擴展ACL

拓撲圖

Addressing Table

地址表

Device	Interface	IP Address	Subnet Mask	Default Gateway
R1	Fa0/1	172.134.1.1	255.255.255.0	N/A
	S0/0/0	172.134.12.1	255.255.255.0	N/A
	Fa0/0	172.134.2.1	255.255.255.0	N/A
R2	S0/0/0	172.134.12.2	255.255.255.0	N/A
	S0/0/1	172.134.23.2	255.255.255.0	N/A
R3	Fa0/0	172.134.3.3	255.255.255.0	N/A
	S0/0/1	172.134.23.3	255.255.255.20	N/A
PC-0	NIC	172.134.1.100	255.255.255.0	172.134.1.1
PC-1	NIC	172.134.2.100	255.255.255.0	172.134.2.1
Server-0	NIC	172.134.3.100	255.255.255.0	172.134.3.3

 

1.測試網絡聯通

 主機0 ping服務器0

服務器0ping主機1

2.實驗步驟

要求：

拒絕PC1 所在網段訪問Server 172.16.3.100 的Web 服務

 拒絕PC2 所在網段訪問Server 172.16.3.100 的Ftp 服務

 拒絕PC1 所在網段訪問Server 172.16.3.100 的SQL 服務

 拒絕PC1 所在網段訪問路由器R3 的Telnet 服務

 拒絕PC2 所在網段訪問路由器R2 的Web 服務

 拒絕PC1 和PC2 所在網段ping Server 服務器

 只容許路由器R3 以接口s0/0/1 爲源ping 路由器R2 的接口s0/0/1 地址，而不容許路

由器R2 以接口s0/0/1 爲源ping 路由器R3 的接口s0/0/1 地址，即單向ping.

 

配置路由器

R1(config)#access-list 110 remark this is an example for extended acl

//添加備註，增長可讀性

R1(config)#access-list 110 deny tcp 172.134.1.0 0.0.0.255 host 172.134.3.100 eq 80

//拒絕PC1 所在網段訪問Server 172.134.3.100 的Web 服務

 

R1(config)#access-list 110 deny tcp 172.134.2.0 0.0.0.255 host 172.134.3.100 eq 21

R1(config)#access-list 110 deny tcp 172.134.2.0 0.0.0.255 host 172.134.3.100 eq 20

//拒絕PC2 所在網段訪問Server 172.134.3.100 的Ftp 服務

R1(config)#access-list 110 deny tcp 172.134.1.0 0.0.0.255 host 172.134.3.100 eq

1433

//拒絕PC1 所在網段訪問Server 172.134.3.100 的SQL 服務

 

R1(config)#access-list 110 deny tcp 172.134.1.0 0.0.0.255 host 172.134.23.3 eq 23

R1(config)#access-list 110 deny tcp 172.134.1.0 0.0.0.255 host 172.134.3.3 eq 23

//拒絕PC1 所在網段訪問路由器R3 的Telnet 服務

 

R1(config)#access-list 110 deny tcp 172.134.2.0 0.0.0.255 host 172.134.12.2 eq 80

R1(config)#access-list 110 deny tcp 172.134.2.0 0.0.0.255 host 172.134.23.2 eq 80

//拒絕PC2 所在網段訪問路由器R2 的Web 服務

 

R1(config)#access-list 110 deny icmp 172.134.1.0 0.0.0.255 host 172.134.3.100

R1(config)#access-list 110 deny icmp 172.134.2.0 0.0.0.255 host 172.134.3.100

//拒絕PC1 和PC2 所在網段ping Server 服務器

R1(config)#access-list 110 permit ip any any

R1(config)#int s0/0/0

R1(config-if)#ip access-group 110 out //接口下應用ACL

（二）配置路由器R3

R3(config)#access-list 120 deny icmp host 172.134.23.2 host 172.134.23.3 echo

R3(config)#access-list 120 permit ip any any

R3(config)#int s0/0/1

R3(config-if)#ip access-group 120 in

 

路由器R1 上查看ACL110

 

路由器R3 和路由器R2 互相ping

 

路由器R3 查看ACL 120

配置命令擴展ACL

R3(config)#ip access-list extended acl120

R3(config-ext-nacl)#deny icmp host 172.16.23.2 host 172.16.23.3 echo

R3(config-ext-nacl)#permit ip any any

R3(config-ext-nacl)#int s0/0/1

R3(config-if)#ip access-group acl120 in

R3#show ip access-lists