ACL实验 ACL实验

ACL实验
文章图片

基本配置：略
首先根据题目策略的需求1，从这个角度看，我们需要做一条高级ACL，因为我们不仅要看你是谁，还要看你去干什么事情，用高级ACL来做的话，对于我们华为设备，只写拒绝，因为华为默认允许所有
所以telnet R1 我们不用管，只写一条拒绝，不让PC1 ping R1 就行了
因为两条都有telnet的服务需求，所以我先把R1R2的telnet服务开启
先到aaa里面创建一个用户

[r1]aaa [r1-aaa]

创建一个hzf 用户，他的优先级是15，密码123456

[r1-aaa]local-user hzf privilege level 15 password cipher 123456

这个用户是做什么用的呢？主要是做telnet用的

[r1-aaa]local-user hzf service-type telnet

把我们的虚拟端口开启， 0 4是开启五个端口，同时可以登录五个人，这边只开个0端口

[r1]user-interface vty 0

告诉端口它的认证类型：aaa

[r1-ui-vty0]authentication-mode aaa[r1-ui-vty0]q

此时我们便开启了telnet
【ACL实验】同样方法开启r2的telnet服务
在R1上先创建一个高级acl 3000

[r1]acl 3000[r1-acl-adv-3000]

注意写的时候只需要写拒绝就可以了，拒绝ping R1
ping匹配icmp协议，源地址匹配192.168.1.10 写死，目标地址192.168.1.1 写死，
r1有两个端口因此都加入规则

[r1-acl-adv-3000]rule deny icmp source 192.168.1.10 0.0.0.0 destination 192.168.1.1 0.0.0.0[r1-acl-adv-3000]rule deny icmp source 192.168.1.10 0.0.0.0 destination 192.168.2.1 0.0.0.0

PC1不能telnet R2，因此写入规则
不能telnet是tcp协议，源地址192.168.1.10 写死，目标地址192.168.2.2 写死，目标端口23（telnet端口 23），icmp为啥不加，相当于所有icmp的包我们都拒绝，一般情况下，只有ping用icmp的包，还有tracert。要是不写目标端口会导致所有tcp协议的包都被拦截，所以我们要声明目标端口

[r1-acl-adv-3000]rule deny tcp source 192.168.1.10 0.0.0.0 destination 192.168.2.2 0.0.0.0 destination-port eq 23

规则写好了，我们就要调用，在r1的0/0/0接口
方向是流入方向inbound

[r1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

ping和telnet测试：略
同理PC2的acl规则可以直接写入3000里，

[r1]acl 3000 [r1-acl-adv-3000]

拒绝PC2 telnet r1，也是两个端口都拒

[r1-acl-adv-3000]rule deny tcp source 192.168.1.11 0.0.0.0 destination 192.168.1 .1 0.0.0.0 destination-port eq 23[r1-acl-adv-3000]rule deny tcp source 192.168.1.11 0.0.0.0 destination 192.168.2 .1 0.0.0.0 destination-port eq 23

可以ping R1，华为设备默认允许全部
不可以ping R2，但是可以telnet R2