标准与扩展ACL实验
一标准访问控制列表实验：
实验拓扑：
实验目的：掌握标准与扩展ACL的配置
实验要求：拒绝R1到R3的所有流量
实验步骤：
步骤1 按如上拓扑做好底层配置，并检测相邻设备之间的连通性
步骤2起静态路由，使全网互通
R1(config)#ip route 10.1.1.64 255.255.255.252 10.1.1.2
R3(config)#ip route 10.1.1.0 255.255.255.252 10.1.1.65
步骤3在R3上做标准的ACL使R1不能访问R3
R3(config)#access-list 1 deny 10.1.1.1 0.0.0.0
或者使用命令
R3(config)#access-list 1 deny host 10.1.1.1
因为访问控制列表默认有一个拒绝所有的隐含条目，所以需要在最后加入一条：
R3(config)#access-list 1 permit any
标准ACL要放置在离目标近的地方，所以配置在R3的S1的入向上面：
R3(config)#int s1
R3(config-if)#ip access-group 1 in
二 扩展访问控制列表实验：
实验拓扑：
实验目的：掌握扩展访问控制列表的配置
掌握如何使用扩展的访问控制列表实现网络的安全性
实验要求：拒绝任何来自192.168.1.0网络的icmp流量
只有PC1可以访问FTP服务器
实验步骤：步骤1按如上拓扑在做好底层配置，在三台路由器上启RIPv2协议，使之互通
R1(config)#router rip
R1(config-router)#version 2
R1(config-router)#no auto-summary
R1(config-rotuer)#network 10.0.0.0
R1(config-rotuer)#network 172.16.0.0
R2(config)#router rip
R2(config-router)#version 2
R2(config-router)#no auto-summary
R2(config-rotuer)#network 10.0.0.0
R3(config)#router rip
R3(config-router)#version 2
R3(config-router)#no auto-summary
R3(config-rotuer)#network 10.0.0.0
R3(config-router)#network 192.168.1.0
步骤3在R3上做扩展的ACL，拒绝来自192.168.1.0网络的icmp流量
R3(config)#access-list 102 deny icmp 192.168.1.0 0.0.0.255 any
R3(config)#access-list 102 permit ip any any
R3(config)#int e0
R3(config-if)ip access-group 102 in
步骤4在R1上做扩展的ACL使得只有PC1可以访问FTP服务器
注意FTP使用两个端口号，20与21：
R1(config)#access-list 110 permit tcp 192.168.1.1 0.0.0.0 172.16.1.2 0.0.0.0 eq 21
R1(config)#access-list 110 permit tcp 192.168.1.1 0.0.0.0 172.16.1.2 0.0.0.0 eq 20
R1(config)#int s0
R1(config-if)#ip access-group 110 in
三 命名的访问控制列表试验：
实验需求与拓扑图通上，将访问控制列表转换成命名的ACL：
R3(config)#ip access-list extended deny_icmp
R3(config-ext-nacl)#deny icmp 192.168.1.0 0.0.0.255 any
R3(config-ext-nacl)#permit ip any any
R3(config)#int e0
R3(config-if)#ip access-group deny_icmp in
R1(config)#ip access-list extended deny_ftp
R1(config-ext-nacl)#permit tcp 192.168.1.1 0.0.0.0 172.16.1.2 0.0.0.0 eq 20
R1(config-ext-nacl)#permit tcp 192.168.1.1 0.0.0.0 172.16.1.2 0.0.0.0 eq 21
R1(config)#int s0
R1(config-if)#ip access-group deny_ftp in
命名ACL的最大优点在于可以修改其中任意一条，而使用编号的ACL则不能。
四：使用ACL对vty线路进行限制：
实验拓扑：
实验需求：在Router的VTY线路上通过ACL限制访问
只有PC1能够远程登录Router
实验步骤：
Router(config)#access-list 1 permit host 172.16.1.3
//因为ACL有隐含拒绝特性，所以不需要显式拒绝PC2
Router(config)#line vty 0 15
Router(config-line)#password stsd
Router(config-line)#login
Router(config-line)#access-class 1 in
