简单了解ACL的工作原理。
掌握ACL的基本配置方法
掌握ACL的常用配置命令
实验过程
任务1:配置基本ACL
本实验任务是通过在路由器上实现基本ACL来禁止pca访问pcb，让学生熟悉基本ACL的配置和功能。
步骤1:建立物理连接
按照图13-1进行连接，检查设备的软件版本和配置信息，确保每台设备的软件版本符合要求，所有配置处于初始状态。如果配置不符合要求，请在用户模式下清除设备中的配置文件，然后重新启动设备，使用默认配置参数初始化系统。
在上述步骤中将使用以下命令:
显示版本
重置保存的配置
重新启动
步骤2:配置IP地址和路由
表13-1 IP地址列表
设备名称接口IP地址网关
RtaS6/0192.168.1.1/24 -
G6/0192.168.0.1/24 -
RtaS6/0192.168.1.2/24 -
G6/0192.168.2.1/24 -
PCA192.168.0.2
PCB 192 . 168 . 2 . 2/24192 . 168 . 2 . 1/24
[rta] int千兆以太网0/0
[RTA-千兆以太网0/0]ip地址192.168.0.1 24
[RTA-千兆以太网0/0]int s6/0
[rta-Serial6/0]ip地址192.168.1.1 24
int千兆以太网0/0
[rt B-千兆以太网0/0]ip地址192.168.2.1 24
[rt b-gigabit Ethernet 0/0]int S6/0
[rtb-Serial6/0]ip地址192.168.1.2 24
学生可以选择在路由器上配置静态路由或动态路由来实现整个网络的互操作性。
[rta]rip
[RTA-rip-1]网络192.168.0.0
[RTA-rip-1]网络192.168.1.0
[rtb]rip
[rt b-rip-1]网络192.168.1.0 0.0.0.255
[rt b-rip-1]网络192.168.2.0
步骤3: ACL应用程序规划
这个实验的目的是让pca无法访问pcb，即PC之间不可达。请考虑如何在网络中应用ACL数据包过滤:
需要什么ACL？
ACL的作用是拒绝还是允许？
ACL规则中的通配符掩码应该是什么？
ACL包过滤应该应用于路由器的哪个接口和哪个方向？
步骤4:配置基本ACL并应用它。
[rta]acl编号2001
[RTA-ACL-basic-2001]规则拒绝来源192.168.0.2 0.0.0.0
[RTA]防火墙启用
[RTA]防火墙默认允许
[rta]int g0/0
[RTA-gigabit Ethernet 0/0]防火墙数据包筛选器2001入站
第五步:验证防火墙的功能并进行检查。
ping PCA上的命令，测试与pcb的可达性，结果如下:
c:文档和设置管理员> ping 192.168.2.2
使用32个字节的数据ping 192 . 168 . 2 . 2:
来自192.168.0.1的回复:目的网络不可达。
来自192.168.0.1的回复:目的网络不可达。
来自192.168.0.1的回复:目的网络不可达。
来自192.168.0.1的回复:目的网络不可达。
192.168.2.2的Ping统计数据:
数据包:发送= 4，接收= 4，丢失= 0，
以毫秒为单位的近似往返时间:
最小值= 0毫秒，最大值= 0毫秒，平均值= 0毫秒
同时，在rta上通过命令行检查ACL和防火墙的状态和统计数据:
[RTA]显示acl 2001
基本ACL 2001，命名-无，1条规则，
ACL的步长是5
规则0拒绝源192.168.0.2 0
可以看出，一些数据包符合ACL中定义的规则。
[RTA]显示防火墙-所有统计信息
防火墙已启用，默认过滤方法是“允许”。
接口:千兆以太网0/0
入站策略:acl 2001
片段匹配正常
从2009年9月6日18:52:58到2009年9月6日18:54:29
0个数据包，0个字节，允许0%，
4个数据包，240字节，100%拒绝，
0数据包，0字节，0%允许默认值，
0个数据包，0个字节，0%拒绝默认值，
总共0个数据包，0个字节，允许0%，
总共4个数据包，240字节，100%拒绝。
可以看到，路由器中启用了防火墙功能，ACL2001用于匹配进入接口G0/0的数据包，过滤方向为入站。
任务2:配置高级ACL
本实验的任务是通过在路由器上实现高级ACL来禁止从pca到网络192.168.2.0的FTP数据流，使学生熟悉高级ACL的配置和功能。
步骤1: ACL应用程序规划
需要什么ACL？
ACL的作用是拒绝还是允许？
ACL规则中的通配符掩码应该是什么？
ACL包过滤应该应用于路由器的哪个接口和哪个方向？
步骤2:配置高级ACL并应用它。
如下定义路由器rta上的ACL:
[rta]acl编号3002
[RTA-ACL-adv-3002]规则拒绝tcp源192.168.0.2 0.0.0目标192.168.2.1 0.0.0.255目标端口eq ftp
[RTA-ACL-adv-3002]规则允许ip源192.168.0.2 0.0.0目标192.168.2.0 0.0.0.255
在rta接口上应用ACL
[RTA-gigabit Ethernet 0/0]防火墙数据包筛选器3002入站
第三步:验证防火墙的功能并进行检查。
c:文档和设置管理员> ping 192.168.2.2
使用32个字节的数据ping 192 . 168 . 2 . 2:
192.168.2.2回复:字节=32时间=20ms TTL=126
192.168.2.2回复:字节=32时间=19ms TTL=126
192.168.2.2回复:字节=32时间=19ms TTL=126
192.168.2.2回复:字节=32时间=19ms TTL=126
192.168.2.2的Ping统计数据:
数据包:发送= 4，接收= 4，丢失= 0，
以毫秒为单位的近似往返时间:
最小值= 19毫秒，最大值= 20毫秒，平均值= 19毫秒
在rta上，您可以通过命令查看ACL和防火墙的状态和统计信息:
[rta]dis acl 3002
高级ACL 3002，命名-无，2条规则，
ACL的步长是5
规则0拒绝tcp源192.168.0.2 0目标192 . 168 . 2 . 0 0 . 0 . 0 . 0 . 255目标端口eq ftp
规则5允许ip源192.168.0.2 0目的地192.168.2.0 0.0.0.255
