标准访问控制列表配置实例

1. 配置路由器到网络各点可通

   网络如图，动态路由已设好，IP地址分配如下：

RouterA f0/0: 10.65.1.2

RouterA f0/1: 10.66.1.2

RouterA s0/1: 10.68.1.2

RouterC s0/0: 10.68.1.1

RouterC s0/1: 10.78.1.2

RouterB s0/0: 10.78.1.1

RouterB s0/1: 10.69.1.2

RouterB f0/0: 10.70.1.2

SWA:10.65.1.8  gateway:10.65.1.2

PCA:10.65.1.1  gateway:10.65.1.2

PCB:10.66.1.1  gateway:10.66.1.2

PCC:10.69.1.1  gateway:10.69.1.2

PCD:10.70.1.1  gateway:10.70.1.2

PCE:10.65.1.3  gateway:10.65.1.2

PCF:10.65.2.1  gateway:10.65.1.2

2. 基本的访问控制列表：

   先从PCA ping PCD:

[root@PCA @root]#ping 10.70.1.1 (通)

   在ROC的s0/0写一个输入的访问控制列表：

RouterC(config)#access-lilt 1 permit 10.65.1.1 0.0.0.0

RouterC(config)#access-list 1 deny any

RouterC(config)#int s0/0

RouterC(config-if)#ip access-group 1 in

RouterC(config-if)#end

RouterC#sh access-list 1

[root@PCA @root]#ping 10.70.1.1  (通)

[root@PCE @root]#ping 10.70.1.1  (不通)

[root@PCE @root]#ping 10.66.1.1  (通)

[root@PCB @root]#ping 10.70.1.1  (不通)

[root@PCD @root]#ping 10.66.1.1  (通)

    第一个ping，PCA的IP地址是10.65.1.1在访问控制列表access-list 1中是

允许的，所以通。

    第二个ping,PCE虽然是65网段，但是access-list 1对10.65.1.1是完全匹配，

所以10.65.1.3的数据包不能通过。

    第三个ping,PCE到PCB不通过RouterC的s0/0,所以能通。

    第四个ping,PCB的IP地址是10.66.1.1，它是被禁止的,所以不通。

    第五个ping,从PCD到PCB的数据包是从RouterC的s0/0口出，不受access-list 1

的控制，所以通。

    下面再写一个访问控制列表，先删除原访问控制列表：

RouterC(config)#no access-lilt 1

RouterC(config-if)#no ip access-group 1 in

    二者都可能实现去掉访问列表的目的。前者是从列表号角度删除，后者是从接口

的输入和输出角度删除。

    可以通过sh access-list 命令查看访问控制列表。

    下面再写一个访问控制列表：

RouterC(config)#access-lilt 2 deny 10.65.1.1 0.0.0.255

RouterC(config)#access-list 2 permit any

RouterC(config)#int s0/0

RouterC(config-if)#ip access-group 1 out

RouterC(config-if)#end

RouterC#sh access-list 1

    这个访问控制列表比上一个访问控制列表有以下几点不同：

    (1) 先deny后permit，

    (2) 禁止的是一个C类

    (3) 一个输出的访问控制

[root@PCA @root]#ping 10.69.1.1  (不通)

[root@PCE @root]#ping 10.69.1.1  (不通)

[root@PCF @root]#ping 10.69.1.1  (通)

[root@PCB @root]#ping 10.69.1.1  (通)

    因为PCA和PCE的IP地址10.65.1.1、10.65.1.3,在deny范围内，所以不通。

而PCF的IP是10.65.2.1不在10.65.1.0 0.0.0.255范围内，所以能通。

3.梯形基本访问控制列表

    访问控制列表一般是顺序匹配的，梯形结构，下面是一个参考：

RouterC(config)#access-list 4 permit 10.65.1.1

RouterC(config)#access-list 4 deny 10.65.1.0 0.0.0.255

RouterC(config)#access-list 4 permit 10.65.0.0 0.0.255.255

RouterC(config)#access-list 4 deny 10.0.0.0 0.255.255.255

RouterC(config)#access-list 4 permit any

RouterC(config)#int s0/1

RouterC(config-if)#ip access-group 4 out

[root@PCA @root]#ping 10.69.1.1  (通)

[root@PCE @root]#ping 10.69.1.1  (不通)

[root@PCF @root]#ping 10.69.1.1  (通)

[root@PCB @root]#ping 10.69.1.1  (不通)