10.3基于时间的访问控制列表

1、10.3基于时间的访问控制列表【实验名称】基于时间的访问控制列表【实验目的】掌握基于时间段进行控制的IP访问列表配置【背景描述】你是某公司的网管，为了保证公司上班时间的工作效率，公司要求上班时间只可以访问公司的内部网络。下班以后员工可以随意放松，访问网络不受限制。本实验一1台1762路由器为例。PC机的IP地址和缺省网关分别为172.16.1.1/24和172.16.1.2/24，服务器（Server）的IP地址和缺省网关分别为160.16.1.1/25和160.16.1.2/24，路由器的接口F1/0和F1/1的IP地址分别为172.16.1.2/24和160.16.1.2/24。【技术原理

2、】 基于时间的访问列表是指在标准或扩展的访问列表的基础上增加时间段的应用规则。Time-range时间段分为两种：绝对性时间段和周期性时间段。在周期性时间段里有一些常见参数：weekdays表示每周的工作日（周一至周五）、weekend表示周末（周六和周日）、daily表示每天。【实现功能】 基于时间对网络访问进行控制，提高网络的使用效率和安全性。【实验设备】R1762路由器（1台）、直连线或交叉线（2条）【实验拓扑】 ServerRouterPCF1/1F1/0.1.2172.16.1.0/24160.16.1.0/24 图 30【实验步骤】步骤1. 基本配置。Router#configur

3、e terminal Router(config)#interface fastethernet 1/0 Router(config-if)#ip address 172.16.1.1 255.255.255.0 Router(config-if)#no shutdown Router(config-if)#exit Router(config)#interface fastethernet 1/1 Router(config-if)#ip address 160.16.1.2 255.255.255.0 Router(config-if)#no shutdown Router(config-

4、if)#exit Router(config)#验证配置：查看路由器接口的状态。Router#show ip interface briefInterface IP-Address(Pri) ok? Statusserial 1/2 no address YES DOWNserial 1/3 no address YES DOWNFastEthernet 1/0 172.16.1.1/24 YES UPFastEthernet 1/1 160.16.1.2/24 YES UPNull 0 no address YES UP步骤2. 配置路由器的时钟。 Router#show clock !查看

5、路由器当前时钟clock:1987-1-16 5:19:9Router#clock set 16:03:40 27 april 2006-4-27 !重设路由器当前时钟和实际时钟同步Router#show clockClock:2006-4-27 16:04:9步骤3. 定义时间段 Router(config)#time-range freetime Router(config-time-range)#absolute start 8:00 1 jan 2006 end 18:00 30 dec 2010 ！定义绝对时间段 Router(config-time-range)#periodic

6、daily 0:00 to 9:00 ！定义周期性时间段 Router(config-time-range)# periodic daily 17:00 to 23:59 ！定义周期性时间段 验证配置：查看时间段配置。 Router#show time-range time-range entry:freetime(inactive) absolute start 08:00 01 January 2006 end 18:00 30 December 2010 periodic Daily 0:00 to 9:00 periodic Daily 17:00 to 23:59步骤4. 定义访问控

7、制列表规则. Router(config)#access-list 100 permit ip any host 160.16.1.1 ！定义扩展访问控制列表，允许访问主机160.16.1.1 Router(config)#access-list 100 permit ip any any time-range freetime ！关联time-range接口t1，允许在规定时间段访问任何网络 注意：访问控制列表的隐含规则是拒绝所有数据包。 验证配置：查看访问控制列表配置。Router#show access-list Extended IP access list 100 includes

8、2 items; permit ip any host 160.16.1.1 permit ip any any time-range freetime(active)步骤5. 将访问列表规则应用在接口上。 Router(config)#interface fastethernet 1/0 Router(config-if)#ip access-group 100 in ！在F1/0接口上进行栈应用 验证配置：查看接口上应用的规则。 Router#show ip interface fastethernet 1/0 Fastethernet 1/0 IP interface state is：

9、UP IP interface type is：BROADCAST IP interface state is：1500 IP address is：172.16.1.1/24(primary) IP address negotiate is：OFF Forward dirct-boardcast is：ON ICMP mask reply is：ON Send ICMP redirect is：ON Send ICMP unreachabled is：ONDHCP reply is：OFF Fast switch is：ON Router horizontal-split is：ON Hel

10、p address is：0.0.0.0 Proxy ARP is：ON Outgoing access list is no set. Inbound access list is 100.步骤6. 验证测试。 在服务器主机上配置Web服务器，服务器IP地址为160.6.1.1（详见选修实验内容）。1 验证在工作时间的服务器的访问。更改路由器的当前时间为上班时间，PC机可以访问160.16.1.1 的Web服务。更改服务器的IP地址为160.16.1.5，PC机无法访问Web服务。 2.验证在非工作时间的服务器的访问。 更改路由器的当前时间为下班时间，PC机可以访问160.16.1.1 的W

11、eb服务。更改服务器的IP地址为160.16.1.5， PC机同样可以访问Web服务。【注意事项】1. 在定义时间接口前先校正路由器系统时钟；2.Time-range接口上允许配置多条periodic规则（周期时间段），在ACL进行匹配时，只要能匹配任一条periodic规则即认为匹配成功，而不是要求必须同时匹配多条periodic规则；3.设置periodic规则时可以按以下日期段进行设置：day-of-the-week（星期几）、Weekdays（工作日）、Weekend(周末，即周六和周日)、Daily（每天）；4.Time-range接口只允许配置一条absolutely规则（绝对时间

12、段）；5.Time-range接口允许absolutely规则与periodic规则共存，此时，ACL必须首先匹配absolutely规则，然后再匹配periodic规则。【参考配置】 Router#show running-configBuilding configuration.Current configuration : 925 bytes!version 8.32(building 53)!time-range freetime absolute start 8:00 1 January 2006 end 18:00 30 December 2010 periodic Daily 0

13、:00 to 9:00 periodic Daily 17:00 to 23:59!access-list 100 permit ip any host 160.16.1.1access-list 100 permit ip any any time-range freetime!Interface serial 1/2 Clock rate 64000!Interface FastEthernet 1/0 Ip access-group 100 1/0 Ip address 172.16.1.1 255.255.255.0Duplex autoSpeed auto!interface FastEthernet 1/1Duplex autoSpeed auto!Interface Null 0!Line co