1. 拓扑

1. 地址规划

1. 接口配置

（1）地址配置

（2）静态路由（以R2为例）

R2(config)#ip route 172.20.1.0 255.255.255.0 172.20.12.1

R2(config)#ip route 172.20.2.0 255.255.255.0 172.20.12.1

R2(config)#ip route 172.20.3.0 255.255.255.0 172.20.23.3

（3）网路连通测试

Server ping PC0 和PC1

说明：基础网络互通。

1. 具体配置过程

（1）配置路由器R1

R1(config)#access-list 110 remark this is an example for extended acl

//添加备注，增加可读性

R1(config)#access-list 110 deny tcp 172.20.1.0 0.0.0.255 host 172.20.3.100 eq 80   //拒绝PC1 所在网段访问Server 172.20.3.100 的Web 服务

R1(config)#access-list 110 deny tcp 172.20.2.0 0.0.0.255 host 172.20.3.100 eq 21

R1(config)#access-list 110 deny tcp 172.20.2.0 0.0.0.255 host 172.20.3.100 eq 20  //拒绝PC2 所在网段访问Server 172.16.3.100 的Ftp 服务

R1(config)#access-list 110 deny tcp 172.20.1.0 0.0.0.255 host 172.20.3.100 eq

1433  //拒绝PC1 所在网段访问Server 172.20.3.100 的SQL 服务

R1(config)#access-list 110 deny tcp 172.20.1.0 0.0.0.255 host 172.20.23.3 eq 23

R1(config)#access-list 110 deny tcp 172.20.1.0 0.0.0.255 host 172.20.3.3 eq 23

//拒绝PC1 所在网段访问路由器R3 的Telnet 服务

R1(config)#access-list 110 deny tcp 172.20.2.0 0.0.0.255 host 172.120.12.2 eq 80

R1(config)#access-list 110 deny tcp 172.20.2.0 0.0.0.255 host 172.20.23.2 eq 80  //拒绝PC2 所在网段访问路由器R2 的Web 服务

R1(config)#access-list 110 deny icmp 172.20.1.0 0.0.0.255 host 172.20.3.100

R1(config)#access-list 110 deny icmp 172.20.2.0 0.0.0.255 host 172.20.3.100

//拒绝PC1 和PC2 所在网段ping Server 服务器

R1(config)#access-list 110 permit ip any any

R1(config)#int s0/0/0

R1(config-if)#ip access-group 110 out   //接口下应用ACL

（2）配置路由器R3

R3(config)#access-list 120 deny icmp host 172.20.23.2 host 172.20.23.3 echo

R3(config)#access-list 120 permit ip any any

R3(config)#int s0/0/1

R3(config-if)#ip access-group 120 in

1. 实验调试

（1）路由器R1 上查看ACL110

（2）路由器R3 和路由器R2 互相ping

（3）路由器R3 查看ACL 120

（4）配置命令扩展ACL

R3(config)#ip access-list extended acl120

R3(config-ext-nacl)#deny icmp host 172.20.23.2 host 172.20.23.3 echo

R3(config-ext-nacl)#permit ip any any

R3(config-ext-nacl)#int s0/0/1

R3(config-if)#ip access-group acl120 in

查看ac