一、实验知识总结（模拟）

实验一：ACL配置实验案例

实验拓扑图（在Section 9实验基础上进行）：

要求1：不允许VLAN 10的主机访问VLAN 20（传统标准ACL）

① 如果写在三层交换机的vlan 10的出方向：

三层交换机配置（由于过滤，通信被强行禁止）：

Switch>en

Switch#conf t

Switch(config)#access-list 1 deny 192.168.20.0 0.0.0.255

Switch(config)#int vlan 10

Switch(config-if)#ip access-group 1 out

Switch(config-if)#exit

Switch(config)#access-list 1 permit any #思科设备默认拒绝所有，所以务必要配置这条命令

② 如果写在三层交换机的vlan 10的入方向：

Switch(config)#access-list 1 deny 192.168.10.0 0.0.0.255

Switch(config)#access-list 1 permit any

Switch(config)#int vlan 10

Switch(config-if)#ip access-group 1 in

注：配置后，VLAN 20也不能访问VLAN 10。

同理，①如果配置三层交换机的VLAN 20的入方向：

Switch(config)#access-list 1 deny 192.168.20.0 0.0.0.255

Switch(config)#access-list 1 permit any

Switch(config)#int vlan 20

Switch(config-if)#ip access-group 1 in

②如果配置三层交换机的VLAN 20的出方向：

Switch(config)#access-list 1 deny 192.168.10.0 0.0.0.255

Switch(config)#access-list 1 permit any

Switch(config)#int vlan 20

Switch(config-if)#ip access-group 1 out

要求2：不允许VLAN 10的主机访问VLAN 20，也不允许访问网管VLAN 8（命名标准ACL)

配置三层交换机的VLAN 10的出方向：

Switch(config)#ip access-list standard vlan10

Switch(config-std-nacl)#10 deny 192.168.20.0 0.0.0.255

Switch(config-std-nacl)#20 permit any

Switch(config-std-nacl)#exit

Switch(config)#int vlan 10

Switch(config-if)#ip access-group vlan10 out

Switch(config-if)#exit

Switch(config)#ip access-list standard vlan10

Switch(config-std-nacl)#15 deny 192.168.8.0 0.0.0.255

要求3：不允许VLAN 10的主机去向DHCP服务器自动获取ip地址（传统扩展ACL）

配置三层交换机的VLAN 10的入方向：

Switch(config)#access-list 100 deny udp any eq 68 any eq 67

Switch(config)#int vlan 10

Switch(config-if)#ip access-group 100 in

Switch(config-if)#exit

Switch(config)#access-list 100 permit ip any any

要求4：不允许VLAN 10的主机访问web服务器（命名扩展ACL）

Switch(config)#ip access-list extended v10

Switch(config-ext-nacl)#10 deny tcp any host 192.168.100.3 eq 80

Switch(config-ext-nacl)#20 permit ip any any

Switch(config-ext-nacl)#exit

Switch(config)#int vlan 10

Switch(config-if)#no ip access-group vlan10 in

Switch(config-if)#ip access-group v10 in

要求5：不允许VLAN 10的主机访问DNS服务（命名扩展ACL）

Switch(config)#ip access-list extended v10

Switch(config-ext-nacl)#15 deny udp any host 192.168.100.2 eq 53

总结：

1. 思科设备配置ACL

（1）传统标准ACL（编号1-99）

命令格式：access-list ACL编号 {deny | permit} 源IP地址通配符掩码

（2）传统扩展ACL（编号100-199）

命令格式：access-list ACL编号 {deny | permit} 协议源IP地址通配符掩码目的IP地址通配符掩码 $operator$ $port$

（3）命名标准ACL

命令格式： ip access-list standard ACL名称

$规则编号$ {deny | permit} 源IP地址通配符掩码

（4）命名扩展ACL

命令格式： ip access-list extended ACL名称

$规则编号$ {deny | permit} 协议源IP地址通配符掩码目的IP地址通配符掩码 $operator$ $port$

2. 华为设备配置ACL

（1）传统标准ACL（2000-2999）

命令格式：# 创建ACL（系统视图）

acl $number$ ACL编号

进入ACL视图并添加规则（ACL视图）

rule $rule-id$ {deny | permit} source {源IP地址 | any} $源IP掩码$

退出ACL视图（回到系统视图）

quit

将ACL应用到接口（接口视图）

interface 接口类型接口编号

traffic-filter {inbound | outbound} acl $acl-number$

（2）传统扩展ACL（编号3000-3999）

命令格式：# 创建ACL（系统视图）

acl $number$ ACL编号

进入ACL视图并添加规则（ACL视图）

rule $rule-id$ {deny | permit} protocol source {源IP地址 | any} $源IP掩码$ destination {目的IP地址 | any} $目的IP掩码$ $destination-port {equal \| greater-than \| less-than} 端口号$

退出ACL视图（回到系统视图）

quit

将ACL应用到接口（接口视图）

interface 接口类型接口编号

traffic-filter {inbound | outbound} acl $acl-number$

（3）命名标准ACL

命令格式：# 创建命名标准ACL并进入ACL视图（系统视图）

acl name ACL名称 $number$ ACL编号

添加规则（ACL视图）

rule $rule-id$ {deny | permit} source {源IP地址 | any} $源IP掩码$

退出ACL视图（回到系统视图）

quit

将ACL应用到接口（接口视图）

interface 接口类型接口编号

traffic-filter {inbound | outbound} acl name ACL名称

（4）命名扩展ACL

命令格式：# 创建命名扩展ACL并进入ACL视图（系统视图）

acl name ACL名称 $number$ ACL编号

添加规则（ACL视图）

rule $rule-id$ {deny | permit} protocol source {源IP地址 | any} $源IP掩码$ destination {目的IP地址 | any} $目的IP掩码$ $destination-port {equal \| greater-than \| less-than} 端口号$