HSRPSTPACL

1 HSRP配置    

1.1 问题

在企业网络到外部的连接方案中，要求不高的条件下可以是单出口。一旦该出口线路出现问题，整个企业网络就不能连接到外网了。为了使得企业网络到外网连接的高可用性，可以设置两个以上的出口，然而多个出口对于内网主机意味着我个网关。主机不能同时使用多个网关，当主机所使用的网关出现故障时，它不能实现网关的自动切换。

1)配置热备份路由协议

1.2 方案

在出口设备上配置热备份路由协议（HSRP），组成一个HSRP组，组内两个出口设备共享一个虚拟IP地址，该IP地址作为内网主机的网关。

HSRP组成员有主备之分，虚拟IP地址被附加到主设备上。如果主设备线路出故障，备份设备会成为主设备，虚拟IP地址也会迁移过来。这样，不管哪一个出口设备出现问题，不管哪个出口设备在提供外网接入，内网主机的网关都不需要改变。

网络拓扑图如图－1所示：

图－1

 

 

蓝色区域表示内网，上面模拟到外网的连接。

1.3 步骤

实现此案例需要按照如下步骤进行。

步骤一：分别在三台路由器上配置端口IP地址

  1. tarena-R1(config)#int f0/0
  2. tarena-R1(config-if)#ip address 192.168.0.1 255.255.255.0
  3. tarena-R1(config-if)#no shutdown
  4. tarena-R1(config-if)#interface f0/1
  5. tarena-R1(config-if)#ip address 192.168.1.1 255.255.255.0
  6. tarena-R1(config-if)#no shutdown
  7. tarena-R2(config)#interface f0/0
  8. tarena-R2(config-if)#ip address 192.168.0.2 255.255.255.0
  9. tarena-R2(config-if)#no shutdown
  10. tarena-R2(config-if)#interface f0/1
  11. tarena-R2(config-if)#ip address 192.168.2.1 255.255.255.0
  12. tarena-R2(config-if)#no shutdown
  13. tarena-R3(config)#interface f0/0
  14. tarena-R3(config-if)#ip address 192.168.1.2 255.255.255.0
  15. tarena-R3(config-if)#no shutdown
  16. tarena-R3(config-if)#interface f0/1
  17. tarena-R3(config-if)#ip address 192.168.2.2 255.255.255.0
  18. tarena-R3(config-if)#no shutdown
  19. tarena-R3(config-if)#interface f1/0
  20. tarena-R3(config-if)#ip address 200.1.1.1 255.255.255.0
  21. tarena-R3(config-if)#no shutdown

步骤二：在R1和R2上配置到外网的默认路由

  1. tarena-R1(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.2
  2. tarena-R1(config)#end
  3. tarena-R1#show ip route
  4. Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
  5. D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
  6. N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
  7. E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
  8. i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
  9. * - candidate default, U - per-user static route, o - ODR
  10. P - periodic downloaded static route
  11. Gateway of last resort is 192.168.1.2 to network 0.0.0.0
  12. C 192.168.0.0/24 is directly connected, FastEthernet0/0
  13. C 192.168.1.0/24 is directly connected, FastEthernet0/1
  14. S* 0.0.0.0/0 [1/0] via 192.168.1.2
  15. tarena-R1#
  16. tarena-R2(config)#ip route 0.0.0.0 0.0.0.0 192.168.2.2
  17. tarena-R2(config)#exit
  18. tarena-R2#show ip route
  19. Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
  20. D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
  21. N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
  22. E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
  23. i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
  24. * - candidate default, U - per-user static route, o - ODR
  25. P - periodic downloaded static route
  26. Gateway of last resort is 192.168.2.2 to network 0.0.0.0
  27. C 192.168.0.0/24 is directly connected, FastEthernet0/0
  28. C 192.168.2.0/24 is directly connected, FastEthernet0/1
  29. S* 0.0.0.0/0 [1/0] via 192.168.2.2

步骤三：在R3上配置到企业内网的静态路由

  1. tarena-R3(config)#ip route 192.168.0.0 255.255.255.0 192.168.2.1
  2. tarena-R3(config)#ip route 192.168.0.0 255.255.255.0 192.168.1.1
  3. tarena-R3(config)#end
  4. tarena-R3#show ip route
  5. Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
  6. D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
  7. N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
  8. E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
  9. i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
  10. * - candidate default, U - per-user static route, o - ODR
  11. P - periodic downloaded static route
  12. Gateway of last resort is not set
  13. S 192.168.0.0/24 [1/0] via 192.168.2.1
  14. [1/0] via 192.168.1.1
  15. C 192.168.1.0/24 is directly connected, FastEthernet0/0
  16. C 192.168.2.0/24 is directly connected, FastEthernet0/1
  17. C 200.1.1.0/24 is directly connected, FastEthernet1/0
  18. tarena-R3#

步骤四：在R1上配置HSRP，指定其优先级为200

HSRP的默认优先级为100，路由器启动后，根据优先级决定谁可以成为活跃路由器，优先级高的将胜出。如果路由器优先级相同，再比较端口IP地址，IP地址大的成为活路跃路由器。

另外，如果优先级低的路由器先启动了，它将成为活跃路由器。优先级高的路由器启动后，发现已有活跃路由器存在，它将接受现状，直到活跃路由器出现故障它才会在重新选举时成为活跃角色。

  1. tarena-R1(config)#interface f0/0
  2. tarena-R1(config-if)#standby 1 ip 192.168.0.254
  3. tarena-R1(config-if)#standby 1 priority 200
  4. %HSRP-6-STATECHANGE: FastEthernet0/0 Grp 1 state Speak -> Standby
  5. %HSRP-6-STATECHANGE: FastEthernet0/0 Grp 1 state Standby -> Active

配置HSRP后，通过输出日志可以观察到路由器角色的改变。

步骤五：在R2上配置HSRP，指定其优先级为195

  1. tarena-R2(config)#interface f0/0
  2. tarena-R2(config-if)#standby 1 ip 192.168.0.254
  3. tarena-R2(config-if)#standby 1 priority 195
  4. %HSRP-6-STATECHANGE: FastEthernet0/0 Grp 1 state Speak -> Standby

步骤六：分别在R1和R2上查看HSRP信息

  1. tarena-R1#show standby brief
  2. P indicates configured to preempt.
  3. |
  4. Interface Grp Pri P State Active Standby Virtual IP
  5. Fa0/0 1 200 Active local 192.168.0.2 192.168.0.254
  6. tarena-R2#show standby brief
  7. P indicates configured to preempt.
  8. |
  9. Interface Grp Pri P State Active Standby Virtual IP
  10. Fa0/0 1 195 Standby 192.168.0.1 local 192.168.0.254

根据输出信息，可以看到优先级大的R1成为了活跃路由器，继续在其上面查看arp信息，能够查看到虚拟IP地址被附加到R1上了。

  1. tarena-R1#show ip arp
  2. Protocol Address Age (min) Hardware Addr Type Interface
  3. Internet 192.168.0.1 - 0005.5E53.3001 ARPA FastEthernet0/0
  4. Internet 192.168.0.254 12 0000.0C9F.F001 ARPA FastEthernet0/0
  5. Internet 192.168.1.1 - 0005.5E53.3002 ARPA FastEthernet0/1

步骤七：在内部主机上测试到外网主机的连通性

  1. PC>ipconfig
  2. FastEthernet0 Connection:(default port)
  3. Link-local IPv6 Address.........: FE80::207:ECFF:FE80:557D
  4. IP Address......................: 192.168.0.10
  5. Subnet Mask.....................: 255.255.255.0
  6. Default Gateway.................: 192.168.0.254
  7. PC>ping 200.1.1.10
  8. Pinging 200.1.1.10 with 32 bytes of data:
  9. Reply from 200.1.1.10: bytes=32 time=0ms TTL=126
  10. Reply from 200.1.1.10: bytes=32 time=0ms TTL=126
  11. Reply from 200.1.1.10: bytes=32 time=0ms TTL=126
  12. Reply from 200.1.1.10: bytes=32 time=1ms TTL=126
  13. Ping statistics for 200.1.1.10:
  14. Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
  15. Approximate round trip times in milli-seconds:
  16. Minimum = 0ms, Maximum = 1ms, Average = 0ms
  17. PC>tracert 200.1.1.10
  18. Tracing route to 200.1.1.10 over a maximum of 30 hops:
  19. 1 0 ms 1 ms 0 ms 192.168.0.1
  20. 2 0 ms 1 ms 0 ms 192.168.1.2
  21. 3 0 ms 0 ms 0 ms 200.1.1.10
  22. Trace complete.
  23. PC>

Ping命令只能检测网络是否连通，如果要查看具体路径需要使用tracert。根据tracert显示结果，R1转发了PC机的数据包。

步骤八：关闭R1电源，模拟设备故障，查看R2的HSRP信息

  1. tarena-R2#
  2. %HSRP-6-STATECHANGE: FastEthernet0/0 Grp 1 state Standby -> Active
  3. tarena-R2#show standby brief
  4. P indicates configured to preempt.
  5. |
  6. Interface Grp Pri P State Active Standby Virtual IP
  7. Fa0/0 1 195 Active local unknown 192.168.0.254
  8. tarena-R2#show ip arp
  9. Protocol Address Age (min) Hardware Addr Type Interface
  10. Internet 192.168.0.2 - 0001.4200.9C01 ARPA FastEthernet0/0
  11. Internet 192.168.0.10 9 0007.EC80.557D ARPA FastEthernet0/0
  12. Internet 192.168.0.254 1 0000.0C9F.F001 ARPA FastEthernet0/0
  13. Internet 192.168.2.1 - 0001.4200.9C02 ARPA FastEthernet0/1
  14. Internet 192.168.2.2 9 0005.5E59.E002 ARPA FastEthernet0/1

结果显示R2已成为活跃路由器，而备份路由器状态未知。虚拟路由器的IP地址192.168.0.254/24也已迁移到R2上了。

步骤九：再次在内部主机上测试到外网主机的连通性

  1. PC>ping 200.1.1.10
  2. Pinging 200.1.1.10 with 32 bytes of data:
  3. Reply from 200.1.1.10: bytes=32 time=0ms TTL=126
  4. Reply from 200.1.1.10: bytes=32 time=1ms TTL=126
  5. Reply from 200.1.1.10: bytes=32 time=1ms TTL=126
  6. Reply from 200.1.1.10: bytes=32 time=0ms TTL=126
  7. Ping statistics for 200.1.1.10:
  8. Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
  9. Approximate round trip times in milli-seconds:
  10. Minimum = 0ms, Maximum = 1ms, Average = 0ms
  11. PC>tracert 200.1.1.10
  12. Tracing route to 200.1.1.10 over a maximum of 30 hops:
  13. 1 1 ms 0 ms 0 ms 192.168.0.2
  14. 2 0 ms 0 ms 0 ms 192.168.2.2
  15. 3 0 ms 1 ms 0 ms 200.1.1.10
  16. Trace complete.
  17. PC>

根据tracert结果，路由器R2转发了PC机的数据包

步骤十：再次在内部主机上测试到外网主机的连通性

备份路由器成为活跃路由器后，原来的活跃路由器R1即使线路修复也不会重新成为进入活跃状态。

为了使路由器完全根据优先级来决定其状态，需要配置占先权。占先权保证了严格根据优先级来决定哪台设备进入活跃状态。

  1. tarena-R1(config)#interface f0/0
  2. tarena-R1(config-if)#standby 1 preempt
  3. tarena-R2(config)#interface f0/0
  4. tarena-R2(config-if)#standby 1 preempt

2 PVST+的配置

2.1 问题

二层网络中有可能出现因为线路故障而导致的通信故障，通过冗余线路可以消除因为某一线路故障而导致的网络中断。

但是因为冗余线路的存在，又可能会出现广播风暴、相同帧的不断复制和MAC地址表不稳定。

1)配置Switch1为vlan1的主根，Switch2为vlan1的次根

2.2 方案

为了保证在冗余环境下不会出广播风暴等问题，引入了生成树（STP）协议。通过生成树协议可以把冗余线路上的某一个端口置为阻塞（BLOCKING）状态，防止广播风暴的产生，当某一线路出现故障时，被阻塞的端口自动进入转发（FORWARDING）状态，保证网络的畅通性。

网络拓扑如图－2所示：

图－2

 

 

 

2.3 步骤

实现此案例需要按照如下步骤进行。

步骤一：将三台交换机相连的端口配置为中继端口

  1. tarena-sw1(config)#interface range f0/12 -13
  2. tarena-sw1(config-if-range)#switchport mode trunk
  3. tarena-sw2(config)#interface range f0/12, f0/23
  4. tarena-sw2(config-if-range)#switchport mode trunk
  5. tarena-sw3(config)#interface range f0/13 ,f0/23
  6. tarena-sw3(config-if-range)#switchport mode trunk

步骤二：设置tarena-sw1为根网桥

根网桥唯一的依据是BID最小。BID分为两个部分：优先级+MAC地址。比较BID时，先比较优先级，如果优先级相同才比较MAC地址。

优先级取值范围是0到65535，默认值为32768。在查看优先级时，即使是默认值看到的也不是32768，因为交换机的优先级采用系统优先级+VLAN编号的方式，所以查看到的VLAN1默认优先级是32769（系统优先级32768+VLAN编号1）。

  1. tarena-sw1(config)#spanning-tree vlan 1 root primary
  2. tarena-sw1(config)#exit
  3. tarena-sw1#show spanning-tree
  4. VLAN0001
  5. Spanning tree enabled protocol ieee
  6. Root ID Priority 24577 //默认优先级为32768
  7. Address 0060.478B.607B
  8. This bridge is the root
  9. Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec
  10. Bridge ID Priority 24577 (priority 24576 sys-id-ext 1)
  11. Address 0060.478B.607B
  12. Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec
  13. Aging Time 20
  14. Interface Role Sts Cost Prio.Nbr Type
  15. ----------- ------ --- -------- -------- ----------------------
  16. Fa0/13 Desg FWD 19 128.13 P2p
  17. Fa0/12 Desg FWD 19 128.12 P2p

查看到的结果，Root ID部分指的是根网桥信息，Bridge ID部分是当前所操作的交换机信息，如果二者一致表示当前操作的交换机就是根网桥。

步骤三：设置tarena-sw2为次根，即BID值大小居中

  1. tarena-sw2(config)#spanning-tree vlan 1 root secondary
  2. tarena-sw2#show spanning-tree
  3. VLAN0001
  4. Spanning tree enabled protocol ieee
  5. Root ID Priority 24577 //此处虽然与tarena-sw1一样，但MAC地址更大
  6. Address 0060.478B.607B
  7. Cost 19
  8. Port 12(FastEthernet0/12)
  9. Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec
  10. Bridge ID Priority 28673 (priority 28672 sys-id-ext 1)
  11. Address 0090.0C77.8924
  12. Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec
  13. Aging Time 20
  14. Interface Role Sts Cost Prio.Nbr Type
  15. ---------- ---- ---- ----- -------- ---------
  16. Fa0/12 Root FWD 19 128.12 P2p
  17. Fa0/23 Desg FWD 19 128.23 P2p

步骤四：tarena-sw3不需要做改动，直接查看STP状态

  1. tarena-sw3#show spanning-tree
  2. VLAN0001
  3. Spanning tree enabled protocol ieee
  4. Root ID Priority 24577
  5. Address 0060.478B.607B
  6. Cost 19
  7. Port 13(FastEthernet0/13)
  8. Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec
  9. Bridge ID Priority 32769 (priority 32768 sys-id-ext 1)
  10. Address 0060.5C9E.2E75
  11. Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec
  12. Aging Time 20
  13. Interface Role Sts Cost Prio.Nbr Type
  14. ---------- ------ ---- ----- -------- ----------
  15. Fa0/13 Root FWD 19 128.13 P2p
  16. Fa0/23 Altn BLK 19 128.23 P2p

观察Sts列（即状态status），Fa0/23端口当前是耳塞（BLK）状态，即该端口不能转发数据。

步骤五：模拟交换机间线缆故障。将tarena-sw2的Fa0/12口shutdown，再次检查tarena-sw3端口状态

  1. tarena-sw2(config)#interface f0/12
  2. tarena-sw2(config-if)#shutdown
  3. tarena-sw3#show spanning-tree
  4. VLAN0001
  5. Spanning tree enabled protocol ieee
  6. Root ID Priority 24577
  7. Address 0060.478B.607B
  8. Cost 19
  9. Port 13(FastEthernet0/13)
  10. Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec
  11. Bridge ID Priority 32769 (priority 32768 sys-id-ext 1)
  12. Address 0060.5C9E.2E75
  13. Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec
  14. Aging Time 20
  15. Interface Role Sts Cost Prio.Nbr Type
  16. ---------- ------ ---- ----- -------- ----------
  17. Fa0/13 Root FWD 19 128.13 P2p
  18. Fa0/23 Desg FWD 19 128.23 P2p

从tarena-sw3的输出可以看到，Fa0/23端口已从阻塞状态切换到转发（FWD）状态，保证了网络的畅通。当线路恢复（在rarena-sw2的Fa0/12端口执行no shutdown）后，tarena-sw3的Fa0/23端口将重新进入阻塞状态以网止环路的产生。

在查看时，tarena-sw3的Fa0/23端口不是立即进入转发或是阻塞状态。生成树端口有阻塞，侦听，学习和转发四个状态，当拓扑变化时，端口状态改变要遵从这些状态的逐渐改变。

 

1 配置标准ACL

1.1 问题

络调通后，保证网络是通畅的。同时也很可能出现未经授权的非法访问。企业网络既要解决连连通的问题，还要解决网络安全的问题。

1)配置标准ACL实现拒绝PC2（IP地址为192.168.0.20）对Web Server P的浏览器访问

1.2 方案

访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和访问。它是保证网络安全最重要的核心策略之一。

访问控制列表（Access Control Lists,ACL）是应用在路由器接口的指令列表。这些指令列表用来告诉路由器哪能些数据包可以收、哪能数据包需要拒绝。至于数据包是被接收还是拒绝，可以由类似于源地址、目的地址、端口号等的特定指示条件来决定。

标准访问控制列表只能根据数据包的源IP地址决定是否允许通过。

网络拓扑如图－1所示：

图－1

 

1.3 步骤

实现此案例需要按照如下步骤进行。

步骤一：在R1上配置IP地址及静态路由

  1. tarena-R1(config)#interface f0/0
  2. tarena-R1(config-if)#ip address 192.168.0.1 255.255.255.0
  3. tarena-R1(config-if)#no shutdown
  4. tarena-R1(config-if)#interface f0/1
  5. tarena-R1(config-if)#ip address 192.168.1.1 255.255.255.0
  6. tarena-R1(config-if)#no shutdown
  7. tarena-R1(config-if)#exit
  8. tarena-R1(config)#ip route 192.168.2.0 255.255.255.0 192.168.1.2

步骤二：在R2上配置IP地址及静态路由

  1. tarena-R2(config)#interface f0/0
  2. tarena-R2(config-if)#ip address 192.168.1.2 255.255.255.0
  3. tarena-R2(config-if)#no shutdown
  4. tarena-R2(config-if)#interface f0/1
  5. tarena-R2(config-if)#ip address 192.168.2.1 255.255.255.0
  6. tarena-R2(config-if)#no shutdown
  7. tarena-R2(config-if)#exit
  8. tarena-R2(config)#ip route 192.168.0.0 255.255.255.0 192.168.1.1

步骤三：在R1和R2上检查路由表

  1. tarena-R1#show ip route
  2. Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
  3. D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
  4. N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
  5. E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
  6. i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
  7. * - candidate default, U - per-user static route, o - ODR
  8. P - periodic downloaded static route
  9. Gateway of last resort is not set
  10. C 192.168.0.0/24 is directly connected, FastEthernet0/0
  11. C 192.168.1.0/24 is directly connected, FastEthernet0/1
  12. S 192.168.2.0/24 [1/0] via 192.168.1.2
  13. tarena-R2#
  14. tarena-R2#show ip route
  15. Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
  16. D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
  17. N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
  18. E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
  19. i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
  20. * - candidate default, U - per-user static route, o - ODR
  21. P - periodic downloaded static route
  22. Gateway of last resort is not set
  23. S 192.168.0.0/24 [1/0] via 192.168.1.1
  24. C 192.168.1.0/24 is directly connected, FastEthernet0/0
  25. C 192.168.2.0/24 is directly connected, FastEthernet0/1

步骤四：测试主机到Web Server的连通性

在实施ACL之前先检查网络是否能够正常通信，因为没有任何限制，网络应该是处于连通状态。

PC1测试如下所示：

  1. PC>ipconfig
  2. FastEthernet0 Connection:(default port)
  3. Link-local IPv6 Address.........: FE80::2E0:F7FF:FED6:54CC
  4. IP Address......................: 192.168.0.10
  5. Subnet Mask.....................: 255.255.255.0
  6. Default Gateway.................: 192.168.0.1
  7. PC>ping 192.168.2.100
  8. Pinging 192.168.2.100 with 32 bytes of data:
  9. Request timed out.
  10. Request timed out.
  11. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  12. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  13. Ping statistics for 192.168.2.100:
  14. Packets: Sent = 4, Received = 2, Lost = 2 (50% loss),
  15. Approximate round trip times in milli-seconds:
  16. Minimum = 0ms, Maximum = 0ms, Average = 0ms
  17. PC>

PC2测试如下所示：

  1. PC>ipconfig
  2. FastEthernet0 Connection:(default port)
  3. Link-local IPv6 Address.........: FE80::2D0:BAFF:FE98:9E29
  4. IP Address......................: 192.168.0.20
  5. Subnet Mask.....................: 255.255.255.0
  6. Default Gateway.................: 192.168.0.1
  7. PC>ping 192.168.2.100
  8. Pinging 192.168.2.100 with 32 bytes of data:
  9. Reply from 192.168.2.100: bytes=32 time=2ms TTL=126
  10. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  11. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  12. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  13. Ping statistics for 192.168.2.100:
  14. Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
  15. Approximate round trip times in milli-seconds:
  16. Minimum = 0ms, Maximum = 2ms, Average = 0ms
  17. PC>

步骤五：在R2上配置标准访问控制列表，并应用到Fa0/1端口出方向上

标准访问控制列表因为只能限制源IP地址，因此应该把ACL放到离目标最近的端口出方向上。

ACL的匹配规则中，最后有一条隐含拒绝全部。如果语句中全部是拒绝条目，那么最后必须存在允许语句，否则所有数据通信都将被拒绝。

  1. tarena-R2(config)#access-list 1 deny host 192.168.0.20
  2. tarena-R2(config)#access-list 1 permit any
  3. tarena-R2(config)#interface f0/1
  4. tarena-R2(config-if)#ip access-group 1 out

步骤六：分别在两台主机上测试到Web Server的连通性

PC1测试如下所示：

  1. PC>ipconfig
  2. FastEthernet0 Connection:(default port)
  3. Link-local IPv6 Address.........: FE80::2E0:F7FF:FED6:54CC
  4. IP Address......................: 192.168.0.10
  5. Subnet Mask.....................: 255.255.255.0
  6. Default Gateway.................: 192.168.0.1
  7. PC>ping 192.168.2.100
  8. Pinging 192.168.2.100 with 32 bytes of data:
  9. Reply from 192.168.2.100: bytes=32 time=1ms TTL=126
  10. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  11. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  12. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  13. Ping statistics for 192.168.2.100:
  14. Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
  15. Approximate round trip times in milli-seconds:
  16. Minimum = 0ms, Maximum = 1ms, Average = 0ms
  17. PC>

PC2测试如下所示：

  1. PC>ipconfig
  2. FastEthernet0 Connection:(default port)
  3. Link-local IPv6 Address.........: FE80::2D0:BAFF:FE98:9E29
  4. IP Address......................: 192.168.0.20
  5. Subnet Mask.....................: 255.255.255.0
  6. Default Gateway.................: 192.168.0.1
  7. PC>ping 192.168.2.100
  8. Pinging 192.168.2.100 with 32 bytes of data:
  9. Reply from 192.168.1.2: Destination host unreachable.
  10. Reply from 192.168.1.2: Destination host unreachable.
  11. Reply from 192.168.1.2: Destination host unreachable.
  12. Reply from 192.168.1.2: Destination host unreachable.
  13. Ping statistics for 192.168.2.100:
  14. Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),
  15. PC>

结果显示PC1（IP地址为192.168.0.10）可以正常访问Web Server，而PC2（IP地址为192.168.0.20）已经被192.168.1.2（R2）拒绝。

步骤七：在R2上查看相关的ACL信息

  1. tarena-R2#show ip access-lists
  2. Standard IP access list 1
  3. deny host 192.168.0.20 (4 match(es))
  4. permit any (4 match(es))

 

2 配置扩展ACL

2.1 问题

在网络中很有可能要允许或拒绝的并不是某一个源IP地址，而是根据目标地址或是协议来匹配。但是标准访问控制列表只能根据源IP地址来决定是否允许一个数据包通过。

1)配置扩展ACL实现拒绝PC2（IP地址为192.168.0.20）访问Web Server的web服务，但可访问其他服务。

2.2 方案

为了实现更灵活、列精确的网络控制就需要用到扩展访问控制列表了。

扩展IP访问控制列表比标准IP访问控制列表具有更多的匹配项，包括协议类型、源地址、目的地址、源端口、目的端口、建立连接的和IP优先级等。

网络拓扑如图－2所示：

图－2

 

2.3 步骤

实现此案例需要按照如下步骤进行。

步骤一：将1配置标准ACL中的标准访问控制列表移除，其他配置保留

  1. tarena-R2(config)#interface f0/1
  2. tarena-R2(config-if)#no ip access-group 1 out
  3. tarena-R2(config)#no access-list 1

步骤二：在PC1和PC2上验证到Web Server的HTTP协议访问，如图3和图－4所示：

图－3

 

图－4

 

在没有配置扩展ACL的时候，两台主机均可以正常访问到Web Server。

步骤三：R1上配置扩展访问控制列表，仅拒绝PC2到Web Server的HTTP访问

扩展ACL可以对数据包中的源、目标IP地址以及端口号进行检查，所以可以将该ACL放置在通信路径中的任一位置。但是，如果放到离目标近的地方，每台路由器都要对数据进行处理，会更多的消耗路由器和带宽资源。放到离源最近的路由器端口入方向直接就将拒绝数据丢弃，可以减少其他路由器的资源占用以及带宽占用。

  1. tarena-R1(config)#access-list 100 deny tcp host 192.168.0.20 host 192.168.2.100 eq www
  2. tarena-R1(config)#access-list 100 permit ip any any
  3. tarena-R1(config)#interface f0/0
  4. tarena-R1(config-if)#ip access-group 101 in

步骤四：在PC1上验证

  1. PC>ipconfig
  2. FastEthernet0 Connection:(default port)
  3. Link-local IPv6 Address.........: FE80::2E0:F7FF:FED6:54CC
  4. IP Address......................: 192.168.0.10
  5. Subnet Mask.....................: 255.255.255.0
  6. Default Gateway.................: 192.168.0.1
  7. PC>ping 192.168.2.100
  8. Pinging 192.168.2.100 with 32 bytes of data:
  9. Reply from 192.168.2.100: bytes=32 time=1ms TTL=126
  10. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  11. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  12. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  13. Ping statistics for 192.168.2.100:
  14. Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
  15. Approximate round trip times in milli-seconds:
  16. Minimum = 0ms, Maximum = 1ms, Average = 0ms
  17. PC>

HTTP协议的验证如图－5所示：

图－5

 

从输入结果可以验证，PC1到Web Server的访问没有受到任何影响。

步骤五：在PC2上进行验证

  1. PC>ipconfig
  2. FastEthernet0 Connection:(default port)
  3. Link-local IPv6 Address.........: FE80::2D0:BAFF:FE98:9E29
  4. IP Address......................: 192.168.0.20
  5. Subnet Mask.....................: 255.255.255.0
  6. Default Gateway.................: 192.168.0.1
  7. PC>ping 192.168.2.100
  8. Pinging 192.168.2.100 with 32 bytes of data:
  9. Reply from 192.168.2.100: bytes=32 time=1ms TTL=126
  10. Reply from 192.168.2.100: bytes=32 time=1ms TTL=126
  11. Reply from 192.168.2.100: bytes=32 time=2ms TTL=126
  12. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  13. Ping statistics for 192.168.2.100:
  14. Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
  15. Approximate round trip times in milli-seconds:
  16. Minimum = 0ms, Maximum = 2ms, Average = 1ms
  17. PC>

HTTP协议的验证，如图－6所示：

图－6

 

因为只限制了到Web Server的HTTP访问，所以WEB服务已经无法访问，但是仍然可以ping通。

步骤六：在R1上查看相关的ACL信息

  1. tarena-R1#show ip access-lists
  2. Extended IP access list 100
  3. deny tcp host 192.168.0.20 host 192.168.2.100 eq www (30 match(es))
  4. permit ip any any (5 match(es))

路由器的输出表明了拒绝了30个来自PC1到Web Server的HTTP访问包。

3 配置标准命名ACL

3.1 问题

使用基本编号的ACL没有实际意义，只有通过阅读具体的条目才能得知该ACL的作用。而且ACL的编号有限制，如传统的标准ACL用1~99表示，扩展ACL用100~199表示。

1)配置标准命名ACL实现拒绝PC2（IP地址为192.168.0.20）对Web Server的访问

3.2 方案

命名访问控制列表可以为ACL起一个有意义的名字，通过名称就可以得知该ACL要实现什么功能。同时，因为使用的是名称而不是数字，也就没有了ACL数量上的限制。

网络拓扑如图－7所示：

图－7

 

3.3 步骤

实现此案例需要按照如下步骤进行。

步骤一：将2配置扩展ACL中的扩展访问控制列表移除，其他配置保留

  1. tarena-R1(config)#interface f0/0
  2. tarena-R1(config-if)#no ip access-group 100 in
  3. tarena-R1(config-if)#exit
  4. tarena-R1(config)#no access-list 100

步骤二：在R2上配置标准的命名访问控制列表

命名访问控制列表的配置总体上和用数字表示的ACL一样，但是更加灵活。

  1. tarena-R2(config)#ip access-list standard denypc2
  2. tarena-R2(config-std-nacl)#deny host 192.168.0.20
  3. tarena-R2(config-std-nacl)#permit any
  4. tarena-R2(config-std-nacl)#exit
  5. tarena-R2(config)#interface f0/1
  6. tarena-R2(config-if)#ip access-group denypc2 out

步骤三：分别在PC1和PC2上做连通性测试

PC1测试如下所示：

  1. PC>ipconfig
  2. FastEthernet0 Connection:(default port)
  3. Link-local IPv6 Address.........: FE80::2E0:F7FF:FED6:54CC
  4. IP Address......................: 192.168.0.10
  5. Subnet Mask.....................: 255.255.255.0
  6. Default Gateway.................: 192.168.0.1
  7. PC>ping 192.168.2.100
  8. Pinging 192.168.2.100 with 32 bytes of data:
  9. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  10. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  11. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  12. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  13. Ping statistics for 192.168.2.100:
  14. Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
  15. Approximate round trip times in milli-seconds:
  16. Minimum = 0ms, Maximum = 0ms, Average = 0ms
  17. PC>

PC2测试如下所示：

  1. PC>ipconfig
  2. FastEthernet0 Connection:(default port)
  3. Link-local IPv6 Address.........: FE80::2D0:BAFF:FE98:9E29
  4. IP Address......................: 192.168.0.20
  5. Subnet Mask.....................: 255.255.255.0
  6. Default Gateway.................: 192.168.0.1
  7. PC>ping 192.168.2.100
  8. Pinging 192.168.2.100 with 32 bytes of data:
  9. Reply from 192.168.1.2: Destination host unreachable.
  10. Reply from 192.168.1.2: Destination host unreachable.
  11. Reply from 192.168.1.2: Destination host unreachable.
  12. Reply from 192.168.1.2: Destination host unreachable.
  13. Ping statistics for 192.168.2.100:
  14. Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),
  15. PC>

输出结果表明，PC1的访问是正常的，而PC2到Web Server的访问被R2（IP地址为192.168.1.2）拒绝。

步骤四：在R2上查看相关的ACL信息

  1. tarena-R2#show ip access-lists
  2. Standard IP access list denypc2
  3. 10 deny host 192.168.0.20 (4 match(es))
  4. 20 permit any (4 match(es))

输出结果也表明，来自于PC2的数据包被拦截。

4 配置扩展命名ACL

4.1 问题

使用基本编号的ACL没有实际意义，只有通过阅读具体的条目才能得知该ACL的作用。而且ACL的编号有限制，如传统的标准ACL用1~99表示，扩展ACL用100~199表示。

1)配置扩展命名ACL实现拒绝PC2（IP地址为192.168.0.20）访问Web Server Web服务，但可访问其他服务。

4.2 方案

命名访问控制列表可以为ACL起一个有意义的名字，通过名称就可以得知该ACL要实现什么功能。同时，因为使用的是名称而不是数字，也就没有了ACL数量上的限制。

网络拓扑如图－8所示：

图－8

 

4.3 步骤

实现此案例需要按照如下步骤进行。

步骤一：将3配置标准命名ACL中的标准命名访问控制列表移除，其他配置保留

  1. tarena-R2(config)#interface f0/1
  2. tarena-R2(config-if)#no ip access-group denypc2 out
  3. tarena-R2(config-if)#exit
  4. tarena-R2(config)# no ip access-list standard denypc2

步骤二：在R2上配置扩展命名访问控制列表

命名访问控制列表的配置总体上和用数字表示的ACL一样，但是更加灵活。

  1. tarena-R2(config)#ip access-list extended denypc2
  2. tarena-R2(config-ext-nacl)#deny tcp host 192.168.0.20 host 192.168.2.100 eq www
  3. tarena-R2(config-ext-nacl)#permit ip any any
  4. tarena-R2(config)#interface fastEthernet 0/1
  5. tarena-R2(config-if)#ip access-group denypc2 out

步骤三：在R2上查看相关的ACL信息

  1. tarena-R2#show access-lists
  2. Extended IP access list denypc2
  3. 10 deny tcp host 192.168.0.20 host 192.168.2.100 eq www
  4. 20 permit ip any any

步骤四：在PC1上验证

  1. PC>ipconfig
  2. FastEthernet0 Connection:(default port)
  3. Link-local IPv6 Address.........: FE80::2E0:F7FF:FED6:54CC
  4. IP Address......................: 192.168.0.10
  5. Subnet Mask.....................: 255.255.255.0
  6. Default Gateway.................: 192.168.0.1
  7. PC>ping 192.168.2.100
  8. Pinging 192.168.2.100 with 32 bytes of data:
  9. Reply from 192.168.2.100: bytes=32 time=1ms TTL=126
  10. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  11. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  12. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  13. Ping statistics for 192.168.2.100:
  14. Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
  15. Approximate round trip times in milli-seconds:
  16. Minimum = 0ms, Maximum = 1ms, Average = 0ms
  17. PC>

HTTP协议的验证如图－9所示：

图－9

 

从输入结果可以验证，PC1到Web Server的访问没有受到任何影响。

步骤五：在PC2上进行验证

  1. PC>ipconfig
  2. FastEthernet0 Connection:(default port)
  3. Link-local IPv6 Address.........: FE80::2D0:BAFF:FE98:9E29
  4. IP Address......................: 192.168.0.20
  5. Subnet Mask.....................: 255.255.255.0
  6. Default Gateway.................: 192.168.0.1
  7. PC>ping 192.168.2.100
  8. Pinging 192.168.2.100 with 32 bytes of data:
  9. Reply from 192.168.2.100: bytes=32 time=1ms TTL=126
  10. Reply from 192.168.2.100: bytes=32 time=1ms TTL=126
  11. Reply from 192.168.2.100: bytes=32 time=2ms TTL=126
  12. Reply from 192.168.2.100: bytes=32 time=0ms TTL=126
  13. Ping statistics for 192.168.2.100:
  14. Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
  15. Approximate round trip times in milli-seconds:
  16. Minimum = 0ms, Maximum = 2ms, Average = 1ms
  17. PC>

HTTP协议的验证，如图－10所示：

图－10

 

因为只限制了到Web Server的HTTP访问，所以WEB服务已经无法访问，但是仍然可以ping通。

转载于:https://www.cnblogs.com/fyy-hhzzj/p/8306048.html

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/252487.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

java 的 CopyOnWriteArrayList类

java 的 CopyOnWriteArrayList类

初识CopyOnWriteArrayList 第一次见到CopyOnWriteArrayList，是在研究JDBC的时候，每一个数据库的Driver都是维护在一个CopyOnWriteArrayList中的，为了证明这一点，贴两段代码，第一段在com.mysql.jdbc.Driver下&#xff0…
阅读更多...
科技的趋势！AI将进军了37%的企业

科技的趋势！AI将进军了37%的企业

2019独角兽企业重金招聘Python工程师标准>>> 市场研究机构Gartner调查了全球89个国家的逾3,000名信息长（CIO），显示有37%的企业已经或打算于近期内部署人工智能（AI），在4年内成长270%。Gartner研究…
阅读更多...
CMakeLists.txt编写规则

CMakeLists.txt编写规则

在PROJECT_SOURCE_DIR下新建了src, include, lib, bin四个子文件夹。 src文件夹用来存放所有的.cpp文件，include文件夹用来存储所有的.h文件， lib中存放生成的自己编写的共享库， bin中存放所有的可执行文件 用SET来设置.exe可执行文件和共享…
阅读更多...
瓜子二手车发12月二手车价格：汉兰达奥德赛CR-V保值率居首

瓜子二手车发12月二手车价格：汉兰达奥德赛CR-V保值率居首

中新网1月22日电 日前，基于海量个人对个人的二手车成交数据，瓜子二手车公布了12月全国及多个核心城市的二手车交易“瓜子价”数据。数据显示，2018年12月全国瓜子二手车严选直卖签约均价为87934元，环比上涨0.16%，同比上…
阅读更多...
概率分布之间的距离度量以及python实现(三)

概率分布之间的距离度量以及python实现(三)

概率分布之间的距离，顾名思义，度量两组样本分布之间的距离 。 1、卡方检验 统计学上的χ2统计量，由于它最初是由英国统计学家Karl Pearson在1900年首次提出的，因此也称之为Pearson χ2，其计算公式为 (i1，2&…
阅读更多...
C++求职题

C++求职题

文章大部分内容转载https://www.cnblogs.com/lanxuezaipiao/p/4127904.html 1.冒泡排序法： 如果有N个数字需要排序，那么需要进行(N-1)趟循环，第i趟循环需要对比的次数为(N-i)。所以可以用双重循环，外层循环用于控制循环的趟数&a…
阅读更多...
封装一个ViewPager真正的实现图片无限循环滚动带导航点

封装一个ViewPager真正的实现图片无限循环滚动带导航点

效果图： 大家在写项目的过程中常常会碰到须要实现Viewpager里面载入几张图片来循环自己主动轮播的效果，假设不封装一下的话代码分散在activity里面会显得非常乱。并且也不利于我们下次复用，所以这里我把viewpager的相关代码抽取出来放在了一个…
阅读更多...
毕业论文页眉页脚页码插入

毕业论文页眉页脚页码插入

用word这么多年，第一次完整的操作了一遍页眉页脚页码的插入过程，其实三者都要要求奇偶页不同 1.页面布局-》右下角箭头-》版式-》奇偶页不同 因为文章不同的部分需要插入不同的页眉页脚页码，所以要在不同的部分插入分解符断开它们的连接 2、…
阅读更多...
巴黎市中心降下2019年第一场雪

巴黎市中心降下2019年第一场雪

当地时间1月22日，法国巴黎市中心降下2019年第一场雪，气温也随之下降，街上的行人和车辆均有所减少。中新社记者 李洋 摄一对情侣在埃菲尔铁塔前合影留念。无家可归者在长椅上睡觉。游客在卢浮宫前拍照。
阅读更多...
Echarts实现隐藏x轴，y轴，刻度线，网格

Echarts实现隐藏x轴，y轴，刻度线，网格

"yAxis": [{//就是一月份这个显示为一个线段，而不是数轴那种一个点点"show" : true,"boundaryGap": true,"type": "category","name": "时间","data": ["1月", "2…
阅读更多...
Atom插件主题推荐

Atom插件主题推荐

注意事项 主题和插件这方面,比 Sublime Text 人性化多了..一些比较用心的作者增加了二度设置功能。 何为二度设置,就是不用手写代码修改配置文件，点点鼠标，填填输入框就能生效，主题以 isotope-ui 这个做例子介绍,看图： 进入二度设…
阅读更多...
印尼发生洪灾和山体滑坡 致多人死亡数千人撤离

印尼发生洪灾和山体滑坡 致多人死亡数千人撤离

当地时间1月23日，印尼南苏拉威西省望加锡居民受洪水影像，用竹筏运送摩托车。近日，印尼南苏拉威西省暴雨连连，造成洪灾和山体滑坡。目前，暴雨引发的洪灾和山体滑坡至少已造成8人死亡，数千人被迫撤离家园。。…
阅读更多...
pycharm中无法import已经安装的ros中的库

pycharm中无法import已经安装的ros中的库

使用pycharm写python程序，无法import 已经安装的ros包，并提示ImportError: No module named sensor_msgs.msg 解决方法如下 1. pycharm->file->settings->project:csvfile->project interpreter-> 点击右侧下三角选择 show all 2. 在弹…
阅读更多...
tcp/ip知识点的总结

tcp/ip知识点的总结

知识点搜集于网络，在加上自己的总结，还有很多不全，希望大家多提意见，共享学习！ 一、TCP/IP是什么？ TCP/IP是一个协议族，而不是单独的协议。包括arp、ip、icmp、tcp、udp、http、ftp等协议 二、T…
阅读更多...
imu_utils标定imu问题解决

imu_utils标定imu问题解决

在编译过程中遇到的一些问题可以参照这个女生的文章 https://blog.csdn.net/fang794735225/article/details/92804030 下面是imu_utils的主页，可以下载代码，也有使用步骤 https://github.com/gaowenliang/imu_utils 我下载了imu_utils主页最后面提供…
阅读更多...
术语-服务：PaaS

术语-服务：PaaS

ylbtech-术语-服务：PaaSPaaS是Platform-as-a-Service的缩写，意思是平台即服务。 把服务器平台作为一种服务提供的商业模式。通过网络进行程序提供的服务称之为SaaS(Software as a Service)，而云计算时代相应的服务器平台或者开发环境作为服务…
阅读更多...
1.App瘦身经验总结

1.App瘦身经验总结

为什么apk越来越大？ 1.项目不断发展，功能越多，代码量增加的同时，资源文件也在不断的增多2.app支持的主流dpi越来越多，如ldpi、mdpi、hdpi、xh xxh xxxh等等，间接导致资源增多3.引入的第三方sdk或开源库越来…
阅读更多...
研究相机和IMU坐标系变换

研究相机和IMU坐标系变换

刚开始录制的数据时没有考虑相机和IMU之间的坐标变换，但是后来发现跟踪效果不好，去查验imu数据时，发现，我采集保存的imu数据格式没有和euroc数据集中的imu数据保存格式统一，所以需要研究的是在euroc用于数据采集的设备…
阅读更多...
第五天:Swift拖动 item 重排 CollectionView

第五天:Swift拖动 item 重排 CollectionView

参考链接:https://www.jianshu.com/p/96f956f1479e 1 import UIKit2 3 enum VC: String {4 case ViewController5 case CollectionViewController6 7 func segueIdentifier() -> String {8 switch self {9 case .ViewController:10 …
阅读更多...
MIT Kimera阅读笔记

MIT Kimera阅读笔记

这两天在调研SLAM的最新算法，找到了2019CVPR上的一篇文章，出自于MIT，因为要给其他同事讲解，所以就把文章的重点内容在我个人理解的情况下翻译了出来，有理解不到位的还请各位大佬多多批评指正。 最后附上了Delaunay Tri…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023