进行过滤，从而提高网络可管理性和安全性。IPACL分为两种：标准IP访问列表和扩展IP访问列表。标准IP访问列表可以根据数据包的源IP地址定义规则，进行数据包的过滤。扩展IP访问列表可以根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，进行数据包的过滤。IPACL基于接口进行规则的应用，分为：入栈应用和出栈应用。入栈应用是指由外部经该接口进行路由器的数据包进行过滤。出栈应用是指路由器从该接口向外转发数据时进行数据包的过滤。IPACL的配置有两种方式：按照编号的访问列表，按照命名的访问列表。标准IP访问列表编号范围是1~99、1300~1999，扩展IP访问列表编号范围是100~199、2000~2699。【实现功能】实现网段间互相访问的安全控制。【实验设备】R1762路由器（两台）、V.35线缆（1条）、直连线或交叉线（3条）【实验拓扑】【实验步骤】步骤31.基本配置。Router1基本配置Red-GiantenableRed-Giant#configureterminalRed-Giant(config)#hostnameRouter1Router1(config)#interfacefastEthernet1/0Router1(config-if)#ipadd172.16.1.1255.255.255.0Router1(config-if)#noshutdownRouter1(config-if)#interfacefastEthernet1/1Router1(config-if)#ipadd172.16.2.1255.255.255.0Router1(config-if)#noshutdownRouter1(config-if)#interfaceserial1/2Router1(config-if)#ipadd172.16.3.1255.255.255.0Router1(config-if)#clockrate64000Router1(config-if)#noshutdownRouter1(config-if)#end测试命令：showipinterfacebrief。Router1#showipintbrief!观察接口状态InterfaceIP-Address(Pri)OK?Statusserial1/2172.16.3.1/24YESUPserial1/3noaddressYESDOWNFastEthernet1/0172.16.1.1/24YESUPFastEthernet1/1172.16.2.1/24YESUPNull0noaddressYESUPRouter2基本配置Red-GiantenableRed-Giant#configureterminalRed-Giant(config)#hostnameRouter2Router2(config)#interfacefastEthernet1/0Router2(config-if)#ipadd172.16.4.1255.255.255.0Router2(config-if)#noshutdownRouter2(config-if)#exitRouter2(config-if)#interfaceserial1/2Router2(config-if)#ipadd172.16.3.1255.255.255.0Router2(config-if)#noshutdownRouter2(config-if)#end测试命令：showipinterfacebrief。Router2#showipintbrief!观察接口状态InterfaceIP-Address(Pri)OK?Statusserial1/2172.16.3.2/24YESUPserial1/3noaddressYESDOWNFastEthernet1/0172.16.4.1/24YESUPFastEthernet1/1noaddressYESDOWNNull0noaddressYESUP配置静态路由Router1(config)#iproute172.16.4.0255.255.255.0serial1/2Router2(config)#iproute172.16.1.0255.255.255.0serial1/2Router2(config)#iproute172.16.2.0255.255.255.0serial1/2测试命令：showiproute。Router1#showiproute!查看路由表信息Codes:C-connected,S-static,R-RIPO-OSPF,IA-OSPFinterareaN1-OSPFNSSAexternaltype1,N2-OSPFNSSAexternaltype2E1-OSPFexternaltype1,E2-OSPFexternaltype2*-candidatedefaultGatewayoflastresortisnosetC172.16.1.0/24isdirectlyconnected,FastEthernet1/0C172.16.1.1/32islocalhost.C172.16.2.0/24isdirectlyconnected,FastEthernet1/1C172.16.2.1/32islocalhost.C172.16.3.0/24isdirectlyconnected,serial1/2C172.16.3.1/32islocalhost.S172.16.4.0/24isdirectlyconnected,serial1/2Router2#showiprouteCodes:C-connected,S-static,R-RIPO-OSPF,IA-OSPFinterareaN1-OSPFNSSAexternaltype1,N2-OSPFNSSAexternaltype2E1-OSPFexternaltype1,E2-OSPFexternaltype2*-candidatedefaultGatewayoflastresortisnosetS172.16.1.0/24isdirectlyconnected,serial1/2S172.16.2.0/24isdirectlyconnected,serial1/2C172.16.3.0/24isdirectlyconnected,serial1/2C172.16.3.2/32islocalhost.C172.16.4.0/24isdirectlyconnected,FastEthernet1/0C172.16.4.1/32islocalhost.步骤32.配置标准IP访问控制列表。Router2(config)#access-list1deny172.16.2.00.0.0.255!拒绝来自172.16.2.0网段的流量通过Router2(config)#access-list1permit172.16.1.00.0.0.255!允许来自172.16.1.0网段的流量通过验证测试：Router2#showaccess-lists1StandardIPaccesslist1includes2items:deny172.16.2.0,wildcardbits0.0.0.255permit172.16.1.0,wildcardbits0.0.0.255步骤33.把访问控制列表在接口下应用。Router2(config)#interfacefastEthernet1/0Router2(config-if)#ipaccess-group1out!在接口下访问控制列表出栈流量调用验证测试：Router2#showipinterfacefastEthernet1/0FastEthernet1/0IPinterfacestateis:UPIPinterfacetypeis:BROADCASTIPinterfaceMTUis:1500IPaddressis:172.16.4.1/24(primary)IPaddressnegotiateis:OFFForwarddirect-boardcastis:ONICMPmaskreplyis:ONSendICMPredirectis:ONSendICMPunreachabledis:ONDHCPrelayis:OFFFastswitchis:ONRoutehorizontal-splitis:ONHelpaddressis:0.0.0.0ProxyARPis:ONOutgoingaccesslistis1.!查看访问列表在接口上的应用Inboundaccesslistisnotset.步骤34.验证测试。ping（172.16.2.0网段的主机不能ping通172.16.4.0网段的主机；172.16.1.0网段的主机能ping通172.16.4.0网段的主机）。【注意事项】*1、注意在访问控制列表的网络掩码是反掩码。*2、标准控制列表要应用在尽量靠近目的地址的接口。【参考配置】Router1#showrunning-config!查看路由器1的全部配置Buildingconfiguration...Currentconfiguration:544bytes!version8.32(building53)hostnameRouter1!!interfaceserial1/2ipaddress172.16.3.1255.255.255.0clockrate64000!interfaceserial1/3clockrate64000!interfaceFastEthernet1/0ipaddress172.16.1.1255.255.255.0duplexautospeedauto!interfaceFastEthernet1/1ipaddress172.16.2.1255.255.255.0duplexautospeedauto!interfaceNull0!iproute172.16.4.0255.255.255.0serial1/2!linecon0lineaux0linevty04login!endRouter2#showrunning-config!查看路由器2的全部配置Buildingconfiguration...Currentconfiguration:641bytes!version8.32(building53)hostnameRouter2!access-list1deny172.16.2.00.0.0.255access-list1permit172.16.1.00.0.0.255!interfaceserial1/2ipaddress172.16.3.2255.255.255.0!interfaceserial1/3clockrate64000!interfaceFastEthernet1/0ipaccess-group1outipaddress172.16.4.1255.255.255.0duplexautospeedauto!interfaceFastEthernet1/1duplexautospeedauto!interfaceNull0!iproute172.16.1.0255.255.