cisco思科交换机试验手册之-实验34使用ACL过滤特定病毒报文

合集下载

CISCO交换机实验手册

交换机实验指导指导: 赖庆平一个VLAN的配置实验要求通过本实验理解并掌握VLAN的原理及其相关配置Switch>enable //一般模式Switch#configure terminal //特权模式Enter configuration commands, one per line. End with CNTL/Z. Switch(config)#interface fastEthernet 0/2 //进入端口Switch(config-if)#switchport mode access //该端口设置成二层模式Switch(config-if)#switchport access vlan 10 //划入VLAN10 Question:在二层交换环境下,VLAN内的用户能相互通信吗?不同VLAN的用户能通信吗?Switch#show vlan //类似一张身份证VLAN Name Status Ports---- -------------------------------- --------- -------------------------------1 default active Fa0/1, Fa0/3, Fa0/4, Fa0/5Fa0/6, Fa0/7, Fa0/8, Fa0/9Fa0/10, Fa0/11, Fa0/12, Fa0/13 Fa0/14, Fa0/15, Fa0/16, Fa0/17 Fa0/18, Fa0/19, Fa0/20, Fa0/21 Fa0/22, Fa0/23, Fa0/242 007 active3 008 active4 switch active5 VLAN0005 active6 VLAN0006 active10 VLAN0010 active Fa0/2一个Trunk的配置实验要求通过本实验掌握VLAN的帧格式,何为中继链路?Switch(config-if)#switchport trunk encapsulation dot1q//2950不配置该项Switch(config-if)#switchport mode accessSwitch(config-if)#switchport mode trunkSwitch(config-if)# switchport trunk allowed vlan 10//只允许 VLAN10通过(默认情况下允许所有VLAN通过. )Question:进入特权下用show vlan 查看该端口(中继链路)在那个VLAN???一个STP的配置实验要求通过本实验掌握如何设置根交换,如何达到负载均衡?Switch(config)#spanning-tree vlan 1 root primary// 某交换机设置成VLAN 1的根交换interface FastEthernet0/23switchport trunk encapsulation dot1qswitchport mode trunkspanning-tree vlan 1 port-priority 32 //优先级是16的倍数spanning-tree vlan 1 cost 200 //COST值可以任意设置spanning-tree vlan 2 port-priority 16spanning-tree vlan 2 cost 100interface FastEthernet0/24switchport trunk encapsulation dot1qswitchport mode trunkspanning-tree vlan 1 port-priority 16spanning-tree vlan 1 cost 100spanning-tree vlan 2 port-priority 32spanning-tree vlan 2 cost 200Switch#show spanningInterface Role Sts Cost Prio.Nbr Type---------------- ---- --- --------- -------- --------------------------------Fa0/1 Desg FWD 19 128.1 P2pFa0/23 Root FWD 19 128.23 P2pFa0/24 Altn BLK 100 16.24 P2pQuestion: 查看(show spanning)是在根交换机上看还是在非根交换机上看呢?如果要达到负载均衡,应该如何去配置呢?如何去检验是否达到均衡了呢?一个VTP的配置实验要求了解VTP的工作环境,检验能否学习到服务端上的配置服务端的配置Switch(config)#vtp mode server //服务端Device mode already VTP SERVER.Switch(config)#vtp password 123456 //秘码Password already set to 123456Switch(config)#vtp domain 123456 //域名Changing VTP domain name from jyy to 123456Switch(config)#vtp version 1 //版本号VTP mode already in V1.Switch(config)#vtp pruning //剪切,减少洪泛Pruning switched on客户端的配置Switch(config)#vtp mode clint //服务端Device mode already VTP CLINTSwitch(config)#vtp password 123456 //秘码Password already set to 123456Switch(config)#vtp domain 123456 //域名Changing VTP domain name from jyy to 123456Switch(config)#vtp version 1 //版本号VTP mode already in V1.Switch(config)#vtp pruning //剪切,减少洪泛Pruning switched onQuestion:客户端和服务端连接端口应该如何配置呢?查看客户端能否和服务端同步?一个VLAN间通信的配置实验要求三层交换机的工作原理,什么是路由功能,掌握OSPF和RIP的原理及配置interface Vlan1ip address 192.168.1.1 255.255.255.0!interface Vlan2ip address 192.168.2.1 255.255.255.0!Switch(config)#interface fastEthernet 0/2Switch(config-if)#switchport mode accessSwitch(config-if)#switchport access vlan 2Switch(config)#ip routing //启用路由功能Switch(config)#router ospf 1Switch(config-router)#network 192.168.1.0 0.0.0.255 area 0Switch(config-router)#network 192.168.2.0 0.0.0.255 area 0QUESTION:在看VLAN1的用户能否和VLAN2的用户通信?一个单向访问控制列表配置实验要求理解单向访问的控制,理解ICMPip access-list extended laiinevaluate qingpingdeny ip any 192.168.1.0 0.0.0.255ip access-list extended laioutpermit icmp 192.168.1.0 0.0.0.255 any reflect qingping timeout 10 permit udp 192.168.1.0 0.0.0.255 any reflect qingping timeout 200 permit tcp 192.168.1.0 0.0.0.255 any reflect qingping timeout 300 permit ip any anyinterface Vlan1ip address 192.168.1.1 255.255.255.0ip access-group laiout in!interface Vlan2ip address 192.168.2.1 255.255.255.0ip access-group laiin in!interface Vlan100ip address 192.168.100.1 255.255.255.0ip access-group laiin in!QUESTION:访问控制列表和单向访问控制列表的区别在那儿?一个端口保护配置实验要求把特定的某台PC在特定帮定在指定端口Switch(config-if)#switchport mode access Switch(config-if)#switchport port-security Switch(config-if)#switchport port-security violation {protect | restrict | shutdown } Switch(config-if)#switchport port-security mac-address stickySwitch(config-if)#switchport port-security maximum 1Switch(config-if)# switchport port-security mac-address 00-90-F5-10-79-C1 Switch(config-if)#switchport port-security aging static //打开静态映射 Switch(config-if)#switchport port-security mac-address sticky XXXX.XXXX.XXXX //为端口输入特定的允许通过的mac地址STION :在实际工作环境中,某端口特定分配给某部门的某个用户,安全是不是更高一个AAA配置实验要求掌握授权\论证\统计原理aaa new-modelaaa authentication login default local-case line enable!username lai password 0 laiip subnet-zero!interface Vlan1ip address 192.168.1.10 255.255.255.0no ip route-cache!ip http server!line con 0line vty 0 15login authen deflautQUESTION: 在实际工作中如果接服务器,在交换机上应该如果配置呢?一个链路聚合配置实验要求掌握PAGP和LACP的应用做链路汇聚的端口必须是属于同一个VLAN或者都为Trunk口interface Port-channel 1 (创建汇聚组1)exitinterface fastEthernet 0/23channel-group 1 mode active (LACP模式)interface fastEthernet 0/24channel-group 1 mode active (LACP模式)把24号通道设置成为主通道lacp port-priority 100 设置该端口为主要流量通道(LACP port-priority 值越小优先级越高,同样值,端口编号小的更高)接上流量监控软件查看流量流向一个HSRP配置实验要求掌握双机热备的应用及原理interface Vlan1ip address 192.168.1.3 255.255.255.0standby 1 ip 192.168.1.1standby 1 priority 150standby 1 preempt!interface Vlan2ip address 192.168.2.3 255.255.255.0standby 2 ip 192.168.2.1standby 2 priority 100!router ripnetwork 192.168.1.0network 192.168.2.0查看交换机状态变化.在终端设备下观察通信情况一个VLAN映射配置实验要求理解ACL和VLAN映射的作用及应用spanning-tree mode pvstspanning-tree extend system-id!!vlan access-map lai 10action dropvlan access-map lai 20action dropmatch ip address 101vlan filter lai vlan-list 1access-list 101 permit ip host 192.168.8.1 host 192.168.8.2VLAN映射能控制本VLAN内用户的通信?。

思科ACL访问控制列表常规配置操作详解

思科ACL访问控制列表常规配置操作详解本⽂实例讲述了思科ACL访问控制列表常规配置操作。

分享给⼤家供⼤家参考，具体如下：⼀、ACL概述ACL (Access Control List,访问控制列表）是⼀系列运⽤到路由器接⼝的指令列表。

这些指令告诉路由器接收哪些数据包、拒绝哪些数据包，接收或者拒绝根据⼀定的规则进⾏，如源地址、⽬标地址、端⼝号等。

ACL使得⽤户能够管理数据流，检测特定的数据包。

路由器将根据ACL中指定的条件，对经过路由器端⼝的数据包进⾏检査。

ACL可以基于所有的Routed Protocols (被路由协议，如IP、IPX等）对经过路由器的数据包进⾏过滤。

ACL在路由器的端⼝过滤数据流，决定是否转发或者阻⽌数据包。

ACL应该根据路由器的端⼝所允许的每个协议来制定，如果需要控制流经某个端⼝的所有数据流，就需要为该端⼝允许的每⼀个协议分别创建ACL。

例如，如果端⼝被配置为允许IP、AppleTalk和IPX协议的数据流，那么就需要创建⾄少3个ACL, 本⽂中仅讨论IP的访问控制列表。

针对IP协议，在路由器的每⼀个端⼝,可以创建两个ACL:—个⽤于过滤进⼊（inbound)端⼝的数据流，另⼀个⽤于过滤流出（outboimd)端⼝的数据流。

顺序执⾏：—个ACL列表中可以包含多个ACL指令，ACL指令的放置顺序很重要。

当路由器在决定是否转发或者阻⽌数据包的时候，Cisco的IOS软件，按照ACL中指令的顺序依次检査数据包是否满⾜某⼀个指令条件。

当检测到某个指令条件满⾜的时候，就执⾏该指令规定的动作，并且不会再检测后⾯的指令条件。

ACL作⽤： * 限制⽹络流量，提⾼⽹络性能。

* 提供数据流控制。

* 为⽹络访问提供基本的安全层。

⼆、ACL 类型1. 标准ACL: access-list-number编号1~99之间的整数，只针对源地址进⾏过滤。

2. 扩展ACL: access-list-number编号100~199之间的整数，可以同时使⽤源地址和⽬标地址作为过滤条件，还可以针对不同的协议、协议的特征、端⼝号、时间范围等过滤。

交换机数据包过滤实验报告

交换机数据包过滤实验报告一、实验目的本实验的目的是通过交换机数据包过滤，实现网络流量的控制和安全管理。

通过设置过滤规则，筛选出符合条件的数据包进行处理，从而提高网络的性能和安全性。

二、实验环境1. 实验设备：交换机、计算机2. 软件工具：Wireshark数据包分析软件三、实验步骤1. 配置交换机通过登录交换机管理界面，进行相关设置。

根据实验需求，配置交换机的数据包过滤规则和动作。

可以设置源IP地址、目的IP地址、协议类型等条件，以及允许、拒绝或重定向等动作。

2. 运行Wireshark在计算机上运行Wireshark软件，选择相应的网络接口进行抓包。

Wireshark将用于捕获经过交换机的数据包，并进行分析。

3. 设置过滤规则在Wireshark过滤器中设置所需的过滤规则，如根据源IP地址过滤、目的IP地址过滤、协议类型过滤等。

根据实验要求，设置不同的过滤条件，以便后续分析和处理。

4. 抓包和数据分析开始抓包后，进行实际的数据传输。

在一定时间范围内，通过交换机进行数据传输，并捕获经过交换机的数据包。

通过Wireshark软件对抓到的数据包进行分析，可以查看和筛选出符合过滤规则的数据包。

5. 数据包过滤和处理根据实验要求，对捕获到的数据包进行过滤和处理。

通过交换机数据包过滤功能，可以实现按需求控制网络流量。

根据过滤规则和动作设置，对选择的数据包进行允许、拒绝或重定向等操作。

6. 实验结果分析根据数据包过滤和处理的结果，对实验进行结果分析和评估。

观察和比较不同设置下的网络性能和安全性，评估交换机数据包过滤的效果和优势。

四、实验结果及讨论实验结果显示，通过交换机数据包过滤可以有效地控制网络流量。

通过设置过滤规则和动作，可以限制特定IP地址的访问或拒绝某些协议类型的传输，从而提高网络的安全性。

同时，在网络负载较大时，根据需要重定向部分数据流量，可以有效提高网络的性能和吞吐量。

然而，在实际应用中，根据具体需求合理设置过滤规则非常重要。

思科路由器acl详解

cisco路由器配置ACL详解如果有人说路由交换设备主要就是路由和交换的功能，仅仅在路由交换数据包时应用的话他一定是个门外汉。

如果仅仅为了交换数据包我们使用普通的HUB就能胜任，如果只是使用路由功能我们完全可以选择一台WINDOWS服务器来做远程路由访问配置。

实际上路由器和交换机还有一个用途，那就是网络管理，学会通过硬件设备来方便有效的管理网络是每个网络管理员必须掌握的技能。

今天我们就为大家简单介绍访问控制列表在CISCO路由交换上的配置方法与命令。

什么是ACL？访问控制列表简称为ACL，访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。

该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持了。

访问控制列表使用原则由于ACL涉及的配置命令很灵活，功能也很强大，所以我们不能只通过一个小小的例子就完全掌握全部ACL的配置。

在介绍例子前为大家将ACL设置原则罗列出来，方便各位读者更好的消化ACL知识。

1、最小特权原则只给受控对象完成任务所必须的最小的权限。

也就是说被控制的总规则是各个规则的交集，只满足部分条件的是不容许通过规则的。

2、最靠近受控对象原则所有的网络层访问权限控制。

也就是说在检查规则时是采用自上而下在ACL 中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL 语句。

3、默认丢弃原则在CISCO路由交换设备中默认最后一句为ACL中加入了DENY ANY ANY，也就是丢弃所有不符合条件的数据包。

这一点要特别注意，虽然我们可以修改这个默认，但未改前一定要引起重视。

由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。

acl实验报告

acl实验报告ACL实验报告一、引言ACL（Access Control List）是一种用于控制系统资源访问权限的机制。

通过ACL，系统管理员可以根据用户的身份、角色或其他标识来限制用户对特定资源的访问。

本实验旨在探索ACL的原理和应用，并通过实际操作来加深对ACL的理解。

二、ACL的基本原理ACL的基本原理是根据用户的身份或角色来控制对资源的访问权限。

ACL可以应用于文件、文件夹、网络设备等各种资源。

在ACL中，通常包含两类主体：访问主体（Subject）和资源主体（Object）。

访问主体可以是用户、用户组或其他身份标识，而资源主体可以是文件、文件夹、网络端口等。

ACL中的权限通常包括读取、写入、执行等操作。

通过为每个主体分配适当的权限，系统管理员可以精确控制用户对资源的操作。

例如，管理员可以设置只有特定用户组的成员才能读取某个文件，或者只有特定用户才能执行某个程序。

三、ACL的应用场景ACL在实际应用中有广泛的应用场景。

以下是几个典型的例子：1. 文件系统权限控制在操作系统中，文件和文件夹是最常见的资源。

通过ACL，管理员可以为每个文件或文件夹设置不同的访问权限。

例如，对于某个重要的文件，管理员可以设置只有自己和特定用户才能读取和写入，其他用户只能读取。

这样可以确保敏感信息不被未授权的用户访问。

2. 网络访问控制对于企业内部的网络，管理员可以使用ACL来控制用户对不同网络资源的访问。

例如，某个部门的员工只能访问本部门的内部网站和文件共享，而不能访问其他部门的资源。

通过ACL，管理员可以轻松实现这种网络访问控制。

3. 路由器和防火墙配置在网络设备中，ACL也扮演着重要的角色。

通过为路由器或防火墙配置ACL，管理员可以控制网络流量的访问权限。

例如，可以设置只有特定IP地址或特定端口的流量才能通过，其他流量则被阻止。

这样可以提高网络的安全性和性能。

四、ACL实验操作步骤以下是一个简单的ACL实验操作步骤，以文件系统权限控制为例：1. 创建测试文件首先，在你的计算机上创建一个测试文件，命名为test.txt。

acl规则的配置命令 -回复

acl规则的配置命令-回复ACL（Access Control List）是一种网络安全性配置，用于控制网络设备的流量过滤和访问控制。

它可以根据不同的条件来限制特定的网络流量，并决定是否允许或拒绝该流量通过网络设备。

在本文中，我们将详细介绍如何配置ACL规则的命令。

配置ACL规则的命令可以在不同厂商的网络设备上有所不同。

本文将以思科（Cisco）网络设备为例，介绍如何配置ACL规则的命令。

首先，登录到思科网络设备的命令行界面。

这可以通过一个终端仿真软件（如TeraTerm、PuTTY等）连接到设备的控制台端口，或通过SSH远程连接到设备的IP地址来完成。

一旦成功登录到设备的命令行界面，可以使用以下命令来配置ACL规则：1. 创建一个命名的ACL：config tip access-list <ACL名称>这将进入全局配置模式，然后创建一个以指定名称命名的ACL。

该名称将用于区分不同的ACL规则。

2. 添加允许或拒绝的规则：permit deny <源地址> <源地址掩码> <目的地址> <目的地址掩码> <协议> <源端口> <目的端口>这个命令用于向ACL规则中添加一个允许或拒绝的规则。

可以根据需要指定源地址，目的地址，协议，源端口和目的端口。

例如，要允许从192.168.1.0/24网段访问到10.0.0.0/24网段的全部协议和端口，使用以下命令：permit ip 192.168.1.0 0.0.0.255 10.0.0.0 0.0.0.255使用`deny`关键字可以创建一个拒绝规则，例如：deny tcp any host 10.0.0.1 eq 80这将拒绝所有源地址的TCP流量访问目标地址为10.0.0.1的80端口。

3. 应用ACL规则到接口：interface <接口名称>ip access-group <ACL名称> {in out}这个命令用于将ACL规则应用到指定接口。

ACL实验手册

问题 11：配置后在 R2 中查看访问控制列表 dynamic_xcu，有几条选项？
问题 11：配置后直接在 R1 中输入 telnet 130.130.2.3 /source-interface lo2 能否登陆成功？
问题 12：在 R1 中用 telnet 192.168.1.2 /source-interface lo2 登陆 R2，马上在 R2 中查看访问
R2(config-ext-nacl)#permit ip 172.16.0.0 0.0.255.255 any reflect ref_xcu1 注：定义反射 acl，用
自己的姓名替换 xcu
R2(config-ext-nacl)#permit eigrp any any
注：这条命令允许 eigrp 的数据正常传输
R2(config)#ip access-list extended ref_xcu2 R2(config-ext-nacl)#evaluate ref_xcu1 R2(config-ext-nacl)#permit eigrp any any
注：调用定义的反射 acl，用自己的姓名替换 xcu 注：调用定义的反射 acl，用自己的姓名替换 xcu
R2(config)#access-list 100 permit ip any any
R2(config)#int f0/1
注：在这里选择接口 f0/1 更接近源
R2(config-if)#ip access-group 100 in
注：acl 编号修改为自己学号后两位+100
问题 3：在 R1 上 telnet 130.130.2.3，以 172.16.2.1 作为源地址，能否登陆？如果以 172.16.3.1

思科交换机基本配置手册

switch(enable) set spantree portvlanpri {module/port}priority [vlans]
17. 在基于IOS的交换机上修改STP时钟:
switch(config)# spanning-tree [vlan vlan-list] hello-time seconds
switch(vlan)# exit
switch# configure teriminal
switch(config)# interface interface module/number
switch(config-if)# switchport mode access
switch(config-if)# switchport access vlan vlan-num
switch(vlan)# vtp domain domain-name
在基于CLI的交换机上配置VTP管理域:
switch(enable) set vtp [domain domain-name]
11.在基于IOS的交换机上配置VTP 模式:
switch# vlan database
22. 用show vtp domain 显示管理域的VTP参数.
23. 用show vtp statistics显示管理域的VTP参数.
24. 在Catalyst交换机上定义TrBRF的命令如下:
switch(enable) set vlan vlan-name [name name] type trbrf bridge bridge-num[stp {ieee|ibm}]
4.在基于IOS的交换机上启用和浏览CDP信息:

交换机ACL原理及配置详解

交换机ACL原理及配置详解ACL原理：1.ACL是根据网络层和传输层的源IP地址、目标IP地址、源端口和目标端口来过滤和控制数据包的流动。

ACL通常运行在网络设备如路由器和交换机上。

2.数据包进入路由器或交换机时，会依次通过ACL规则进行匹配，如果匹配成功，则根据规则进行相应的操作，如允许或阻止数据包的流动。

3.ACL规则通常由管理员根据特定的网络需求来制定，这些规则可以基于用户、服务、时间、应用程序和网络地址等多个因素进行设置。

4.ACL可以分为两类：标准ACL和扩展ACL。

标准ACL基于源IP地址来匹配和过滤数据包，而扩展ACL可以基于源IP地址、目标IP地址，以及源和目标端口来匹配和过滤数据包。

5.ACL规则通常包括一个许可或拒绝的操作，如果数据包匹配了ACL规则，则可以允许数据包继续传输，或者阻止数据包通过。

6.ACL可以应用在接口的入向或出向方向上，以实现不同方向上的数据过滤。

ACL配置详解：1.登录到交换机的命令行界面，进入特权模式。

2.进入接口配置模式，选择你要配置ACL的接口。

3. 使用命令`access-list`建立ACL列表，并设置允许或拒绝的条件。

例如：```access-list 10 permit 192.168.0.0 0.0.0.255```这个命令将允许源IP地址在192.168.0.0/24范围内的数据包通过。

4. 将ACL应用于接口，以实现过滤。

使用命令`ip access-group`将ACL应用于接口的入向或出向方向上。

例如：```ip access-group 10 in```这个命令将ACL10应用于接口的入向方向。

5.对于扩展ACL，可以使用更复杂的规则进行配置。

例如：```access-list 101 permit tcp any host 192.168.0.1 eq 80```这个命令将允许任何TCP数据包从任意源IP地址流向目标IP地址为192.168.0.1的主机，并且端口号为80。

访问控制列表实验报告

访问控制列表实验报告《访问控制列表实验报告》摘要：本实验旨在通过实际操作，了解和掌握访问控制列表（ACL）的基本概念和应用。

通过对ACL的配置和管理，实现对网络资源的访问控制和权限管理。

本文将详细介绍实验的目的、实验环境、实验步骤和实验结果，并对实验过程中遇到的问题和解决方案进行总结和分析。

1. 实验目的访问控制列表（ACL）是一种用于控制网络资源访问权限的重要机制，通过ACL可以对网络流量进行过滤和控制，保护网络安全。

本实验旨在通过实际操作，掌握ACL的基本概念和配置方法，实现对网络资源的访问控制和权限管理。

2. 实验环境本次实验使用了一台路由器和多台计算机组成的局域网，通过路由器进行网络流量的控制和管理。

实验中使用了Cisco路由器，并配置了基本的网络环境和访问控制列表。

3. 实验步骤（1）配置路由器基本网络环境，包括IP地址、子网掩码等；（2）创建访问控制列表，并定义访问控制规则；（3）将访问控制列表应用到路由器的接口上，实现对网络流量的控制和管理；（4）测试ACL的效果，验证ACL对网络流量的过滤和控制。

4. 实验结果通过实验操作，成功创建了访问控制列表，并将其应用到路由器的接口上。

在测试过程中，发现ACL可以有效地对网络流量进行过滤和控制，实现了对特定IP地址或端口的访问限制。

5. 问题与解决在实验过程中，遇到了一些配置和测试中的问题，如ACL规则的定义和应用不当导致网络流量无法正常通过等。

通过查阅资料和与实验指导老师讨论，最终找到了解决方案，并成功完成了实验目标。

6. 总结与展望本次实验通过实际操作，加深了对访问控制列表的理解和应用，掌握了ACL的配置和管理技术。

ACL作为网络安全的重要手段，对于保护网络资源和数据具有重要意义。

未来，可以进一步学习和探索ACL在实际网络环境中的应用，提高网络安全性和管理效率。

通过本次实验，对访问控制列表有了更深入的了解，掌握了其基本配置和应用方法，为今后的网络管理和安全工作奠定了基础。

访问控制列表(acl)实验报告

访问控制列表(acl)实验报告访问控制列表（Access Control Lists，简称ACL）是一种用于控制网络资源访问权限的技术。

通过ACL，网络管理员可以根据需要限制或允许特定用户或用户组对网络资源的访问。

本文将介绍ACL的基本概念、实验过程以及实验结果。

一、ACL的基本概念ACL是一种应用于路由器或交换机等网络设备上的访问控制机制。

它通过在设备上设置规则，控制网络流量的进出。

ACL的规则由访问控制表（Access Control Table）组成，每个规则由一个或多个条件和一个动作组成。

条件可以是源IP地址、目的IP地址、协议类型、端口号等，动作可以是允许通过、阻止或丢弃数据包。

二、实验过程1. 实验环境准备为了进行ACL实验，我们需要准备一台路由器或交换机，并连接一些主机和服务器。

在实验开始之前，需要确保所有设备的网络连接正常，并且已经了解每个设备的IP地址和子网掩码。

2. 创建ACL规则在路由器或交换机上，我们可以通过命令行界面（CLI）或图形用户界面（GUI）来创建ACL规则。

这里以CLI为例，假设我们要限制某个子网内的主机访问外部网络。

首先，我们需要创建一个ACL，并定义允许或阻止的动作。

例如，我们可以创建一个允许外部网络访问的ACL规则，命名为“ACL-OUT”。

然后，我们可以添加条件，比如源IP地址为内部子网的地址范围，目的IP地址为任意外部地址，协议类型为TCP或UDP，端口号为80（HTTP）或443（HTTPS）。

3. 应用ACL规则创建ACL规则后，我们需要将其应用到适当的接口或端口上。

这样，所有经过该接口或端口的数据包都会受到ACL规则的限制。

在路由器或交换机上，我们可以使用“应用ACL”命令将ACL规则应用到指定的接口或端口上。

例如，我们可以将“ACL-OUT”规则应用到连接外部网络的接口上，从而限制内部子网的主机访问外部网络。

4. 测试ACL规则在应用ACL规则后，我们可以进行一些测试来验证ACL的有效性。

acl的配置实验报告

acl的配置实验报告ACL的配置实验报告摘要：本实验旨在通过配置ACL（Access Control List），实现对网络流量的控制和管理。

通过实验，我们了解了ACL的基本概念、分类以及配置方法，并对其在网络安全中的应用进行了探讨。

实验结果表明，ACL可以有效地过滤和限制网络流量，提高网络的安全性和性能。

1. 引言随着互联网的快速发展，网络安全问题日益凸显。

为了保护网络免受恶意攻击和非法访问，ACL成为一种重要的网络安全工具。

ACL通过控制网络流量的进出，实现对网络资源的保护和管理。

本实验旨在通过配置ACL，探索其在网络安全中的应用。

2. ACL的基本概念ACL是一种用于控制网络流量的策略工具，它基于一系列规则对数据包进行过滤和限制。

ACL可以通过源IP地址、目标IP地址、协议类型、端口号等条件进行过滤，从而实现对网络流量的精确控制。

3. ACL的分类ACL根据其作用范围和工作方式的不同，可以分为以下几类：- 标准ACL：基于源IP地址进行过滤，适用于简单的网络环境。

它可以实现对特定源IP地址的流量进行控制，但无法对目标IP地址和协议类型进行过滤。

- 扩展ACL：除了源IP地址外，还可以根据目标IP地址、协议类型、端口号等条件进行过滤。

扩展ACL适用于复杂的网络环境，可以实现更精确的流量控制。

- 命名ACL：为ACL规则定义一个可读性强的名称，使得配置更加方便和可维护。

- 动态ACL：根据特定条件自动更新ACL规则，实现对网络流量的实时控制。

4. ACL的配置方法ACL的配置通常在网络设备（如路由器、防火墙）上进行。

具体配置方法如下：- 进入设备的配置模式，进入特定接口的配置模式。

- 创建ACL，并定义ACL规则。

可以使用数字或名称标识ACL。

- 配置ACL规则，包括源IP地址、目标IP地址、协议类型、端口号等条件。

- 将ACL应用到特定接口，使其生效。

5. ACL在网络安全中的应用ACL在网络安全中起到了重要的作用。

思科ACL详细教程及实验

简介ACL(Access Control List 访问控制列表)是路由器和交换机接口的指令列表，用来控制端口进出的数据包。

ACL的定义也是基于每一种被动路由协议的，且适用于所有的被动路由协议(如IP、IPX、Apple Talk等)，如果路由器接口配置成为三种协议(IP、Apple Talk和IPX)，那么必须定义三种ACL来分别控制这三种协议的数据包。

ACL的作用ACL可以限制网络流量、提高网络性能；提供网络安全访问的基本手段；可以在路由器端口处决定哪种类型的通信流量被转发或被阻塞，应用范围很广，如：路由过滤、Qos、NAT、Router-map、VTY等。

ACL的分类根据过滤层次：基于IP的ACL(IP ACL)、基于MAC的ACL(MAC ACL)，专家ACL(Expert ACL)。

根据过滤字段：标准ACL(IP ACL、MAC ACL)、扩展ACL(IP ACL、MAC ACL、专家ACL)。

根据命名规则：表号ACL、命名ACL。

说明：标准型ACL功能非常简单；而扩展型ACL功能非常强大，匹配的更详细，对路由器等网络设备的性能要求更高，或者对于网速的拖慢更明显，组网时需要酌情使用。

ACL的工作原理ACL的执行按照列表中条件语句的顺序从上到下、逐条依次判断执行。

如果一个数据包的报头跟表中某个条件判断语句相匹配，则不论是第一条还是最后一条语句，数据包都会立即发送到目的端口，那么后面的语句将被忽略，不再进行检查。

当数据包与前一个判断条件不匹配时，才被交给下一条判断语句进行比较。

如果所有的ACL判断语句都检测完毕，ACL遵循的规范和原则1.ACL的列表号指出了是哪种协议的ACL。

各种协议有自己的ACL，而每个协议的ACL 又分为标准ACL和扩展ACL。

这些ACL都是通过ACL表号区别的。

如果在使用一种访问ACL时用错了列表号，那么就会出错。

2.一个ACL的配置是基于每种协议的每个接口的每个方向。

31.实训三十一使用ACL过滤特定病毒报文配置

九、共同思考 1、我们可不可以通过在交换机设别上配置 ACl 来防止其他的一些攻击，如 ARP 攻击、DOS 攻击、DDos 攻击等等？
十、课后练习在网上多多收集一些病毒以及病毒的变种，并且通过配置 ACL 来防止这些病毒的入侵。
十一、相关配置命令详解
1. 配置 access-list
（1）配置数字标准 IP 访问列表
Port
<dPort>] [precedence <prec>] [tos <tos>]
access-list <num> {deny | permit} {eigrp | gre | i
grp |
ipinip | ip | <int>} {{<sIpAddr> <sMask>} | any-so
urce |
三、实验设备
1、 DCRS-5650-28C 交换机 1 台 2、 PC 机 1 台 3、 Console 线 1 根 4、直通网线若干
四、实验拓扑
五、实验要求
目的：防止网络上的病毒以及病毒的变种入侵交换机，保护网络设备，保证网络的正常运行。
六、实验步骤
第一步：交换机恢复出厂设置，配置 ACL DCRS-5650-28C#config DCRS-5650-28C(config)#ip access-list extended test
<dIpAddr>}}
[<igmp-t
ype>]
[precedence <prec>] [tos <tos>]
access-list <num> {deny | permit} tcp {{<sIp

思科路由器用自反访问控制列表(ACL)实现网段之间单向访问配置(设置)方法图解

思科路由器用自反访问控制列表（ACL）实现网段之间单向访问配置（设置）方法问题的提出：有二个网段，网络号分别为192.168.1.0与192.168.0.0，分别有主机192.168.1.2与192.168.0.2，开启了WWW服务和远程桌面。

要求只允许网络192.168.1.0访问192.168.0.0，而不允许反向访问，应该怎样用ACL解决？方案：首先会想到用ACL实现，或者用扩展ACL实现。

Router#conf tRouter(config)#acc 10 deny 192.168.0.0 0.0.0.255 //拒绝192.168.0.0网段Router(config)#acc 10 permit anyRouter(config)#int e0Router(config-if)#ip ace 10 in //ACL应用在流入方向Router(config)#endRouter#wri显示配置清单看上去拒绝了192.168.0.0网段发往192.168.1.0网段的数据流，但是，由192.168.1.0网段主动发起的发往192.168.0.0网段的回程数据也被挡住了。

两边无法通讯。

换扩展ACL试试Router#conf tRouter(config)#acc 110 deny tcp 192.168.0.0 0.0.0.255 192.168.1.0 0.0.0.255 eq 3389//拒绝192.168.0.0网段访问192.168.1.0网段远程桌面Router(config)#acc 110 permit ip any anyRouter(config)#int e0Router(config-if)#ip ace 110 inRouter(config)#endRouter#wri显示配置清单测试结果192.168.0.0网段不能访问192.168.1.0网段远程桌面，192.168.1.0网段可以访问192.168.0.0网段，与目标近了一步。

交换机ACL原理及配置详解

交换机ACL原理及配置详解交换机ACL（Access Control List）是一种用于控制网络中数据流动的安全机制，它可以通过规则定义来确定允许或禁止一些特定的数据传输。

在交换机上配置ACL能够实现对网络流量进行过滤和限制，从而提高网络的安全性和性能。

ACL原理：ACL原理是基于“五元组”的匹配规则，包括：源IP地址、目的IP 地址、源端口号、目的端口号、传输协议。

通过对网络数据包的这些信息进行匹配，交换机可以根据ACL规则来决定是否允许该数据包通过。

ACL配置详解：1.创建一个ACL列表：在交换机上创建一个ACL列表，用于存储ACL规则。

```Switch(config)#ip access-list extended ACL_NAME```其中ACL_NAME是ACL列表的名称，可以根据实际情况进行命名。

2.添加ACL规则：向ACL列表中添加ACL规则，规定允许或禁止数据传输的条件。

```Switch(config-ext-nacl)#permit/deny protocol source_ipsource_port destination_ip destination_port```其中，protocol是要匹配的传输协议（如TCP或UDP），source_ip是源IP地址，source_port是源端口号，destination_ip是目的IP地址，destination_port是目的端口号。

可以通过多次输入以上命令来添加多个ACL规则。

3.应用ACL规则：将ACL列表应用到交换机的接口上，以实现对该接口上的数据传输进行过滤。

```Switch(config)#interface interface_type interface_numberSwitch(config-if)#ip access-group ACL_NAME {in ， out}```其中，interface_type是接口类型（如Ethernet或GigabitEthernet），interface_number是接口号，ACL_NAME是之前创建的ACL列表的名称，in表示进入该接口的数据流将被匹配ACL规则进行过滤，out表示从该接口发送的数据流将被匹配ACL规则进行过滤。

cisco路由器配置ACL详解

cisco路由器配置ACL详解Cisco 路由器配置 ACL 详解在网络世界中，Cisco 路由器就像是交通警察，而访问控制列表（ACL）则是它手中的规则手册，用于决定哪些流量可以通过，哪些需要被阻止。

理解和正确配置 ACL 对于网络管理员来说至关重要，它不仅可以保障网络的安全，还能优化网络性能。

接下来，让我们深入了解一下 Cisco 路由器配置 ACL 的方方面面。

首先，我们要明白 ACL 到底是什么。

简单来说，ACL 是一系列规则的集合，这些规则基于数据包的源地址、目的地址、源端口、目的端口以及协议类型等信息来决定是否允许数据包通过路由器。

Cisco 路由器支持多种类型的 ACL，常见的有标准 ACL 和扩展ACL。

标准 ACL 基于源 IP 地址进行过滤，它的编号范围是 1 99 和1300 1999。

扩展 ACL 则更加精细，可以基于源地址、目的地址、源端口、目的端口以及协议类型进行过滤，其编号范围是 100 199 和2000 2699。

在配置 ACL 之前，我们需要明确配置的目的。

是要阻止特定网络的访问？还是限制某些端口的使用？或者是只允许特定主机的流量通过？明确了目标，才能制定出有效的规则。

当我们开始配置 ACL 时，第一步是创建 ACL。

以配置标准 ACL 为例，我们可以使用以下命令：｀｀｀Router(config)accesslist 10 deny 19216810 000255｀｀｀上述命令中，“accesslist 10”表示创建编号为 10 的 ACL，“deny”表示拒绝，“19216810 000255”是要拒绝的源地址范围，表示 19216810 到1921681255 这个网段的流量。

如果要允许某个网段的流量通过，可以使用“permit”命令，例如：｀｀｀Router(config)accesslist 10 permit 19216820 000255｀｀｀创建好 ACL 后，还需要将其应用到接口上才能生效。

cisco思科交换机试验手册之-实验34使用ACL过滤特定病毒报文

CISCO交换机实验手册

思科ACL访问控制列表常规配置操作详解

交换机数据包过滤实验报告

思科路由器acl详解

acl实验报告

acl规则的配置命令 -回复

ACL实验手册

思科交换机基本配置手册

交换机ACL原理及配置详解

访问控制列表实验报告

访问控制列表(acl)实验报告

acl的配置实验报告

思科ACL详细教程及实验

31.实训三十一 使用ACL过滤特定病毒报文配置

思科路由器用自反访问控制列表(ACL)实现网段之间单向访问配置(设置)方法图解

交换机ACL原理及配置详解

cisco路由器配置ACL详解

31.实训三十一使用ACL过滤特定病毒报文配置