cisco网络配置问题

子网可这样划分：

生产部：19216810 255255255128

研发部：1921681128 255255255192

财务部：1921681192 255255255224

市场部：1921681224 255255255224

以上是子网号和子网掩码，这个题不知道你的web服务器放到什么位置。

2960是二层交换机，配置ACL不是在二层交换机上配置的，是在路由器上做的，这个题应该还需要配置单臂路由的，做好单臂路由就可以做ACL访问控制了。

这个如果是题的话可以做，如果是实际应用的话，路由器2611带151个点并且做了这么多ACL，这样路由器负载会很厉害的，建议换好点的设备，避免影响日常的工作。

题中有个公司的内网和外网两个网络，拓扑最好LZ能给出，具体的配置如有需要会详细给出的。

r3(config)#access-list permit tcp 19216812 000255 host 1111 eq http //允许指定IP段访问指定IP的指定服务

r3(config)# access-list 110 permit tcp 19216812 000255 host 1111 eq dns

r3(config)#access-list 110 permit tcp 19216813 000255 host 1111 eq http

r3(config)# access-list 110 permit tcp 19216813 000255 host 1111 eq dns

r3(config)# access-list 110 deny ip any any

r3(config)#int f0/1

r3(config-if)#ip access-group 110 in 在端口中实现。

指定四个语句，允许访问的两个服务到1111这样不至将来填加一个1112的服务的时候，会默认给阻止掉了。

上面两个仁兄，思路没问题，第一个要建立两个ACL，但是一个接口的同一个方向，只能用一条ACL，所以你配置两个ACL，行不通。 第二个DENY19216810的网段思路没问题。可是这样这个IP访问其他服务器的这两个服务的时候，就会阻止，而且，你这个还少一个any 关键字。

CISCO ASA 基本配置

ciscoasa#conf t 进入全局模式

ciscoasa(config)# hostname cisco 命名

ciscoasa(config)# show running-config 查看当前配置

ciscoasa(config)# show startup-config 查看保存配置

ciscoasa(config)#copy run star 保存配置

ciscoasa(config)# wr 也可保存配置

删除配置，可在怎么配置的前面加NO 就可以

clear config all

write earse

记得 再reload

全部删除你可以用一下他里面的clear 命令。注意别把系统给删除了。

CISCO ASA5510 telnet 配置

ASA5510 telnet 配置及用户名和密码配置

telnet 19216800 25525500 inside （准许内网IP TELNET到防火墙）

telnet 19216812 2552552550 inside （准许内网IP 19216812 TELNET到防火墙）

telnet 0000 0000 inside 登录任何地址都可以通过INSIDE 接口TELNET

telnet 0000 0000 outside 登录任何地址都可以通过outside 接口TELNET

telnet timeout 5

TELNET 用户名和密码配置

#usename name CISCO password //设置登入的帐号和密码

#aaa authentication telnet console LOCAL //设置AAA验证方式。 此处为LOCAL本地。也可以用AAA服务器进入验证。

#telnet 0000 0000 inside //哪些地址可telnet进此接口

#telnet timeout 10 //超时时长，以分钟为单位

CISCO ASA5510端口限速

拓扑图如下：

限速配置如下：

access-list rate_limit_1 extended permit ip any host 19216812 //(限制19216812下载)

access-list rate_limit_1 extended permit ip host 19216812 any //(限制19216812上传)

access-list rate_limit_2 extended permit ip any host 19216813 //(限制19216813下载)

access-list rate_limit_2 extended permit ip host 19216813 any //(限制19216813上传)

class-map rate_limit_1

match access-list rate_limit_1

exit

class-map rate_limit_2

match access-list rate_limit_2

exit

policy-map rate_limit

class rate_limit_1

police input 819000 4368000 //(限制19216812上传速度为99K/S)

police output 819000 4368000 //(限制19216812下载速度为99K/S)

class rate_limit_2

police input 819000 4368000 //(限制19216813上传速度为99K/S)

police output 819000 4368000 //(限制19216813上传速度为99K/S)

exit

exit

service-policy rate_limit interface inside //(应用到接口上)

注：由于是根据单个IP限制速度，所以ACL要写成一个IP两句ACL，一个匹配上传，另一个匹配下载。要是所有IP都写在一个ACL里，那么是限制所有IP的共用这99K/s。一定要写不同的ACL。

police input 819000 4368000 前一个819000速度是基本速率，后一个4368000是突发速率，突发速率可以根据自己来定义(我认为)。

CISCO ASA5510端口映射。

现在要让内网19216812的3389端口映射成外网22017836156的3389端口

要把内网19216813 的4435端口映射成外网22017836156的4435端口

static (inside,outside) tcp interface 3389 19216812 3389 netmask 255255255255

static (inside,outside) tcp interface 4435 19216813 4435 netmask 255255255255

access-list outside-inside extended permit tcp any interface outside eq 3389

access-list outside-inside extended permit tcp any interface outside eq 4435

access-group outside-inside in interface outside

语法：Ciscoasa(config)#access-list list-name extended permit tcp/udp any hsot outside_address eq port_num

list_name:访问控制列表名称

tcp/udp:需要映射的协议类型

port_num:需要映射的端口号

Ciscoasa(config)#static (inside,outside) tcp/udp interface port_num local_address port_num netmask 255255255255

Tcp/udp:需要映射的协议类型

port_num：映射前的端口号

local_address：映射后的内网主机IP地址

port_num：映射后的端口号

例如：Ciscoasa(config)#access-list 100 extended permit tcp any host 219139 eq 80

允许外网访问219139的tcp 80端口

Ciscoasa(config)#static (inside,outside) tcp interface 80 19216816254 80 netmask 255255255255

外网访问21821217162的tcp 80端口时启用静态PAT映射到内网19216816254的tcp 80端口

Ciscoasa(config)#access-group 100 in intercae outside per-user-override

访问必须调用ACL

备注如果，只是需要将内网一个服务器映射到公网可以这样做

ciscoasa(config)#static (inside, outside) 219139 19216816254

ciscoasa(config)#static (inside, outside) 219139 19216816254 10000 10 //后面的10000为限制连接数，10为限制的半开连接数。

CISCO ASA 5510 PAT 配置

ciscoasa# conf t 进入全局配置模式

ciscoasa(config)# hostname gametuzi 命名

gametuzi(config)# hostname gametuzi5510 新的名字

gametuzi5510(config)# int e0/0 进入E0/0 接口

gametuzi5510(config-if)# security-level 0 配置安全级别 因为是外部接口，安全级别为最高

gametuzi5510(config-if)# nameif outside 命名接口为外部接口

gametuzi5510(config-if)# ip address 1921683234 2552552550 添加IP地址

gametuzi5510(config-if)# no shu 启动端口

gametuzi5510(config-if)# end

gametuzi5510# conf t

gametuzi5510(config)# int e0/1 进入E0/1接口

gametuzi5510(config-if)# security-level 100 设置内部安全级别为100

gametuzi5510(config-if)# nameif inside 命名内部网络

gametuzi5510(config-if)# ip address 10111 25525500 添加IP地址

gametuzi5510(config-if)# no shu

gametuzi5510(config-if)# end

gametuzi5510# conf t

gametuzi5510(config)# global (outside) 1 interface PAT地址转换！

gametuzi5510(config)# end

gametuzi5510# conf t

gametuzi5510(config)# route outside 0000 0000 1921683254 默认路由 访问所有外部地址从1921683254 流出。

gametuzi5510(config)# nat (inside) 1 10100 25525500 内部地址转换 10100 网段

CISCO ASA5510 DHCP 配置

gametuzi5510(config)# dhcpd address 101120-1011150 inside 配置DHCP 可分配网段，并标识为内部接口

gametuzi5510(config)# dhcpd dns 19216801 添加DNS解析服务器地址

gametuzi5510(config)# dhcpd domain gametuzi 域名

gametuzi5510(config)# dhcpd enable inside 启动内部DHCP服务

gametuzi5510(config)# end

gametuzi5510# wr 保存配置

gametuzi5510(config)# access-list icmp_in extended permit icmp any any 润许PING协议转发

gametuzi5510(config)# access-group icmp_in in interface outside润许PING协议转发

gametuzi5510(config)# end

gametuzi5510# wr

Building configuration

Cryptochecksum: 32d3d557 0d55d4a3 a1a7fa13 76667f5f

1889 bytes copied in 3640 secs (629 bytes/sec)

[OK]

添加一个aclacl3001rule0permittcpdestinationserver1-ipdestination-porteq3000rule1permittcpdestinationserver2-ipdestination-porteq3001rule2denytcp注：tcp或者udp,以服务器上端口为准，检查命令：netstat进入G0/0接口packet-filter3001inbound

答案：B

本题考查思科设备ACL方面的知识。

允许访问服务器202110101的WWW服务正确的ACL应为：access-list101permittcpanyhost202110101eqwww。