1、實驗二十五 配置標(biāo)準(zhǔn)IP ACL【實驗名稱】 配置標(biāo)準(zhǔn)IP ACL。 【實驗?zāi)康摹?使用標(biāo)準(zhǔn)IP ACL實現(xiàn)簡單的訪問控制。 【背景描述】 某公司網(wǎng)絡(luò)中，行政部、銷售部門和財務(wù)部門分別屬于不同的3個子網(wǎng)，3個子網(wǎng)之間使用路由器進行互聯(lián)。行政部所在的子網(wǎng)為172.16.1.0/24，銷售部所在的子網(wǎng)為172.16.2.0/24，財務(wù)部所在的子網(wǎng)為172.16.4.0/24?？紤]到信息安全的問題，要求銷售部門不能對財務(wù)部門進行訪問，但行政部可以對財務(wù)部門進行訪問。 【需求分析】 標(biāo)準(zhǔn)IP ACL可以根據(jù)配置的規(guī)則對網(wǎng)絡(luò)中的數(shù)據(jù)進行過濾。 【實驗拓撲】 【實驗設(shè)備】 1、用戶自定義2621路由器2臺

2、2、PC機3臺【預(yù)備知識】 路由器基本配置、標(biāo)準(zhǔn)IP ACL原理及配置。 IP地址表設(shè)備名接口IP地址子網(wǎng)掩碼RT1S0/0192.168.1.1255.255.255.0F0/0172.16.1.1255.255.255.0F0/1172.16.2.1255.255.255.0RT2S0/0192.168.1.2255.255.255.0F0/0172.16.4.1255.255.255.0行政部PC1 172.16.1.2255.255.255.0銷售部PC2172.16.2.2255.255.255.0財務(wù)部PC3172.16.4.2255.255.255.0【實驗原理】 標(biāo)準(zhǔn)IP AC

3、L可以對數(shù)據(jù)包的源IP地址進行檢查。當(dāng)應(yīng)用了ACL的接口接收或發(fā)送數(shù)據(jù)包時，將根據(jù)接口配置的ACL規(guī)則對數(shù)據(jù)進行檢查，并采取相應(yīng)的措施，允許通過或拒絕通過，從而達到訪問控制的目的，提高網(wǎng)絡(luò)安全性。 【實驗步驟】 步驟1 R1基本配置。 R1#configure terminal R1 (config)#interface fastEthernet 1/0 R1 (config-if)#ip address 172.16.1.1 255.255.255.0 R1 (config-if)#exit R1 (config)#interface fastEthernet 1/1 R1 (config-

4、if)#ip address 172.16.2.1 255.255.255.0 R1 (config-if)#exit R1 (config)#interface serial 1/2 R1 (config-if)#ip address 172.16.3.1 255.255.255.0 R1 (config-if)#exit 步驟2 R2基本配置。 R2#configure terminal R2 (config)#interface serial 1/2 R2 (config-if)#ip address 172.16.3.2 255.255.255.0 R2 (config-if)#exi

5、t R2 (config)#interface fastEthernet 1/0 R2 (config-if)#ip address 172.16.4.1 255.255.255.0 R2 (config-if)#exit 步驟3 查看R1、R2接口狀態(tài)。 R1#show ip interface brief Interface IP-Address(Pri) OK? Status serial 1/2 172.16.3.1/24 YES UP serial 1/3 no address YES DOWN FastEthernet 1/0 172.16.1.1/24 YES UP FastEt

6、hernet 1/1 172.16.2.1/24 YES UP Null 0 no address YES UP R2#show ip interface brief Interface IP-Address(Pri) OK? Status serial 1/2 172.16.3.2/24 YES UP serial 1/3 no address YES DOWN FastEthernet 1/0 172.16.4.1/24 YES UP FastEthernet 1/1 no address YES DOWN Null 0 no address YES UP 步驟4 在R1、R2上配置靜態(tài)路

7、由。 R1(config)#ip route 172.16.4.0 255.255.255.0 serial 1/2 R2(config)#ip route 172.16.1.0 255.255.255.0 serial 1/2 R2(config)#ip route 172.16.2.0 255.255.255.0 serial 1/2 步驟5 配置標(biāo)準(zhǔn)IP ACL。 對于標(biāo)準(zhǔn)IP ACL，由于只能對報文的源IP地址進行檢查，所以為了不影響源端的其他 通信，通常將其放置到距離目標(biāo)近的位置，在本實驗中是R2的F1/0接口。 R2(config)#access-list 1 deny 172.16.2.0 0.0.0.255 ！拒絕來自銷售部172.16.2.0/24子網(wǎng)的流量通過 R2(config)#access-list 1 permit 172.16.1.0 0.0.0.255 ！允許來自行政部172.16.1.0/24子網(wǎng)的流量通過 步驟6 應(yīng)用ACL。 R2(config)#interface fastEthernet 1/0 R2(config-if)#ip access-group 1 out 步驟7 驗證測試。 在行政