基于时间的访问 控制列表.docx

基于时间的访问控制列表【实验名称】基于时间的访问控制列表。【实验目的】掌握基于时间段进行控制的IP访问列表配置。【背景描述】你是某公司网管，为了保证公司上班时间的工作效率，公司要求上班时间只可以访问公司的内部网站。下班以后员工可以随意放松，访问网络不受限制。本实验以1台1762路由器为例。PC机的IP地址和缺省网关分别为172.16.1.1/24和172.16.1.2/24，服务器（Server）的IP地址和缺省网关分别为160.16.1.1/24和160.16.1.2/24，路由器的接口F1/0和F1/1的IP地址分别为172.16.1.2/24和160.16.1.2/24。【技术原理】基于时间的访问列表是指在标准或扩展的访问列表的基础上增加时间段的应用规则。Time-range时间段分为两种：绝对性时间段和周期性时间段。在周期时间段里有一些常见参数：weekdays表示每周的工作日（周一至周五）、weekend表示周末（周六和周日）、daily表示每天。【实现功能】基于时间对网络访问进行控制，提高网络的使用效率和安全性。【实验设备】R1762路由器（1台）、直连线或交叉线（2条）【实验拓扑】图 1【实验步骤】步骤1. 基本配置。Router#configure terminalRouter(config)#interface fastethernet 1/0Router(config-if)#ip address 172.16.1.1 255.255.255.0Router(config-if)#no shutdownRouter(config-if)#exitRouter(config)#interface fastethernet 1/1Router(config-if)#ip address 160.16.1.2 255.255.255.0Router(config-if)#no shutdownRouter(config-if)#exitRouter(config)# 验证配置：查看路由器接口的状态。Router#show ip interface briefInterface IP-Address(Pri) OK? Statusserial 1/2 no address YES DOWNserial 1/3 no address YES DOWNFastEthernet 1/0 172.16.1.1/24 YES UPFastEthernet 1/1 160.16.1.2/24 YES UPNull 0 no address YES UP步骤2. 配置路由器的时钟。Router#show clock !查看路由器当前时钟clock: 1987-1-16 5:19:9Router#clock set 16:03:40 27 april 2006-4-27 !重设路由器当前时钟和实际时钟同步Router#show clockclock: 2006-4-27 16:04:9步骤3. 定义时间段。Router(config)#time-range freetimeRouter(config-time-range)#absolute start 8:00 1 jan 2006 end 18:00 30dec 2010 !定义绝对时间段Router(config-time-range)#periodic daily 0:00 to 9:00 !定义周期性时间段Router(config-time-range)#periodic daily 17:00 to 23:59 !定义周期性时间段验证配置：查看时间段配置。Router#show time-rangetime-range entry: freetime (inactive) absolute start 08:00 01 January 2006 end 18:00 30 December 2010 periodic Daily 0:00 to 9:00 periodic Daily 17:00 to 23:59步骤4. 定义访问控制列表规则。Router(config)#access-list 100 permit ip any host 160.16.1.1 !定义扩展访问控制列表，允许访问主机160.16.1.1Router(config)#access-list 100 permit ip any any time-range freetime ! 关联time-range接口t1，允许在规定时间段访问任何网络 注：访问控制列表的隐含规则是拒绝所有数据包。验证配置：查看访问控制列表配置。Router#show access-listsExtended IP access list 100 includes 2 items: permit ip any host 160.16.1.1 permit ip any any time-range freetime (active)步骤5. 将访问列表规则应用在接口上。Router(config)#interface fastethernet 1/0Router(config-if)#ip access-group 100 in !在F1/0接口上进行入栈应用验证配置：查看F1/0接口上应用的规则。Router#show ip interface fastethernet 1/0FastEthernet 1/0 IP interface state is: UP IP interface type is: BROADCAST IP interface MTU is: 1500 IP address is: 172.16.1.1/24 (primary) IP address negotiate is: OFF Forward direct-boardcast is: ON ICMP mask reply is: ON Send ICMP redirect is: ON Send ICMP unreachabled is: ON DHCP relay is: OFF Fast switch is: ON Route horizontal-split is: ON Help address is: 0.0.0.0 Proxy ARP is: ON Outgoing access list is not set. Inbound access list is 100.步骤6. 验证测试。在服务器主机上配置Web服务器，服务器IP地址为160.16.1.1（详见选修实验内容）。1、验证在工作时间的服务器的访问。 更改路由器的当前时间为上班时间，PC机可以访问160.16.1.1的Web服务。更改 服务器的IP地址为160.16.1.5，PC机无法访问Web服务。2、验证在非工作时间的服务器的访问。 更改路由器的当前时间为下班时间，PC机可以访问160.16.1.1的Web服务。更改 服务器的IP地址为160.16.1.5，PC机同样可以访问Web服务。【注意事项】1、 在定义时间接口前须先校正路由器系统时钟；2、 Time-range接口上允许配置多条periodic规则（周期时间段），在ACL进行匹配时，只要能匹配任一条periodic规则即认为匹配成功，而不是要求必须同时匹配多条periodic规则；3、 设置periodic规则时可以按以下日期段进行设置：day-of-the-week（星期几）、Weekdays（工作日）、Weekdays（周末，即周六和周日）、Daily（每天）；4、 Time-range接口上只允许配置一条absolute规则（绝对时间段）；5、 Time-range允许absolute规则与periodic规则共存，此时，ACL必须首先匹配absolute规则，然后再匹配periodic规则。【参考配置】Router#show running-configBuilding configuration.Current configuration : 925 bytes!version 8.32(building 53)!time-range freetime absolute start 8:00 1 January 2006 end 18:00 30 December 2010 periodic Daily 0:00 to 9:00 periodic Daily 17:00 to 23:59!access-list 100 permit ip any host 160.16.1.1access-list 100 permit ip any any time-range freetime!interface serial 1/2 clock rate 64000!interface serial 1/3 clock rate 64000!interface FastEthernet 1/0 ip access-group 100 in ip address 172.16.1.1 255.255.255.0 duplex auto speed auto!interface FastEthernet 1/1 duplex auto speed auto!interface Null 0!line con 0line aux 0line vty 0 login password 7 08103b1400line vty 1 login password 7 04240c072cline vty 2 login password 7 1559192000line vty 3 login password 7 0133574225line vty 4 login password 7 1316064b1f!end