2. 计算机
  3. 与路由器R2的f0/0端口连接的局域网LAN1是一个末节网络，而且已接近饱和，为了减少流量，需要过滤进入LAN1的路由更新。可在哪台网络设备采用什么方法实现?请写出相应的配置过程。 若LAN2中的计算机不需要访问LAN4中的计算机，为了进一步控制流量，网

与路由器R2的f0/0端口连接的局域网LAN1是一个末节网络，而且已接近饱和，为了减少流量，需要过滤进入LAN1的路由更新。可在哪台网络设备采用什么方法实现?请写出相应的配置过程。 若LAN2中的计算机不需要访问LAN4中的计算机，为了进一步控制流量，网

admin2010-01-29  27
问题 与路由器R2的f0/0端口连接的局域网LAN1是一个末节网络，而且已接近饱和，为了减少流量，需要过滤进入LAN1的路由更新。可在哪台网络设备采用什么方法实现?请写出相应的配置过程。
若LAN2中的计算机不需要访问LAN4中的计算机，为了进一步控制流量，网络管理员决定通过访问控制列表阻止192.168.2.0/24网络中的主机访问192.168.4.0/24网络。请问应将该访问控制列表设置在哪台路由器上?请写出相应的配置过程。
选项
答案应在路由器R3上配置扩展访问控制列表(1分)，其相应的配置过程示例如下： R3(config)#access-list 110 deny ip 192.168.2.0 0.0.0.255 192.168.4.0 0.0.0.255 R3(config)#access-list 110 permit ip any any R3(config)#interface f0/0 R3(config-if)#ip access-group 110 in 或其他等价配置语句
解析 为了过滤不必要的通信流量，可以通过配置访问控制列表(ACL)来实现。IP访问控制列表是一种基于路由设备接口的控制列表，可根据事先制定的访问控制准则来控制接口对数据包的接收和拒绝。IP访问控制列表主要有标准访问控制列表和扩展访问控制列表两种类型。标准访问控制列表只能检查数据包的源地址，根据源网络、子网或主机的IP地址来决定对数据包的过滤，其表号范围是1～99、1300～1999。在全局配置模式下，使用命令access-listaccess-list-number{permit|deny}source wildcard-mask配置标准访问控制列表。访问控制列表通配符(Wildcard-Mask)的作用是，指出访问控制列表过滤的IP地址范围，即路由器在进行基于源IP地址、目的IP地址过滤时，通配符告诉路由器应检查哪些地址位，忽略哪些地址位。通配符为0，表示检查相应的地址位：通配符为1，表示忽略，即不检查相应的地址位。通配符与 IP地址总是成对出现的。通常，ACL通配符用32位二进制数表示，表示形式与IP地址、子网掩码相同。实际上，通配符就是子网掩码的反码。
    扩展访问控制列表可以检查数据包的源IP地址、目的IP地址、指定的协议、端口号等来决定对数据包的过滤。其表号范围是100～199、2000～2699。在全局配置模式下，使用命令access-listaccess-list-number {permit|deny}protocol source wildcard-mask destination wildcard-mask[opemtor][operand]配置扩展访问控制列表。其中，operator(操作)有It(小于)、St(大于)、eq(等于)、neq(不等于)；operand(操作数)指的是端口号。本问题要求“阻止192.168.2.0/24网络中的主机访问192.168.4.0/24网络”中出现了源网段地址和目的网段地址，因此需要使用扩展访问控制列表才能完成这一配置需求。
   配置ACL的具体步骤如下。
   ①定义一个标准(或扩展)的访问控制列表。
   ②为访问控制列表配置包过滤的准则。
   ③配置访问控制列表的应用接口。
   ACL通过过滤数据包并且丢弃不希望抵达目的地的数据包来控制通信流量。然而能否有效地减少网络中不必要的通信流量，还要取决于网络管理员将ACL部署在哪个具体地方。其部署原则是：标准ACL要尽量靠近目的端，扩展ACL则要尽量靠近源端。因此，本问题应在路由器R3上配置扩展访问控制列表，其相应的配置过程示例如下：
   R3(config)#access-list  110  deny  ip  192.168.2.0  0.0.0.255  192.168.4.0  0.0.0.255
   R3(config)#access—list  110  permit  ip  any any
   R3(config)#interface f0/0
   R3(config-if)#ip access-group  110  in
   或者：
   R3(config)#ip access-list extended denyLAN2
   R3(config-ext-nac1)#deny ip 192.168.2.0 0.0.0.255 192.168.4.0 0.0.0.255
   R3(config-ext-nac1)#permit ip any any
   R3(config-ext-nac1)#exit
   R3(config)#interface f0/0
   R3(config-if)#ip access-group denyLAN2 in
转载请注明原文地址:https://kaotiyun.com/show/u9QZ777K
本试题收录于： 网络规划设计师下午案例分析考试题库软考高级分类
0

网络规划设计师下午案例分析考试

软考高级

相关试题推荐
随机试题
最新回复(0)