拓扑下载
图 1-1
注:如无特别说明,同一网段中,IP 地址的主机位为其设备编号,如 R3 的 g0/0 接口若在 192.168.1.0/24
网段,则其 IP 地址为 192.168.1.3/24,以此类推。此拓扑中 PC1,PC2,SERVER1 使用路由器来模拟
按照图示配置 IP 地址
全网路由互通
在 SERVER1 上配置开启 TELNET 和 FTP 服务
配置 ACL 实现如下效果192.168.1.0/24网段不允许访问 192.168.2.0/24网段,要求使用基本 ACL 实现
PC1 可以访问 SERVER1 的 TELNET 服务,但不能访问 FTP 服务
PC2 可以访问 SERVER1 的 FTP 服务,但不能访问 TELNET 服务192.168.2.0/24网段不允许访问 SERVER1,要求通过高级 ACL 实现
配置 IP 地址
PC1
- sys
- Enter system view, return user view with Ctrl+Z.
- [huawei]sysn pc1
- [pc1]int g0/0/1
- [pc1-GigabitEthernet0/0/1]ip add 192.168.1.1 24
- [pc1-GigabitEthernet0/0/1]ip route-sta 0.0.0.0 0 192.168.1.254
PC2
- sys
- [Huawei]sysn pc2
- [pc2]int g0/0/0
- [pc2-GigabitEthernet0/0/0]ip add 192.168.1.2 24
- [pc2-GigabitEthernet0/0/0]ip route-sta 0.0.0.0 0 192.168.1.254
PC3
SERVER1
- sys
- Enter system view, return user view with Ctrl+Z.
- [Huawei]sysn seerver1
- [seerver1]int g0/0/0
- [seerver1-GigabitEthernet0/0/0]ip add 192.168.3.1 24
- [seerver1-GigabitEthernet0/0/0]ip route-sta 0.0.0.0 0 192.168.3.3
R1
- sys
- Enter system view, return user view with Ctrl+Z.
- [Huawei]sysn r1
- [r1]int g0/0/0
- [r1-GigabitEthernet0/0/0]ip add 192.168.1.254 24
- [r1-GigabitEthernet0/0/0]int g0/0/1
- [r1-GigabitEthernet0/0/1]ip add 100.1.1.1 24
R2
- sys
- Enter system view, return user view with Ctrl+Z.
- [Huawei]sysn r2
- [r2]int g0/0/0
- [r2-GigabitEthernet0/0/0]ip add 100.1.1.2 24
- [r2-GigabitEthernet0/0/0]int g0/0/1
- [r2-GigabitEthernet0/0/1]ip add 192.168.2.2 24
- [r2-GigabitEthernet0/0/1]int g0/0/2
- [r2-GigabitEthernet0/0/2]ip add 100.2.2.2 24
R3
- sys
- Enter system view, return user view with Ctrl+Z.
- [Huawei]sysn r3
- [r3]int g0/0/0
- [r3-GigabitEthernet0/0/0]ip add 100.2.2.3 24
- [r3-GigabitEthernet0/0/0]int g0/0/1
- [r3-GigabitEthernet0/0/1]ip add 192.168.3.3 24
2,R1,R2,R3 上配置 RIP 使全网路由互通,华为使用A,B,C类地址计算rip网段号
R1
- [r1]rip 1
- [r1-rip-1]undo sum
- [r1-rip-1]ver 2
- [r1-rip-1]netw 192.168.1.0
- [r1-rip-1]netw 100.0.0.0
R2
- [r2-GigabitEthernet0/0/2]rip 1
- [r2-rip-1]ver 2
- [r2-rip-1]undo sum
- [r2-rip-1]netw 100.0.0.0
- [r2-rip-1]netw 192.168.2.0
R3
- [r3-GigabitEthernet0/0/1]rip 1
- [r3-rip-1]ver 2
- [r3-rip-1]undo sum
- [r3-rip-1]netw 100.0.0.0
- [r3-rip-1]netw 192.168.3.0
3,在 SERVER1 上配置(华为默认开启telnet)开启 TELNET 和 FTP 服务,账户为guolanban,密码123456,限制5人登录,权限等级15级,华为ftp需要指定管理路径local-user guolanban ftp-directory flash:/
- [seerver1]ftp ser en
- [seerver1]aaa
- [seerver1-aaa]local-user guolanban password cipher 123456
- Info: Add a new user.
- [seerver1-aaa]local-user guolanban privilege level 15
- [seerver1-aaa]local-user guolanban service-type telnet ftp
- [seerver1-aaa]local-user guolanban ftp-directory flash:/
- [server1]user-interface vty 0 4
- [seerver1-ui-vty0-4]authentication-mode aaa
- [seerver1-ui-vty0-4]user privilege level 15
4,配置 ACL 部分
分析:需求 i,要求 192.168.1.0/24 网段不允许访问 192.168.2.0/24 网段,只能使用基本 ACL 实现。基本 ACL 只过滤源 IP 地址,只能在 R2 的 g0/2 接口上配置出方向包过滤来实现。如果配置在两个网段沿途的其他位置,将会影响到 192.168.1.0/24 网段和其他网段的正常通讯
需求 ii,PC1 可以访问 SERVER1 的 TELNET 服务,但不能访问 FTP 服务。既然要过滤指定的服务,就只能使用高级 ACL,高级 ACL 不会造成误过滤,所以可以配置在离源地址最近的接口的入方向,也就是 R1 的 g0/1 接口的入方向。另外,由于 H3C 的 ACL 用于包过滤默认动作是允许,所以并不需要专门配置允许 PC1 访问 SERVER1 的 TELNET,只需要配置拒绝访问 FTP 的规则即可
需求 iii,PC2 可以访问 SERVER1 的 FTP 服务,但不能访问 TELNET 服务。同理,只能使用高级 ACL,配置在 R1 的 g0/1 接口的入方向。而且也只需要配置拒绝访问 TELNET 的规则即可
由于需求 i 和需求 ii 配置在同一个路由器同一个接口的同方向,所以把规则写入到同一个 ACL 即可需求 iv:192.168.2.0/24网段不允许访问 SERVER1,要求通过高级 ACL 实现。高级 ACL 不会造成误过滤,所以可以配置在离源地址最近的接口的入方向,也就是 R2 的 g0/2 接口的入方向。另外,没有明确说明不允许访问什么服务,就是所有都不允许访问,所以高级 ACL 中的协议需要指定为 IP 协议
步骤 1:创建基本 ACL,使 192.168.1.0/24 网段不能访问 192.168.2.0/24网段,并在 R2 的 g0/0/1 接口的出方向配置包过滤
- [r2]acl 2000
- [r2-acl-basic-2000]rule deny source 192.168.1.0 0.0.0.255
- [r2-GigabitEthernet0/0/0]int g0/0/1
- [r2-GigabitEthernet0/0/1]traffic-filter outbound acl 2000
步骤 2:创建高级 ACL,使 PC1 可以访问 SERVER1 的 TELNET 服务,但不能访问 FTP 服务;PC2 可以访问 SERVER1 的 FTP 服务,但不能访问 TELNET 服务,并在 R1 的 g0/0/0 接口的入方向配置包过滤
- [R1-rip-1]acl advanced 3000
- [r1-acl-adv-3000]rule 5 deny tcp source 192.168.1.1 0 destination 192.168.3.1 0
- destination-port range ftp 21
- rule 10 deny tcp source 192.168.1.2 0 destination 192.168.3.1 0
- destination-port eq telnet
- [R1-acl-ipv4-adv-3000]interface g0/0/0
- [r1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000
步骤 3:创建高级 ACL,使PC3 不能访问 SERVER1,并在 R2 的 g0/0/1 接口的入方向配置包过滤
- [R2-GigabitEthernet0/2]
- [R2-GigabitEthernet0/2]acl advanced 3000
- [r2-acl-adv-3000]rule deny ip sou 192.168.2.0 0.0.0.255 destination 192.168.3.1
- 0
- [r2-acl-adv-3000]int g0/0/1
- [r2-GigabitEthernet0/0/0]traffic-filter inbound acl 3000
5,效果测试
步骤 1:PC1 和 PC2 都无法 Ping 通 PC3
[PC1]ping 192.168.2.3
[PC2]ping 192.168.2.3
步骤 2:PC1 可以连接 SERVER1 的 TELNET,但不能连接 FTP
-
- <pc1>telnet 192.168.3.1
- Press CTRL_] to quit telnet mode
- Trying 192.168.3.1 ...
- Connected to 192.168.3.1 ...
- Login authentication
- Username:
- <pc1>ftp 192.168.3.1
- Trying 192.168.3.1 ...
- Press CTRL+K to abort
-
步骤 3:PC2 可以连接 SERVER1 的 FTP,但不能连接 TELNET
-
- <pc2>ftp 192.168.3.1
-
- Trying 192.168.3.1 ...
-
- Press CTRL+K to abort
-
- Connected to 192.168.3.1.
-
- 220 FTP service ready.
-
- User(192.168.3.1:(none)):guolanban
-
- 331 Password required for guolanban.
-
- Enter password:
-
- 230 User logged in.
-
-
- [pc2-ftp]
- <pc2>telnet 192.168.3.1
- Press CTRL_] to quit telnet mode
- Trying 192.168.3.1 ...
-
步骤 4:PC3 不能 Ping 通 SERVER1