English
资源说明：通过路由器访问控制列表（ACL）实现特定的网络访问策略是网络管理中的常见操作。在这个实验中，我们将学习如何配置路由器的ACL，以阻止R3通过telnet访问R2，以及防止R1 ping通R2。这涉及到对IP数据包的过滤，确保网络安全并限制不必要的通信。
访问控制列表在Cisco路由器上通常使用`access-list`命令创建，可以基于源IP地址、目的IP地址、端口号等多种条件进行过滤。以下是在R2上创建ACL以阻止R3 telnet到R2的步骤：
1. 进入全局配置模式：
```
R2(config)#
```
2. 创建一个标准ACL，例如命名为`no_telnet_from_R3`：
```
R2(config)#access-list no_telnet_from_R3 deny ip 192.168.0.0 0.0.0.255 any
R2(config)#access-list no_telnet_from_R3 permit ip any any
```
这里第一条语句拒绝所有来自192.168.0.0/24子网的数据包，第二条语句允许所有其他流量。
3. 应用ACL到R2的S1/2接口，即R2连接R3的接口，以拒绝telnet流量：
```
R2(config)#interface s1/2
R2(config-if)#ip access-group no_telnet_from_R3 in
```
`in`关键字意味着只允许进入接口的数据包受此ACL影响。
接下来，在R1上创建ACL以防止R1 ping通R2，步骤类似：
1. 创建一个新ACL，例如命名为`no_ping_to_R2`：
```
R1(config)#access-list no_ping_to_R2 deny icmp any any echo
R1(config)#access-list no_ping_to_R2 permit ip any any
```
这里第一条语句拒绝所有ICMP echo请求（ping请求），第二条语句允许所有其他流量。
2. 应用ACL到R1的S1/2接口，即R1连接R2的接口：
```
R1(config)#interface s1/2
R1(config-if)#ip access-group no_ping_to_R2 out
```
`out`关键字意味着只允许从接口发出的数据包受此ACL影响。
配置完成后，需要验证ACL是否按预期工作。你可以尝试从R3再次telnet到R2，以及从R1 ping R2，应该会发现telnet尝试失败且ping请求被阻止。
此外，理解ACL的工作原理和配置技巧非常重要，因为它们是网络管理员日常维护网络安全的关键工具。在实际环境中，可能需要根据具体需求调整ACL规则，比如添加更多规则以实现更复杂的访问策略。同时，注意ACL的顺序很重要，因为路由器会按照定义的顺序检查列表中的规则，一旦找到匹配项，就不会再检查后面的规则。因此，最具体的规则通常应放在最前面，而最通用的规则放在最后。
本源码包内暂不包含可直接显示的源代码文件，请下载源码包。
