CISCO路由器訪問控制列表---之經理權利

 

在公司內爲了各個部門的信息安全，一般都是不允許部門之間互相通訊的，經理級別的人物那當然是例外啦，下面就看我們怎麼完成這個任務吧。

任務：即實現各部門之間不能通訊，但經理之間可以通訊，公司所有人都能上外網

由於實驗關係，拓撲圖比較簡單，如下：

1、 首先讓所有的PC機都能通訊，交換機實現VLAN兼路由

啓動VTP

Switch(config)#vtp domain test

Switch(config)#vtp mode server

Switch(config)#vtp password admin

Switch(config)#vtp version 2

Switch(config)#vtp pruning

創建VLAN 每個部門創建一個VLAN，宣傳部爲VLAN10 通訊部爲VLAN20

Switch(config)#vlan 10

Switch(config-vlan)#name xuanchuan

Switch(config-vlan)#ex

Switch(config)#vlan 20

Switch(config-vlan)#name tongxun

啓動TRUNK鏈路

Switch(config)#interface f0/1

Switch(config-if)#switchport mode trunk

將宣傳部劃分爲VLAN10

Switch(config)#interface f0/2

Switch(config-if)#switchport access vlan 10

Switch(config-if)#ex

Switch(config)#interface f0/3

Switch(config-if)#switchport access vlan 10

將通訊部劃分爲VLAN20

Switch(config)#interface f0/4

Switch(config-if)#switchport access vlan 20

Switch(config-if)#ex

Switch(config)#interface f0/5

Switch(config-if)#switchport access vlan 20

2、路由器的F0/0接口設置子接口

將F0/0.1接口加入VLAN10

r1(config)#interface f0/0.1

r1(config-subif)#encapsulation dot1Q 10

配置IP

r1(config-subif)#ip address 192.168.1.1 255.255.255.0

將F0/0.2接口加入VLAN20

r1(config)#interface f0/0.2

r1(config-subif)#encapsulation dot1Q 20

配置IP

r1(config-subif)#ip address 192.168.2.1 255.255.255.0

3、路由器配置RIP

r1(config)#router rip

r1(config-router)#network 192.168.1.0

r1(config-router)#network 192.168.2.0

r1(config-router)#network 172.16.1.0

模擬外網路由器配置rip

router(config-router)#network 172.16.1.0

4、路由器上配置訪問列表

訪問列表1

r1(config)#access-list 1 permit 192.168.1.2 0.0.0.0

r1(config)#access-list 1 deny 192.168.1.0 0.0.0.255

r1(config)#access-list 1 permit any

訪問列表2

r1(config)#access-list 2 permit 192.168.2.2 0.0.0.0

r1(config)#access-list 2 deny 192.168.2.0 0.0.0.255

r1(config)#access-list 2 permit any

5、訪問列表應用到接口上

根據標準訪問控制列表，要綁定靠近目標IP的路由器接口上

所以訪問控制列表1要綁定到F0/0.2

r1(config)#interface f0/0.1

r1(config-subif)#ip access-group 2 out

所以訪問控制列表2要綁定到F0/0.1

r1(config)#interface f0/0.2

r1(config-subif)#ip access-group 1 out

6、驗證，通過各個PC機的PING，檢驗是否成功。

注：本文旨在說明原理方法，不考慮實際應用環境

感謝懶人學網絡提出的錯誤信息及意見