本文档详细介绍了如何通过配置ACL（访问控制列表）来实现网络设备的安全策略和流量过滤。实验步骤清晰，适合学习网络安全技术的基础应用。
### 实验三：ACL访问控制列表配置
#### 实验目的
- **理解访问控制列表（ACL）的概念**：访问控制列表是一种重要的网络安全措施，用于管理数据包进出网络设备的策略，能够有效管控网络流量并保障网络安全。
- **掌握ACL的配置方法**：学习如何在路由器等设备上创建和应用标准及扩展ACL，以实现对特定类型流量的精准控制。
#### 实验原理
访问控制列表（Access Control List, ACL）是用于管理进入或离开网络的数据包的技术。通过检查数据包并过滤不合规的信息流，ACL能够确保网络资源的安全性，并防止未经授权的访问。
- **功能概述**：除了限制流量流向外，ACL还能保护设备和服务器免受攻击。
- **类型介绍**：
- 标准IP协议（编号1至99）只能基于源IP地址进行过滤；
- 扩展IP协议（编号100至199）则允许根据目标IP、协议类型及其他参数对流量实施更细致的控制。
#### 实验条件
- **硬件需求**：
- 交换机两台
- 路由器两台
- PC机两台
- Console线三根
- 直通网线四根
- **软件需求**：支持ACL配置的网络操作系统，如Cisco IOS。
- **网络拓扑**：实验需要搭建一个包含两个路由器、两个交换机和两台PC的基本网络环境。
#### 实验步骤
1. 连接设备并设置IP地址：
- 按照给定图示正确连接所有硬件。
- 配置各节点的IP地址，确保通信畅通无阻。
2. 设置默认路由：
- 在路由器A上配置通往路由器B s10接口的静态路由命令如下：
```cisco
RouterA(config)#ip route 0.0.0.0 0.0.0.0 s10
```
- 同样地，在路由器B中设置指向Router A s10端口的默认路径。
3. 配置标准ACL：
- 创建并配置一个拒绝特定网络数据包的标准ACL，例如：
```cisco
RouterB(config)#ip access-list standard 1
RouterB(config-Std-Nacl-1)#deny 10.1.0.0 0.0.255.255
RouterB(config-Std-Nacl-1)#permit any
RouterB(config-Std-Nacl-1)#exit
RouterB(config)#interface s10
RouterB(config-S10)#ip access-group 1 in
```
- 上述配置中的`deny 10.1.0.0 0.0.255.255`表示拒绝所有来自IP范围为10.1.x.y的数据包，而`permit any`则允许其他数据包通过。
4. 配置扩展ACL：
- 扩展ACL提供更细致的流量控制选项。例如，可以使用以下命令来阻止特定主机发送ICMP请求：
```cisco
RouterB(config)#ip access-list extended test2
RouterB(config-Ext-Nacl-test2)#deny icmp 10.1.0.1 0.0.255 any
```
- 其中`deny icmp 10.1.0.1 0.0.255 any`表示拒绝来自IP地址为10.1.x.y的主机的所有ICMP请求。
5. ACL相关命令：
- 创建和删除命名标准ACL：
```cisco
ip access-standard
no ip access-standard
```
- 创建和删除扩展ACL：
```cisco
ip access-extended
no ip access-extended
```
- 在端口上应用访问规则：
```cisco
ip access-group {in|out}
no ip access-group {in|out}
```
通过上述步骤，实验者可以深入了解ACL的工作机制，并学习如何利用它来提高网络安全性。这种实践对网络工程师来说至关重要，有助于他们在实际工作中更好地管理和保护网络安全资源。
5星
