实验1 配置标准访问列表 一、 实验目的 通过本节实验\ue006掌握标准访问列表的配置方法。 二、 实验需要的知识点 路由器用访问表管理进入和离开一个特定接口的数据流。下面列出了访问表可以用的一些方法\ue007 1) 拒绝或允许流入\ue004或流出\ue005的数据流通过特定的接口。 2) 为DDR应用定义有趣的数据流。 3) 过滤路由更新的内容。 4) 控制虚拟终端线的访问。 5) 提供流量控制。 访问表\ue006或访问控制表\ue006提供了基本的数据流过滤能力。它可以用来控制进入或离开一网络的访问\ue006也可以在路由器的输入或输出端口过滤报文。基于前面定义的标准\ue006访问表通过用路由器决定转发还是丢弃报文来过滤网络的数据流。这个标准由访问表定义\ue006返回来又应用于接口。依据访问表的定义\ue006匹配标准可能很简单\ue004标准访问表\ue005\ue006也可能很复杂\ue004扩展访问表\ue005。访问表提供了检测流入或流出路由器端口的报文的一种方法\ue006也使路由器通过一定的标准控制那些报文。 访问表中的术语 在Cisco路由器上处理访问表\ue006必须理解所用到的一些术语。 1) 通配符屏蔽字\ue007通配符屏蔽字规定了当一个IP地址与其他的IP地址进行比较时\ue006该IP地址中哪些位应该被忽略。 通配符屏蔽字中的“ 1”表示忽略IP地址中对应的位\ue006而“ 0”则表示该位必须保留。注意对一标准访问表来说\ue006如果忽略了某入口的通配符屏蔽字\ue0060.0.0.0将被认为是缺省的屏蔽字。 2) Inbound和outbound\ue007当在一接口应用访问表时\ue006用户指明访问表是应用于流入数据还是流出数据\ue004或两方向都有\ue005。缺省的设置是应用于流出数据。 标准访问列表制订了1~99之间的访问列表编号、操作\ue004许可和拒绝\ue005、源IP地址、通配符掩码。 三、 实际生活中的应用 我们经常会在3种情况\ue006使用访问列表。 1、安全过滤可以保护路由器及路由器传递流量所到达网 络的完整性。一个安全过滤表许可少数清晰的报文通过\ue006而拒绝其他任何报文通过。 2、流量过滤可以阻止不必要的报文通过带宽有限的链路。这些过滤表的外表和行为刚安全过滤表很相似\ue006但是逻辑一般是颠倒的\ue007流量过滤表拒绝少数不必要的报文而许可其他任何报文通过。 3、为了能够发挥正常的作用\ue006在Cisco路由器上的许多工具\ue006例如拨号表、路由过滤表、路由图和队列表\ue006都必须能够标识确定的报文。访问列表可以链接到这些或其他工具上\ue006并且提供报文标识功能。 四、 实验需要的设备及要求 如图所示\ue006路由器A将允许所有从网络150.1.1.0 来的数据流通过\ue006而拒绝所有其他网络来的数据。路由器A和B用交叉电缆串行连接。 路由器B作为DCE为A提供时钟。 IP地址的分配如图所示\ue006 B定义了一个回送接口 \ue004 IP地址为1 5 1.1.1.1\ue005 作为测试点。在路由器A的串行接口上应用接入访问表\ue006 允许所有从网络150.1.1.0来的数据通过\ue006拒绝其他数据通过。 路由器B用扩展的ping命令ping A的串行接口\ue004 195.1.1.4\ue005\ue006从而从多个IP地址中为报文选源IP地址。 五、 实验拓扑及IP 地址设置 六、 实验步骤 1、给路由器分别命名主机名。例如\ue003路由器A\ue003RouterA。定义进入特权模式的密码为\ue003cisco。 在全局模式下使用指令的关键字\ue003hostname name enable password 2、根据拓扑图配置接口IP地址。 在全局模式下使用指令的关键字\ue003interface interface 在接口模式下使用指令的关键字\ue003ip address ip-address mask 3、在DCE端配置时钟。 在接口模式下使用指令的关键字\ue003clock rate clock。 4、在两台路由器分别起RIP协议。并做通告。 在全局模式下使用指令的关键字\ue003router rip 在协议模式下使用指令的关键字\ue003network network 5、在路由器A上定义标准访问列表。不允许151.1.0.0的数据包进入。 在全局模式下使用指令的关键字\ue003access-list number deny ip-address wildcard-mask 在全局模式下使用指令的关键字\ue003access-list number permit any 1、 路由器A的接口下绑定访问列表。 在接口模式下使用指令的关键字\ue003ip access-group list-number {in | out} 七、 检测 1、 在路由器A上使用ping 命令\ue007ping 151.1.1.1 RouterA#p 151.1.1.1 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 151.1.1.1, timeout is 2 seconds: ..... Success rate iS0 percent (0/5) 会发现目标地址不可达 2、 在路由器A上使用show ip access-list 1 RouterA#sh ip acce Standard IP access list 1 10 deny 151.1.0.0, wildcard bitS0.0.255.255 (30 matches) 20 permit any (957 matches) 注意\ue002通配符掩码阻止网络151.1.0.0中的所有主机。 八、 标准配置 RouterA \ue007 router# config terminal router(config)#hostname RouterA RouterA(config)#enable password cisco RouterA(config)#no ip domain lookup RouterA(config)#interface s0/0 RouterA(config-if)#ip address 192.1.1.1 255.255.255.0 RouterA(config-if)#clock rate 64000 RouterA(config-if)#no shutdown RouterA(config-if)#ip access-group 1 in RouterA(config-if)#interface e0 RouterA(config-if)#ip address 152.1.1.1 255.255.255.0 RouterA(config-if)#no shutdown RouterA(config-if)#router rip RouterA(config-router)#network 152.1.0.0 RouterA(config-router)#network 192.1.1.0 RouterA(config-router)#exit RouterA(config)#access-list 1 deny 151.1.0.0 0.0.255.255 RouterA(config)#access-list 1 permit any RouterB \ue007 router# config terminal router(config)#hostname RouterB RouterB(config)#enable password cisco RouterB(config)#no ip domain lookup RouterB(config)#interface s0/0 RouterB(config-if)#ip address 192.1.1.2 255.255.255.0 RouterB(config-if)#no shutdown RouterB(config-if)#interface e0/0 RouterB(config-if)#ip address 150.1.1.1 255.255.255.0 RouterB(config-if)#no shutdown RouterB(config-if)#interface lo0 RouterB(config-if)#ip address 151.1.1.1 255.255.255.0 RouterB(config-if)#router rip RouterB(config-router)#network 150.1.0.0 RouterB(config-router)#network 192.1.1.0 RouterB(config-router)#network 151.1.0.0 实验2 配置扩展访问列表 一、 实验目的 通过本节实验\ue006掌握扩展访问列表的配置方法。 二、 实验需要的知识点 扩展IP访问列表与标准的访问列表相比\ue006还有一些新的特性。 1、 对于扩展IP访问列表来说\ue006access-list-number 范围在100~199之间。 2、 protocol是一个新的变量\ue006 它可以在IP报头的协议字段寻找匹配\ue006 可选择的关键字是EIGRP、 GRE、 ICMP、 IGMP、IP、IPINIP、NOS、OSPF、TCP和UDP。还可以使用0~255中的一个整数表示IP协议号。 3、 注意为了进行匹配\ue006报文的source地址和destination地址都将被检查\ue008它们有各自的反码。 4、 log是一个可选项\ue006它指定打开信息日志功能。 三、 实际生活中的应用 当我们需要过滤具体的协议\ue006或者有源、目的地址的时候\ue006我们只能选择使用扩展IP地址。 四、 实验需要的设备及要求 路由器A允许所有从150.1.1.2到152.1.1.2的数据通过\ue006而将拒绝所有从150.1.1.2到152.1.1.3的数据通过。因为是对源IP地址和目的IP地址一起过滤\ue006所以使用扩展访问表。 路由器A和B用交叉电缆串行连接。路由器B做为DCE向路由器A提供时钟。图给出了IP地址的分配。在以太网接口\ue006路由器A和B都定义了二级IP地址\ue006用来作为测试点。在A的串行接口应用接入访问表。 五、 实验拓扑及IP 地址设置 六、 实验步骤 1、给路由器分别命名主机名。例如\ue003路由器A\ue003RouterA。定义进入特权模式的密码为\ue003cisco。 在全局模式下使用指令的关键字\ue003hostname name enable password 2、根据拓扑图配置接口IP地址。 在全局模式下使用指令的关键字\ue003interface interface 在接口模式下使用指令的关键字\ue003ip address ip-address mask [secondary] 3、在DCE端配置时钟。 在接口模式下使用指令的关键字\ue003clock rate clock。 4、在两台路由器分别起RIP协议。并做通告。 在全局模式下使用指令的关键字\ue003router rip 在协议模式下使用指令的关键字\ue003network network 5、路由器A上定义扩展访问列表。拒绝所有从150.1.1.2到152.1.1.3的数据通过。 在全局模式下使用指令的关键字\ue003access-list number {permit|deny} protocol source source-wildcard destination destination-wildcard access-list number permit protocol any any 5、 在路由器A的接口下绑定访问列表。 在接口模式下使用指令的关键字\ue003 access-group list-number {in | out} 七、 检测 1、从路由器B\ue006用源地址150.1.1.2 ping 152.1.1.3。 RouterB#p Protocol [ip]: Target IP address: 152.1.1.3 Repeat count [5]: Datagram size [100]: Timeout in seconds [2]: Extended commands [n]: y Source address or interface: 150.1.1.2 Type of service [0]: Set DF bit in IP header? [no]: Validate reply data? [no]: Data pattern [0xABCD]: Loose, Strict, Record, Timestamp, Verbose[none]: Sweep range of sizes [n]: Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 152.1.1.3, timeout is 2 seconds: Packet sent with a source address of 150.1.1.2 U.U.U Success rate iS0 percent (0/5) 说明路径不可达。 八、 标准配置 RouterA \ue007 router# config terminal router(config)#hostname RouterA RouterA(config)#enable password cisco RouterA(config)#no ip domain lookup RouterA(config)#interface s0/0 RouterA(config-if)#ip address 192.1.1.1 255.255.255.0 RouterA(config-if)#clock rate 64000 RouterA(config-if)#no shutdown RouterA(config-if)#ip access-group 100 in RouterA(config-if)#interface e0 RouterA(config-if)#ip address 152.1.1.1 255.255.255.0 RouterA(config-if)#ip address 152.1.1.2 255.255.255.0 secondary RouterA(config-if)#ip address 152.1.1.3 255.255.255.0 secondary RouterA(config-if)#no shutdown RouterA(config-if)#router rip RouterA(config-router)#network 152.1.0.0 RouterA(config-router)#network 192.1.1.0 RouterA(config-router)#exit RouterA(config)# access-list 100 deny ip host 150.1.1.2 host 152.1.1.3 RouterA(config)# access-list 100 permit ip any any RouterB \ue007 router# config terminal router(config)#hostname RouterB RouterB(config)#enable password cisco RouterB(config)#no ip domain lookup RouterB(config)#interface s0/0 RouterB(config-if)#ip address 192.1.1.2 255.255.255.0 RouterB(config-if)#no shutdown RouterB(config-if)#interface e0/0 RouterB(config-if)#ip address 150.1.1.1 255.255.255.0 RouterB(config-if)#ip address 150.1.1.2 255.255.255.0 secondary RouterB(config-if)#no shutdown RouterB(config)#router rip RouterB(config-router)#network 150.1.0.0 RouterB(config-router)#network 192.1.1.0 实验3 配置基于源 IP 地址的策略路由 一、 实验目的 通过本节实验\ue006掌握基于源IP地址的策略路由。 二、 实验需要的知识点 基于策略的路由为网络管理者提供了比传统路由协议对报文的转发和存储更强的控制能力。传统上\ue006路由器用从路由协议派生出来的路由表\ue006根据目的地址进行报文的转发。基于策略的路由比传统路由能力更强\ue006使用更灵活\ue006它使网络管理者不仅能够根据目的地址而且能够根据协议类型、 报文大小、 应用或IP源地址来选择转发路径。 策略可以定义为通过多路由器的负载平衡或根据总流量在各线上进行报文转发的服务质量\ue004QOS\ue005。策略路由使网络管理者能根据它提供的机制指定一个报文采取的具体路径。而在当今高性能的网络中\ue006这种选择的自由性是很需要的。 策略路由提供了这样一种机制\ue007根据网络管理者制定的标准来进行报文的转发。策略路由用 match 和 set 语句实现路径的选择。 三、 实际生活中应用 策略路由是基于报文源地址转发报文至指定的下一跳路由器。策略路由器会对路由器的路由选择产生影响\ue006但仅限于那些配置了策略路由的路由器。 四、 实验需要的设备及要求 如图所示\ue006路由器A将192.1.1.1来的所有数据从接口S0发出\ue006而将从192.1.1.2来的所有数据从接口S1发出。 路由器A和B通过交叉电缆连接。B作为DCE为A提供时钟。IP地址的分配如图所示\ue006B定义了一回送\ue004Lookback\ue005接口作为测试点。A也定义了几个在Ethernet0 上的二级接口同样作为测试点。