扩展访问控制列表

《扩展访问控制列表》由会员分享，可在线阅读，更多相关《扩展访问控制列表（13页珍藏版）》请在金锄头文库上搜索。

1、扩展访问控制列表扩展访问控制列表 CISCOCISCO 之之 CCNACCNA 篇之七（篇之七（3 3） 2009-06-28 15:48:09标签：访问 列表 CCNA 休闲 CISCO 版权声明：原创作品，谢绝转载！否则将追究法律责任。 在在访问控制列表（访问控制列表（ACLACL）简介）简介 CISCOCISCO 之之 CCNACCNA 篇之七（篇之七（1 1）这篇文章中我们已经这篇文章中我们已经提到了标准的访问列表，下面就用两个实例来详细介绍下具体的应用。提到了标准的访问列表，下面就用两个实例来详细介绍下具体的应用。 扩展访问控制列表语法：扩展访问控制列表语法： Lab(config)

2、#access-listLab(config)#access-list 100-199100-199 permit/denypermit/deny 协议协议 源源 IPIP 源源 IPIP 反码反码 目标目标 IPIP 目标目标 IPIP 反码反码 条件条件eqeq 具体协议具体协议/ /端口号端口号 举个语法实例，便于大家理解：举个语法实例，便于大家理解： Lab(config)#access-listLab(config)#access-list 101101 denydeny tcptcp 192.168.1.10192.168.1.10 0.0.0.00.0.0.0 172.16.1.

3、2172.16.1.2 0.0.0.00.0.0.0 eqeq telnettelnet 或或 Lab(config)#access-listLab(config)#access-list 101101 denydeny tcptcp hosthost 192.168.1.10192.168.1.10 hosthost 172.16.1.2172.16.1.2 eqeq 2323 注意：只禁用某个服务（或某个端口）需要把其他设置打开注意：只禁用某个服务（或某个端口）需要把其他设置打开 Lab(config)#access-listLab(config)#access-list 101101 p

4、ermitpermit ipip anyany anyany Lab(config)#intLab(config)#int fa0/0fa0/0 ( (绑定到接口上绑定到接口上) ) Lab(config-if)#ipLab(config-if)#ip class-groupclass-group 101101 inin 注：注：eqeq 等于；等于；gtgt 大于；大于；ltlt 小于；小于；neqneq 不等于。不等于。扩展扩展 ACLACL 实验一：只禁用实验一：只禁用 PC0PC0 对外网服务器（对外网服务器（Server0Server0）的）的 httphttp 访问访问 具体是实验

5、拓扑图如下图具体是实验拓扑图如下图Server0Server0 充当外网服务器，它需要的配置如下充当外网服务器，它需要的配置如下，为其开启，为其开启 DNSDNS 服务，添加域名服务，添加域名然后再为其开启然后再为其开启 HTTPHTTP 服务，随便输入一些粗糙的网页内容，见下图标注处，服务，随便输入一些粗糙的网页内容，见下图标注处，路由器路由器 R1R1 需要的配置（基本的需要的配置（基本的 IPIP 配置见上图）配置见上图） r1r1 r1enr1en r1#shr1#sh runrun BuildingBuilding configuration.configuration. Curre

6、ntCurrent configurationconfiguration : : 460460 bytesbytes ! ! versionversion 12.212.2 nono serviceservice password-encryptionpassword-encryption ! ! hostnamehostname r1r1 ！ ipip sshssh versionversion 1 1 ! ! interfaceinterface FastEthernet0/0FastEthernet0/0 ipip addressaddress 192.168.1.1192.168.1.

7、1 255.255.255.0255.255.255.0 ipip access-groupaccess-group 101101 inin duplexduplex autoauto speedspeed autoauto ! ! interfaceinterface FastEthernet0/1FastEthernet0/1 ipip addressaddress 202.106.1.1202.106.1.1 255.255.255.0255.255.255.0 duplexduplex autoauto speedspeed autoauto ! ! ipip classlesscla

8、ssless ! ! access-listaccess-list 101101 denydeny tcptcp hosthost 192.168.1.2192.168.1.2 hosthost 202.106.1.2202.106.1.2 eqeq wwwwww access-listaccess-list 101101 permitpermit ipip anyany anyany ! ! lineline concon 0 0 lineline vtyvty 0 0 4 4 loginlogin ! ! endend 实验结果，先来看下面的图，打开实验结果，先来看下面的图，打开“WEB“

9、WEB 浏览器浏览器”，先在先在 PC0PC0 上进行域名访问，连接不上，上进行域名访问，连接不上，然后再在然后再在 PC1PC1 上进行域名访问，成功进入我们自己设置的网页界面，上进行域名访问，成功进入我们自己设置的网页界面，通过这个测试，我们成功的禁用了通过这个测试，我们成功的禁用了 PC0PC0 对外网服务器（对外网服务器（Server0Server0）的）的 HTTPHTTP 访问访问 ，下面我们再举一例，介绍扩展，下面我们再举一例，介绍扩展 ACLACL 的应用。的应用。扩展扩展 ACLACL 实验二：只禁用实验二：只禁用 PC1PC1 对对 R2R2 的的 PINGPING 操作操

10、作 具体的实验拓扑图如下：具体的实验拓扑图如下：路由器路由器 R1R1 的配置如下：的配置如下： r1r1 r1enr1en r1#r1# shsh runrun BuildingBuilding configuration.configuration. CurrentCurrent configurationconfiguration : : 639639 bytesbytes ! ! versionversion 12.212.2 nono serviceservice password-encryptionpassword-encryption ! ! hostnamehostname

11、r1r1 ! ! ipip sshssh versionversion 1 1 ! ! interfaceinterface FastEthernet0/0FastEthernet0/0 ipip addressaddress 192.168.1.1192.168.1.1 255.255.255.0255.255.255.0 ipip access-groupaccess-group 101101 inin duplexduplex autoauto speedspeed autoauto ! ! interfaceinterface FastEthernet0/1FastEthernet0/

12、1 nono ipip addressaddress duplexduplex autoauto speedspeed autoauto shutdownshutdown ! ! interfaceinterface Serial0/0Serial0/0 ipip addressaddress 172.16.1.1172.16.1.1 255.255.255.0255.255.255.0 clockclock raterate 6400064000 ! ! interfaceinterface Serial0/1Serial0/1 nono ipip addressaddress shutdo

13、wnshutdown ! ! ipip classlessclassless ! ! ! ! access-listaccess-list 101101 denydeny icmpicmp hosthost 192.168.1.2192.168.1.2 hosthost 172.16.1.2172.16.1.2 echoecho access-listaccess-list 101101 denydeny icmpicmp hosthost 192.168.1.2192.168.1.2 hosthost 172.16.1.2172.16.1.2 echo-replyecho-reply acc

14、ess-listaccess-list 101101 permitpermit ipip anyany anyany ! ! lineline concon 0 0 lineline vtyvty 0 0 4 4 loginlogin ! ! endend 路由器路由器 R2R2 的配置如下：的配置如下： r2r2 r2enr2en r2#r2# shsh runrun BuildingBuilding configuration.configuration. CurrentCurrent configurationconfiguration : : 463463 bytesbytes ! !

15、 versionversion 12.212.2 nono serviceservice password-encryptionpassword-encryption ! ! hostnamehostname r2r2 ! ! ipip sshssh versionversion 1 1 ! ! interfaceinterface FastEthernet0/0FastEthernet0/0 nono ipip addressaddress duplexduplex autoauto speedspeed autoauto shutdownshutdown ! ! interfaceinterface FastEthernet0/1FastEthernet0/1 nono ipip addressaddress duplexduplex autoauto speedspeed autoauto shutdownshutdown ! ! interf