ACL访问控制列表配置实验_pc1可以telnet r1,但不能ping r1;pc1可以ping r2但是不能telnet r

项目场景：

       通过对如图的拓扑进行配置，使得设备可以满足要求。

需求分析：

需求：

1. PC1可以telnet R1，但不能ping R1；PC1可以ping R2，但是不能telnetR2；

2. PC2和PC1相反：

       PC2可以ping R1，但不能telnet R1，PC2可以telnet R2，但不能ping R2

分析：

PC1可以telnet R1，但不能ping R1；PC2可以ping R1，但不能telnet R1

PC1可以ping R2，但是不能telnetR2；PC2可以telnet R2，但不能ping R2

deny规则① PC1不能ping R1；② PC2不能telnetR1；③ PC1不能telnetR2；④ PC2不能ping R2；

由于因为R1有两个接口，所以关于R1的规则得写两条规则。

---

实验步骤：

配置ACL前配置：

1. 更改设备名称

[Huawei]sys r1/r2/pc1/pc2

2. 配置IP地址
[r1-GigabitEthernet0/0/0]ip address 192.168.1.1 24

[r1-GigabitEthernet0/0/1]ip address 192.168.2.1 24

[r2-GigabitEthernet0/0/0]ip address 192.168.2.2 24

[pc1-GigabitEthernet0/0/0]ip address 192.168.1.10 24

[pc2-GigabitEthernet0/0/0]ip address 192.168.1.11 24

3. 配置静态路由

[r2]ip route-static 192.168.1.0 24 192.168.2.1

[pc1]ip route-static 192.168.2.0 24 192.168.1.1

[pc2]ip route-static 192.168.2.0 24 192.168.1.1

配置完成测试一下是否可以通信

可以通信。

配置Telnet

1. 配置R1的telnet：

① 进入本地的AAA密码认证配置模式：

[r1]aaa

② 创建账号、密码：
[r1-aaa]local-user admin1 password cipher 123456

Info: Add a new user.

③ 设置的账号等级等：
[r1-aaa]local-user admin1 privilege level 15

④ 设置该账号的服务类型是telnet：
[r1-aaa]local-user admin1 service-type telnet

⑤ 进入VTY 0-4接口：

[r1]user-interface vty 0 4

⑥ 配置VTY0 4接口的认证模式为aaa：

[r1-ui-vty0-4]authentication-mode aaa

2. 配置R2的telnet

[r2-aaa]
[r2-aaa]local-user hcia password cipher 123456
Info: Add a new user. 
[r2-aaa]local-user hcia privilege level 15
[r2-aaa]local-user hcia service-type telnet

[r2]user-interface vty 0 4
[r2-ui-vty0-4]authentication-mode aaa

配置ACL

需求：

PC1可以telnet R1，但不能ping R1；PC2可以ping R1，但不能telnet R1

PC1可以ping R2，但是不能telnetR2；PC2可以telnet R2，但不能ping R2

1. 创建ACL列表：

[r1]acl 3000

2. 在ACL列表中添加规则：

PC1不能ping R1：
[r1-acl-adv-3000]rule deny icmp source 192.168.1.10 0.0.0.0 destination 192.168.1.1 0.0.0.0
[r1-acl-adv-3000]rule deicmp source 192.168.1.10 0.0.0.0 destination 192.168.2.1 0.0.0.0

PC2不能telnetR1：
[r1-acl-adv-3000]rule deny tcp source 192.168.1.11 0.0.0.0 destination 192.168.1.1 0.0.0.0
[r1-acl-adv-3000]rule deny tcp source 192.168.1.11 0.0.0.0 destination 192.168.2.1 0.0.0.0

PC1不能telnetR2：

[r1-acl-adv-3000]rule deny tcp source 192.168.1.10 0.0.0.0 destination 192.168.2.2 0.0.0.0

PC2不能ping R2：

[r1-acl-adv-3000]rule deny icmp source 192.168.1.11 0.0.0.0 destination 192.168.2.2 0.0.0.0

[r1-acl-adv-3000]display acl 3001

3. 在接口上调用ACL列表

[r1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

---

实验结果：

测试要求1：

测试要求2：

此时，我们看到实验中的要求已全部满足，实验成功！