ACL：命名扩展 —— proto + src + dst

安全
中级
12 分钟
4 个步骤
Cisco IOS-style

构建一条*命名*扩展 ACL WEB-IN，允许来自受信任主机的 HTTP，但阻止同一主机的 ICMP，然后在 R2 上入方向绑定。

免费 · 无需安装 · 无需注册

场景

编号 ACL 能用但不可扩展：100-199 意味着最多 100 条扩展 ACL，名字毫无意义，而且无法在不重输整个列表的情况下*插入*某条表项。 命名扩展 ACL 是 Cisco 的现代答案：可读名称、每条表项的序号、子模式编辑。 `` ip access-list extended <NAME> permit|deny <proto> <src-form> <dst-form> ` 在子模式中每行是 permit|deny <proto> <src> <dst>。地址形式 —— host、any、<network> <wildcard>` —— 与你已经熟悉的编号 ACL 语法完全一致。

拓扑

1 × 交换机, 3 × 路由器 · Cisco IOS-style

HUB — 交换机
H1 — 路由器
H2 — 路由器
R2 — 路由器

你将完成的任务

在 R2 上进入 WEB-IN 的命名扩展 ACL 子模式：ip access-list extended WEB-IN。在你添加表项前，列表是空的。
在子模式内，允许从 H1（10.0.0.10）到任意目的地的 TCP：permit tcp host 10.0.0.10 any。
在 permit *之后*添加 deny icmp host 10.0.0.10 any。在首次匹配语义下，这意味着来自 H1 的 ICMP 被阻断，而 TCP 仍然通行。
在 R2 的 Gi0/0 上入方向应用 WEB-IN，使用 ip access-group WEB-IN in。

在浏览器中打开本实验 →

同主题的更多实验

本实验的其他语言版本