ACL扩展访问控制列表

实验环境

一、拓扑图中一台Linux服务器
二、两台PC机作客户机(Win10，Win10-2)

实验目的

一、只容许Win10-1访问Linux的Web服务，禁止访问其余服务
二、Win10-1访问Win10-2主机

实验步骤

一、在Linux系统上安装ftp服务和http服务

[root@localhost ~]# yum install httpd -y
[root@localhost ~]# yum install vsftpd -y

二、安装完服务后，进入网卡配置，配置一个静态IP，而后从新启动网卡

[root@localhost html]# vim /etc/sysconfig/network-scripts/ifcfg-ens33    //配置网卡
[root@localhost ~]# service network restart  //从新启动网卡

三、接下来绑定网卡，Linux绑定VMnet2网卡，Win10-1绑定VMnet1，Win10-2绑定VMnet3



四、打开两台Win10，分别配置固定IP


关闭Win10的防火墙，以避免对实验形成影响
五、为了实验须要在/html和/ftp里建立两个文件

[root@localhost ~]# cd /var/www/html/   
[root@localhost html]# ls
[root@localhost html]# vim index.html

[root@localhost html]# systemctl start httpd   //启动http服务
[root@localhost html]# systemctl stop firewalld.service  //关闭防火墙 
[root@localhost html]# setenforce 0   //关闭加强性安全功能
[root@localhost html]# systemctl start vsftpd   //启动ftp服务
[root@localhost html]# echo "this is ftp" > ftp.txt   //在ftp里写入内容

六、进入到RI路由器中配置，分别给接口配置ip地址


七、配置完以后查看主机之间的互通性


此时Win10-1和Win10-2均可以访问服务端的ftp和web服务



八、进入都R1里进行配置，达到实验目的

access-list 100 permit tcp host 192.168.1.2 host 192.168.100.100 eq www
// 容许192.168.1.10的主机访问地址为192.168.100.100服务器的web服务（web属于tcp协议）

access-list 100 deny ip host 192.168.1.2 host 192.168.100.100
// 拒绝192.168.1.10的主机访问地址为192.168.100.100服务器的任何服务（ip表示任何服务协议）

access-list 100 permit ip host 192.168.1.2 192.168.2.0 0.0.0.255
// 容许192.168.1.10的主机访问2.0网段的主机

int f0/0  // 进入f0/0接口
ip access-group 100 in // acl应用于f0/0接口上

实验结果

Win10-1依旧能够访问Web服务

也可ping通Win10-2主机，可是没法访问ftp服务