数据通信网络组建与维护(项目式教学课件) 项目6 网络的访问控制实施.ppt

如果在访问控制列表中有的话 应用条件 拒绝 允许 更多条目？ 列表中的下一个条目 否 有访问控制列表吗？ 源地址 不匹配 是 匹配 是 否 Icmp消息 转发数据包 标准访问控制列表 标准访问控制列表的配置 第一步，使用access-list命令创建访问控制列表 第二步，使用ip access-group命令把访问控制列表应用到某接口 Router(config)#access-list access-list-number { permit | deny } source [ source- wildcard ] [log] Router(config-if)#ip access-group access-list-number { in | out } 第三步，测试 1．显示所有或指定表号的ACL 的内容 Show access-lists[acl-number]/name acl-name] 2．查看某物理端口是否应用了ACL show ip interface 任务一：标准ACL应用1（允许特定源的流量） Fa0/0 Fa1/0 S0 loopback 3 PC1 PC2 接口ip地址 Router(config)# inte loopback 0 Router(config-if)#ip addr Router(config-if)#no shut Router(config)# inte fa0/0 Router(config-if)#ip addr Router(config-if)#no shut Router(config)# inte fa1/0 Router(config-if)#ip addr Router(config-if)#no shut 标准ACL应用（允许特定源的流量） 第一步，创建允许来自的流量的ACL 第二步，应用到接口fa0/0和fa1/0的出方向上 Router(config)#access-list 1 permit 55 Router(config)#interface fastethernet 0/0 Router(config-if)#ip access-group 1 out Router(config)#interface fastethernet 1/0 Router(config-if)#ip access-group 1 out 测试 在路由器上ping两台PC机。 Ping Ping 均能ping 通 注意 取消访问控制列表的应用，两个步骤 首先取消其应用在某个端口，如：no ip access-group 1 out 其次，还可以删除访问控制列表，如access-list 1 可用命令Show access-lists\show ip interface进行验证配置的正确性 任务二：标准ACL应用（拒绝特定主机的通信流量） Fa0/0 Fa1/0 S0 loopback 3 PC1 PC2 标准ACL应用：拒绝特定主机的通信流量 第一步，创建拒绝来自3的流量的ACL 第二步，应用到接口fa1/0的入方向 Router(config)#access-list 1 deny host 3 Router(config)#access-list 1 permit 55 Router(config)#interface fastethernet 1/0 Router(config-if)#ip access-group 1 in any 测试 在PC2上测试PC1与FA0/0端口 不通 任务三：标准ACL应用（拒绝特定子网的流量） Fa0/0 Fa1/0 S0 loopback 3 PC1 PC2 标准ACL应用：拒绝特定子网的流量 第一步，创建拒绝来自子网的流量的ACL 第二步，应用到接口fa0/0的出方向 Router(config)#access-list 1 deny 55 Router(config)#access—list 1 permit any Router(config)#interface fastethernet 0/0 Router（config-if）#ip access-group 1 out 55 测试 在pc2上ping fa0/0,pc1 能ping 通fa0/0,不能ping 通pc1，为什么？ 在pc1上ping fa1/0,pc2 能ping 通fa1/0,不能ping 通pc2，为什么？ 目录 扩展访问控制列表的配置 扩展访问控制列表的配置