Последний шаг - настройка статической маршрутизации

Заходим на Router 0

Router(config)#ip route 192.168.3.0 255.255.255.0 172.168.1.2

Router(config)#ip route 192.168.4.0 255.255.255.0 172.167.1.2

Заходим на Router 1

Router(config)#ip route 192.168.1.0 255.255.255.0 172.168.1.1

Router(config)#ip route 192.168.2.0 255.255.255.0 172.167.1.1

Access Lists Конфигурирование стандартных Access Lists-тов

формат комманды: "access-list <номер (1-99)> <действие (deny|permit)> <адрес источника>"

Пример настройки стандартного списка доступа (standart access list) на Router 1 на интерфейсе fa 0/0

Router>en

Router#conf term

Router(config)#access-list 10 deny 192.168.1.14 - доступ в сеть с узла 192.168.1.14 запрещен

Router(config)#access-list 10 permit any - всем остальным узлам доступ разрешен

Router(config)#int fa 0/0

Router(config-if)#ip access-group 10 in

ACL обрабатываются сверху вниз. Как только обрабатываемый списком пакет удовлетворяет элементу списка, обработка этого пакета прекращается.

Стандартные ACLs следует помещать ближе к точке назначения, где трафик должен фильтроваться.

Выходные (out) расширенные ACLs следует помещать как можно ближе к источнику фильтруемых пакетов, а входные следует помещать ближе к точке назначения, где трафик должен фильтроваться.

Конфигурирование расширенных Access Lists-тов

формат комманды:

"access-list <номер (100-199)> <действие (permit|deny)> <протокол> <адрес источника> <адрес получателя> <порт>"

Блокировать можно следующие типы протоколов: IP, TCP, UDP, ICMP, GRE, IGRP.

Вариант 1. Block host to host

В Вашей компании появился новый сотрудник адрес его компьютера 192.168.1.14. Критически важная информация находится на сервере 172.16.0.1.

Задача: Блокировать доступ новому сотруднику к серверу, но при этом разрешить ему доступ ко всем остальным компьютерам сети.

Router>en

Router#conf term

Router(config)#access-list 101 deny icmp host 192.168.1.14 172.16.0.1 0.0.0.0

- блокировка ICMP с хоста 192.168.1.14 к хосту 172.16.0.1

Router(config)#access-list 101 permit icmp any any

- доступ к остальным компьютерам разрешен

Router(config)#intfa0/0- связываем список доступа с интерфейсом

Router(config-if)#ip access-group 101 in

Вариант 2. Block host to network

Необходимо блокировать доступ узлу 192.168.1.14 в сеть 172.16.0.0.

(Если у вас до этого были созданы другие списки доступа - удалите их. Или откройте чистый шаблон).

Router>en

Router#confterm

Router(config)#access-list 102 deny icmp host 192.168.1.14 172.16.0.0 0.0.255.255

Router(config)#access-list 102 permit icmp any any

Router(config)#int fa 0/0

Router(config-if)#ip access-group 102 in

Вариант 3. Network to Network Access List

Например, студенческая лаборатория находится в сети 192.168.1.0 , а сервера находятся в сети 172.16.0.0

Задача: Запретить доступ сети студенческой лаборатории к сети с серверами.

Router (config)# access-list 103 deny icmp 192.168.1.0 0.0.0.255 172.16.0.0 0.0.255.255

Router (config)#access-list 103 permit icmp any any

Router (config)#int fa 0/0

Router (config-if)#ip access-group 103 in