实验七指导-路由器过滤过能配置.pptVIP

实验七：路由器过滤过能配置 实验要求： 了解过滤访问列表 掌握配置过滤功能的方法 IP访问列表 访问列表是一些语句的有序的集合，它根据网络中每个数据包所包含信息的内容，决定是否允许该信息包通过接口。 IP访问列表 创建访问列表是针对某个路由器接口的，访问列表中的语句将对通过接口的数据包产生作用。 对于一个数据包来说，在访问列表对其进行处理时，访问列表中的语句按照由上而下的顺序依次对数据包进行处理，直到出现匹配的情况，决定是否让访问列表通过。 IP访问列表 路由器中的access-list（访问列表）最基本的有两种 标准访问列表 扩展访问列表 区别：前者是基于目标地址的数据包过滤，而后者是基于目标地址、源地址和网络协议极其端口的数据包过滤。 IP访问列表 access-list [list number] [permit|deny] [source address] [wildcard mask] 标准型访问列表 list number的范围在0～99之间，表明该access-list语句是一个普通的标准型访问列表语句。 在标准访问列表中，使用permit语句可以使得和访问列表项目匹配的数据包通过接口；而deny语句可以在接口过滤掉和访问列表项目匹配的数据包。 source address代表主机的IP地址，利用不同掩码的组合可以指定主机。 标准型访问列表 Wildcard mask通配符掩码是子网掩码的反码 IP标准访问列表的一般配置 禁止网络 Access-list 14 deny 55 Interface fastethernet 1/1 Ip access-group 14 in IP标准访问列表的一般配置 禁止访问 access-list 14 deny host [] Inter f 1/1 Ip access-group 14 in IP标准访问列表的一般配置 禁止上除主机访问 Access-list 14 permit host [] Access-list 14 deny 55 Inter f 1/1 Ip access-group 14 in IP标准访问列表的一般配置 禁止来自网络的流量!!! Router#configure terminal Router(config)# Router(config)#access-list 2 deny 55 Router(config)#access-list 2 permit any Router(config)#int s0/0 Router(config-if)#ip access-group 2 out Router(config-if)# IP标准访问列表的一般配置1 Router# Router#configure terminal Router(config)# Router(config)#access-list 1 deny host Router(config)#access-list 1 permit any 上面配置的访问列表是拒绝特定主机，允许其它主机访问 IP标准访问列表的一般配置2 Router# Router#configure terminal Router(config)# Router(config)#interface Ethernet 0/0 Router(config-if)# Router(config-if)#ip access-group 1 in(输入) Router(config-if)#ip access-group 1 out(输出) 访问列表的查看： Router#show ip access-lists 1 Standard IP access list 1 permit any (2 matches) deny , wildcard bits 55 Router#sh ip access-lists Standard IP access list 1 permit any Extended IP access list 101 deny icmp 55 55 echo permit ip any any 删除访问列表 no access-list [list number] 删除同一访问列表的其中一条规则，将删除此列表所有内容。 扩展访问列表 扩展的IP访问表用于扩展报文过滤能力。一个扩展的IP访问表允许用户根据如下内容过滤报文:源和目的地址、协议、源和目的端口以及在特定报文字段中允许进行特殊位比较等等。一个扩展的IP访问表的一般语法格或如下所示: access-list [list number] [permit/de