某公司网络结构如图3-9所示，通过在路由器上配置访问控制列表ACL来提高内部网络和Web服务器的安全。(2011年下半年下午试题四)
问答题
访问控制列表(ACL)对流入／流出路由器各端口的数据包进行过滤。ACL按照其功能分为两类：(1)只能根据数据包的源地址进行过滤；(2)可以根据源地址、目的地址以及端口号进行过滤。
【正确答案】正确答案：(1)标准ACL (2)扩展ACL
【答案解析】解析：IP访问控制列表主要有两种类型；一类是标准访问控制列表(IP Standard Access List)，一类是扩展访问控制列表(IP Extended Access Lists)。 . 标准访问列表只对数据包中的源地址进行检查，而不考虑目的地址及端口号等过滤选项，表号为1～99。 . 扩展访问控制列表除了检查源地址和目的地址外，还可以检查指定的协议，根据数据包头中的协议类型进行过滤；还可以检查端口号，根据端口号对数据包进行过滤。扩展访问控制列表的表号范围是100～199，后来又进行了扩展，扩展的表号是2000～699。
问答题
根据图3-9的配置，补充完成下面路由器的配置命令。 Router(config)#interface(3) Router(config-if)#ip address 10．10．1．12 55．255．255．0 Router(config—if)#no shutdown Router(config—if)#exit Router(config)#interface(4) Router(config-if)#ip address 192．168．1．1 255．255．255．0 Router(config)#interface(5) Router(config-if)#ip address 10．10．2．1 255．255．255．0
【正确答案】正确答案：(3)ethemet 0／0(eO／O) (4)ethemet 0／1(e0／1) (5)serial 0／0(s0／0)
【答案解析】解析：此题为路由器端口配置命令，由图中的IP地址可以很容易推出(3)为ethemet 0／0(e0／0)，(4)为ethernet 0／1(e0／1)，(5)为serial 0／0(s0／0)。
问答题
补充完成下面的ACL语句，禁止内网用户192．168．1．254访问公司Web服务器和外网。 Router(config)#access-list 1 deny(6) Router(config)#access-list 1 permit any Router(config)#interface ethernet 0／1 Router(config-if)#ip access—group (7)
【正确答案】正确答案：(6)host 192．168．1．254 (7)in
【答案解析】解析：配置命令为： Router(config)#access—list list—number permit／deny source_IP_addresS 题中禁止内网用户192．168．1．254访问公司的w_eb服务器和外网，所以Router(config)# access-1ist 1 deny host 192．168．1．254为禁止192．168．1．254发出的分组通过，如果不匹配，检查下一条语句；Router(config)#access-list 1 permit any为允许其他IP发出的分组通过，如果不匹配，检查下一条语句；最后两句为激活ACL的命令。
问答题
请说明下面这组ACL语句的功能。 Router fconfig)#access-list 101 permit tcp any host 10．10．1．10 eq www Router(config)#interface ethernet 0／0 Router(config—if)#ip access—group 101 Out
【正确答案】正确答案：允许任何主机访问公司内部的Web服务。
【答案解析】解析：此题考查扩展ACL的配置命令，其语法为： Router(config)#access一liSt list—number permit／deny protocol source_address_source—wildcard_mask [protocol_information] destination_address destination_wildcard_mask[protocol_information][10g] 第一句说明允许来自任意源地址到目的地址为10．10．1．10的www服务器的访问，后两句为激活ACL命令，进入e0／0端口，设定为从端口输出的分组。所以这组ACL语句的功能为允许任何主机访问公司内部的Web服务。
问答题
请在上题的ACL前面添加一条语句，使得内网主机192．168．1．2可以使用telnet对Web服务器进行维护。 Router(config)#access-list 101(8)
【正确答案】正确答案：(8)permit tcp host 192．168．1．2 host 10．10．1．10 eq telnet 注意：host x-x．x．x可以写成x．x．x．x 0．0．0．0，telnet可以写成23。
【答案解析】解析：此题同上题，同样是考查扩展ACL的配置命令，其语法为： Router(config)#accesS-list list-number permit／deny protocol source_address source_wildcard_mask[protocol_information] destination_address destination_wildcard_mask[protocol_information][log] 源主机地址为192．168．1．2，目的Web服务器地址为10．10．1．10，通过Telnet连接，所以语句应为permit tcp host 192．168．1．2 host 10．10．1．10 eq telnet，又因为Telnet的端口号为23，所以也可写成permit tcp host 192．168．1．2 host 10．10．1．10 eq 23。