动态ACL的配置

一、实验拓扑

 

说明：R2、R3为内网，R4为外网，默认允许所有telent通过，一位内要使用telnet做认证，然后只有当认证通过之后，ICMP才可以通过

	F0/0	E1/0
R1	10.1.88.1	14.1.88.1
R2	10.1.88.2	/
R3	10.1.88.3	/
R4	/	14.1.88.4

1.配置Dynamic ACL

（1）配置默认不需要认证就可以通过的数据telnet

R1(config)#access-list 100 permit tcp any any eq telnet

（2）配置认证之后才能通过的数据，如ICMP，绝对时间为2分钟

R1(config)#access-list 100 dynamic ccie timeout 2 permit icmp any any

（3）应用ACL

R1(config)#interface fastEthernet 0/0

R1(config-if)#ip access-group 100 in

2.测试访问

（1）测试内网R2telnet外网R4

 

可见，telnet不受限制

（2）测试内网R2ping外网R4

 

可见，内网没有认证之前ICMP无法通过

3.配置本地用户数据库

R1(config)#username ccie password cisco

4.配置所有人的用户名具有访问功能

R1(config)#line vty 0 181

R1(config-line)#login local

R1(config-line)#autocommand access-enable

5.内网R2做认证

 

当telnet路由器认证成功之后，是会被关闭会话的

6.测试内网到外网的ICMP通信功能

 

可见，认证通过之后，ICMP被放行

7.查看ACL状态

 

可见，动态允许的流量已放行