CCNA [Lab 11] Cấu hình Access Control List

root · Feb 25, 2014

Cấu hình Access Control List trên Cisco

ACL - Access Control List: thường được được gọi tắt là Access List rất thường được sử dụng trong các hệ thống Network.
Access Control List là một danh sách gồm nhiều dòng. Khi được sử dụng, Access control list sẽ thực thi từng dòng từ trên xuống dưới. Dòng nào phù hợp với các điều kiện thì Access Control List sẽ thực thi dòng đó và các dòng còn lại sẽ bị bỏ qua. Dòng cuối cùng của Access Control List là "deny". Nghĩa là nếu các dòng trong Access Control List không có dòng nào được thực thi thì nó sẽ thực thi dòng cuối cùng là "deny" tất cả.

I. Sơ đồ và yêu cầu cho bài lab cấu hình Access Control List
1. Sơ đồ
- mô hình triển khai bài lab cấu hình Access Control List trên hệ thống Cisco

2.Yêu cầu
- Thiết lập sơ đồ
- Cấu hình cơ bản trên các thiết bị
- Đặt IP theo sơ đồ. Mô tả các interface đấu nối
- Trên Switch

Sw1 tạo 3 VLAN
- VLAN 1: 192.168.1.0/24 (F0/1 - F0/7)
- VLAN 2: 192.168.2.0/24 (F0/8 - F0/15)
- VLAN 3: 192.168.3.0/24 (F0/16 - F0/23)
Sw2 tạo VLAN 4: 192.168.4.0/24 (F0/1 - F0/23)

- R1 chạy định tuyến và cấp IP cho VLAN 1,2,3
- R2 chạy định tuyến và cấp IP cho VLAN 4

- Viết Access control list

Cấm PC của VLAN 1 và VLAN 2 liên lạc với nhau
Trên VLAN 2:
- Cấm range: 192.168.2.1 --> 192.168.2.127 ping đến VLAN 4
- Cấm range: 192.168.2.128 trở đi telnet đến PC thuộc VLAN 4
Cấm PC thuộc VLAN 4 telnet đến R1
Cấm VLAN 1,2,3 đi internet. VLAN đi được internet
Trên VLAN 4
- Cấm Range 192.168.4.1 --> 192.168.4.127 ping ra internet, còn lại cho phép
- Cấm range 192.168.4.128 trở đi ra internet bằng web, còn lại cho phép

- tham khảo thêm các bài lab liên quan.

- Các bài lý thuyết tham khảo:

Tổng hợp các bài viết lý thuyết và LAB chương trình CCNA của CISCO.

root · Feb 25, 2014

II. triển khai lab cấu hình Access Control List

1. Switch Sw1

Code:

Sw1(config)#vlan 2
Sw1(config-vlan)#vlan 3
Sw1(config-vlan)#interface range f0/1-7
Sw1(config-if-range)#switchport mode access
Sw1(config-if-range)#switchport access vlan 1
Sw1(config-if-range)#interface range f0/8-15
Sw1(config-if-range)#switchport mode access
Sw1(config-if-range)#switchport access vlan 2
Sw1(config-if-range)#interface range f0/16-23
Sw1(config-if-range)#switchport mode access
Sw1(config-if-range)#switchport access vlan 3
Sw1(config-if-range)#interface f0/24
Sw1(config-if)#switchport mode trunk
Sw1(config-if)#exit
Sw1(config)#spanning-tree portfast default

2. Router R1

Code:

Router(config)#hostname R1
R1(config)#interface s0/0/0
R1(config-if)#ip address 192.168.12.1 255.255.255.252
R1(config-if)#no shutdown
R1(config-if)#interface f0/1
R1(config-if)#no shutdown
R1(config-subif)#encapsulation dot1Q 1
R1(config-subif)#ip address 192.168.1.254 255.255.255.0
R1(config-subif)#interface f0/1.2
R1(config-subif)#encapsulation dot1Q 2
R1(config-subif)#ip address 192.168.2.254 255.255.255.0
R1(config-subif)#interface f0/1.3
R1(config-subif)#encapsulation dot1Q 3
R1(config-subif)#ip address 192.168.3.254 255.255.255.0

R1(config)#router ospf 1
R1(config-router)#network 192.168.12.0 0.0.0.3 area 0
R1(config-router)#network 192.168.1.0 0.0.0.255 area 0
R1(config-router)#network 192.168.2.0 0.0.0.255 area 0
R1(config-router)#network 192.168.3.0 0.0.0.255 area 0

R1(config)#ip dhcp pool VLAN1
R1(dhcp-config)#network 192.168.1.0 255.255.255.0
R1(dhcp-config)#default-router 192.168.1.254
R1(dhcp-config)#dns-server 8.8.8.8
R1(dhcp-config)#exit
R1(config)#ip dhcp pool VLAN2
R1(dhcp-config)#network 192.168.2.0 255.255.255.0
R1(dhcp-config)#default-router 192.168.2.254
R1(dhcp-config)#dns-server 8.8.8.8
R1(dhcp-config)#exit
R1(config)#ip dhcp pool VLAN3
R1(dhcp-config)#network 192.168.3.0 255.255.255.0
R1(dhcp-config)#default-router 192.168.3.254
R1(dhcp-config)#dns-server 8.8.8.8

3. Switch Sw2

Code:

Sw2(config)#vlan 4
Sw2(config-vlan)#interface range f0/1-23
Sw2(config-if-range)#switchport mode access
Sw2(config-if-range)#switchport access vlan 4
Sw2(config-if-range)#interface f0/24
Sw2(config-if)#switchport mode trunk
Sw2(config-if)#exit
Sw2(config)#spanning-tree portfast default

4. Router R2

Code:

R2(config)#interface s0/0/0
R2(config-if)#ip address 192.168.12.2 255.255.255.252
R2(config-if)#no shutdown
R2(config-if)#interface f0/0
R2(config-if)#ip address 192.168.23.1 255.255.255.0
R2(config-if)#no shutdown
R2(config-if)#interface f0/1.1
R2(config-subif)#encapsulation dot1Q 4
R2(config-subif)#ip address 192.168.4.254 255.255.255.0
R2(config-subif)#interface f0/1
R2(config-if)#no shutdown

R2(config)#router ospf 2
R2(config-router)#network 192.168.12.0 0.0.0.3 area 0
R2(config-router)#network 192.168.4.0 0.0.0.3 area 0
R2(config-router)#network 192.168.23.0 0.0.0.255 area 0

R2(config)#ip dhcp pool VLAN4
R2(dhcp-config)#network 192.168.4.0 255.255.255.0
R2(dhcp-config)#default-router 192.168.4.254
R2(dhcp-config)#dns-server 8.8.8.8

5. Router R3

Code:

R3(config)#interface f0/0
R3(config-if)#ip address 192.168.23.2 255.255.255.0
R3(config-if)#no shutdown
R3(config-if)#interface f0/1
R3(config-if)#ip address dhcp
R3(config-if)#no shutdown

R3(config)#router ospf 3
R3(config-router)#network 192.168.23.0 255.255.255.0 area 0
R3(config-router)#default-information originate

R3(config)#access-list 1 permit any
R3(config)#ip nat inside source list 1 interface f0/1 overload
R3(config)#interface f0/1
R3(config-if)#ip nat outside
R3(config-if)#interface f0/0
R3(config-if)#ip nat inside

6. Router ISP
- Cấu hình trên Router ISP

Code:

ISP(config)#interface f0/1
ISP(config-if)#ip address 123.123.123.123 255.255.0.0
ISP(config-if)#no shutdown

ISP(config-if)#interface f0/0
ISP(config-if)#ip address 8.8.8.254 255.0.0.0
ISP(config-if)#no shutdown

ISP(config-if)#exit
ISP(config)#ip dhcp pool ISP
ISP(dhcp-config)#network 123.123.0.0 255.255.0.0
ISP(dhcp-config)#default-router 123.123.123.123
ISP(dhcp-config)#dns-server 8.8.8.8

==> Tới đây đã hoàn thành các bước xây dựng xong một mạng LAN cho phép đi internet. Tiếp theo chúng ta cần viết các chính sách để quản lý hệ thống mạng LAN

root · Feb 25, 2014

III. Xây dựng các chính sách bằng Access Control List

1. Cấm VLAN 1 liên lạc VLAN 2
-Ta có thể viết trên f0/1.1 or f0/1.2 ở đây mình sẽ viết trên f0/1.1 dạng "name standard" để dễ sửa ACL

Code:

R1(config)#ip access-list standard vlan1
R1(config-std-nacl)#deny 192.168.2.0 0.0.0.255
R1(config-std-nacl)#permit any
R1(config-std-nacl)#exit
R1(config)#interface f0/1.1
R1(config-subif)#ip access-group vlan1 out

- Kiểm tra Access list trên R1

- Dùng PC thuộc VLAN ping kiểm tra xem có liên lạc được với VLAN 1 và VLAN 3 không

- Ta thấy VLAN 2 không ping được đến VLAN 1 vì nó đã bị ACL chặn. tuy nhiên, nó vẫn ping được đến VLAN 3 vì ACL permit

2. Cấu hình Access Control List trên VLAN 2

2.1 Cấm range 192.168.2.1 --> 192.168.2.127 ping đến VLAN 4
- Thực hiện viết ACL trên interface f0/1.1 dạng "name-ACL Extended"

Code:

R2(config)#ip access-list extended vlan4
R2(config-ext-nacl)#deny icmp 192.168.2.0 0.0.0.127 192.168.4.0 0.0.0.255
R2(config-ext-nacl)#permit ip any any
R2(config-ext-nacl)#interface f0/1.1
R2(config-subif)#ip access-group vlan4 out

- Dùng PC thuộc VLAN 2 có địa chỉ 192.168.2.1 ping đến mạng VLAN 4 không thành công

- Dùng PC thuộc VLAN 2 có địa chỉ 192.168.2.130 ping đến VLAN 4 thì thành công

2.2 Cấm range 192.168.2.128 trở đi telnet đến VLAN 4
- Ta sẽ viết thêm vào ACL bên trên 1 dòng "deny" cho các PC thuộc VLAN 2 có địa chỉ từ 192.168.2.128 trở đi không telnet được đến VLAN 4.

Code:

R2(config)#ip access-list extended vlan4
R2(config-ext-nacl)#do sh access-list
R2(config-ext-nacl)#15 deny tcp 192.168.2.128 0.0.0.127 192.168.4.0 0.0.0.255 eq 23

- Kiểm tra ACL ta thấy ACL vlan 4 đã thêm dòng 15 vào

- Dùng PC thuộc VLAN 2 có địa chỉ 192.168.2.1 ping đến mạng VLAN 4 không thành công
- Dùng PC thuộc VLAN 2 có địa chỉ 192.168.2.130 ping đến VLAN 4 thì thành công

3. Cấm PC thuộc VLAN 4 telnet đến R1
- Thực hiện viết ACL trên R1 và áp vào cổng vty

Code:

R1(config)#ip access-list standard telnet
R1(config-std-nacl)#deny 192.168.4.0 0.0.0.255
R1(config-std-nacl)#permit any
R1(config-std-nacl)#exit
R1(config)#line vty 0 4
R1(config-line)#access-class telnet in

- Kiểm tra thấy mạng VLAN 4 ko telnet được vào R1 nhưng các mạng khác vẫn telnet được đến R1

4. Cấm VLAN 1,2,3 đi internet. VLAN 4 được đi internet
- Thực hiện viết ACL trên Router biên R3 tại interface f0/0

Code:

R3(config)#ip access-list extended internet
R3(config-ext-nacl)#deny ip 192.168.1.0 0.0.0.255 any
R3(config-ext-nacl)#permit ip any any
R3(config-ext-nacl)#interface f0/0
R3(config-if)#ip access-group internet in

5. Cấu hình Access Control List trên VLAN 4

5.1 Cấm range 192.168.4.1 --> 192.168.4.127 ping ra internet, còn lại cho phép

Code:

R3(config)#ip access-list extended internet
R3(config-ext-nacl)#15 deny icmp 192.168.4.0 0.0.0.127 any

5.2 Cấm range 192.168.4.128 trở đi ra internet bằng web, còn lại được phép

Code:

R3(config)#ip access-list extended internet
R3(config-ext-nacl)#16 deny tcp 192.168.4.128 0.0.0.127 any eq 80

khoa.ntk01 · Jan 6, 2015

root ơi,,,mất ảnh luôn rồi, up lại ảnh nha root

root · Jan 7, 2015

hi bạn,

Đã upload lại hình bài lab.
Thanks bạn đã quan tâm đến bài lab!

baogum · Aug 1, 2018

cảm ơn bạn.

Ask question

Answer

Contact Staff

CCNA [Lab 11] Cấu hình Access Control List

root

Well-Known Member

Cấu hình Access Control List trên Cisco

root

Well-Known Member

II. triển khai lab cấu hình Access Control List

root

Well-Known Member

III. Xây dựng các chính sách bằng Access Control List

2. Cấu hình Access Control List trên VLAN 2

5. Cấu hình Access Control List trên VLAN 4

khoa.ntk01

Member

root

Well-Known Member

baogum

New Member

About Us

What's new

Online statistics

Ask question

Answer

Contact Staff

Follow Us On Social Media

CCNA [Lab 11] Cấu hình Access Control List

root

Well-Known Member

Cấu hình Access Control List trên Cisco

root

Well-Known Member

II. triển khai lab cấu hình Access Control List

root

Well-Known Member

III. Xây dựng các chính sách bằng Access Control List

2. Cấu hình Access Control List trên VLAN 2

5. Cấu hình Access Control List trên VLAN 4

khoa.ntk01

Member

root

Well-Known Member

baogum

New Member

Follow Us On Social Media

About Us

What's new

Online statistics