南京邮电大学

1、实验报告 课程名称 思科路由器开放实验 实验名称 基于 ACL的访问控制及安全策略的设计实验 实验时间 2012 年 6 月 2-3 日 实验报告 实验名称基于 ACL的访问控制及安全策略的设 计实验 实验类型 开放实验 实验学时 16 实验时间 一、 实验目的和要求 访问控制列表( Access Control List ，ACL) 是路由器和交换机接口的指令列表， 用来控制端口进出的数据包。验要求学生掌握访问控制列表的配置，理解ACL的执行过 程；能够根据 ACL设计安全的网络。 实验要求完成以下工作： 1.标准 ACL。实验目标：本实验拒绝 student 所在网段访问路由器 R2，同时

2、只允许 主机 teacher 访问路由器 R2的 telnet 服务。 2.扩展 ACL实验：实验目标：学生不能访问 ftp, 但能访问 www，教师不受限制。 3.防止地址欺骗。 外部网络的用户可能会伪装自己的 ip 地址，比如使用内部网的合 法 IP 地址或者回环地址作为源地址，从而实现非法访问。解决办法：将可能伪装到的 ip 地址拒绝掉 二、实验环境 （ 实验设备 ） PC机，并安装 Cisco Packet Tracer 软件或者是真实的思科网络设备（路由器交换 机）。 三、实验原理及内容 一 基本 ACL实验： 1.标准 ACL。实验目标：本实验拒绝 student 所在网段访问路由

3、器 R2，同时只允许 主机 teacher 访问路由器 R2的 telnet 服务。 实验拓补图如下： 实验配置如下： Routeren Router#conf t Enter configuration commands, one per line. End with CNTL/Z. Router(config)#host R1 R1(config)#int f0/0 R1(config-if)#no shut %LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up changed state %LINEPROTO-5-

4、UPDOWLiNne: protocol on Interface FastEthernet0/0, to up R1(config-if)#exit R1(config)#int s0/0/0 R1(config-if)#clock rate 64000 R1(config-if)#no shut %LINK-5-CHANGED: Interface Serial0/0/0, changed state to down R1(config-if)#exit R1(config)#router eigrp 100 55 R1(config-router)#no auto R1(c

5、onfig-router)#end R1# %SYS-5-CONFIG_I: Configured from console by console R1#copy run start Destination filename startup-config? Building configuration. OK Routeren Router#conf t Enter configuration commands, one per line. End with CNTL/Z. Router(config)#host R2 R2(config)#int s0/0/1 R2(config-if)#n

6、o shut %LINK-5-CHANGED: Interface Serial0/0/1, changed state to up R2(config-if)# %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to up R2(config-if)#exit R2(config)#int s0/0/0 R2(config-if)#clock rate 64000 R2(config-if)#no shut %LINK-5-CHANGED: Interface Serial0/0/0, cha

7、nged state to down R2(config-if)#exit R2(config)#int f0/0 R2(config-if)#no shut R2(config-if)# %LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up R2(config-if)#exit %LINEPROTO-5-UPDOWLiNne: protocol on Interface FastEthernet0/0, changed state to up R2(config)#router eigrp 100 R2(config-

8、router)# 55 R2(config-router)#no auto R2(config-router)# R2(config-router)#exit R2(config)#exit R2# %SYS-5-CONFIG_I: Configured from console by console R2#copy run start Destination filename startup-config? Building configuration. OK Routeren Router#conf t Enter configuration commands, one pe

9、r line. End with CNTL/Z. Router(config)#host R3 R3(config)#int s0/0/1 R3(config-if)#no shut R3(config-if)# %LINK-5-CHANGED: Interface Serial0/0/1, changed state to up R3(config-if)#exit R3(config)#int f0/0 R3(config-if)#no shut R3(config-if)# %LINK-5-CHANGED: Interface FastEthernet0/0, changed state

10、 to up changed state %LINEPROTO-5-UPDOWLiNne: protocol on Interface FastEthernet0/0, to up R3(config-if)#exit R3(config)#router eigrp 100 55 R3(config-router)#no auto R3(config-router)# R3(config-router)#end R3# %SYS-5-CONFIG_I: Configured from console by console R3#copy run start Destination

11、 filename startup-config? Building configuration. OK R2#conf t Enter configuration commands, one per line. End with CNTL/Z. 55 R2(config)#access-list 1 permit any R2(config)#int s0/0/1 R2(config-if)#ip access-group 1 in R2(config-if)#exit R2(config)#line vty 0 4 R2(config-line)#password 501 R

12、2(config-line)#login R2(config-line)#access-class 2 in R2(config-line)#end R2# %SYS-5-CONFIG_I: Configured from console by console R2#copy run start Destination filename startup-config? Building configuration. Request timed out. Request timed out. Request timed out. Request timed out. Packets: Sent

13、= 4, Received = 0, Lost = 4 (100% loss), OK Request timed out. Request timed out. Request timed out. Request timed out. Packets: Sent = 4, Received = 0, Lost = 4 (100% loss), 配 ACL之后， teacher 机可以 telnet R2 ，效果如下。 User Access Verification Password: 501 R2en % No password set. R2 不成功。 但只允许 teacher 机 t

14、elnet R2 ，在 R3上 telnet R2 % Connection refused by remote host % Connection refused by remote host % Connection refused by remote host 在 student 机上 telnet R2 不成功。 % Connection timed out; remote host not responding % Connection timed out; remote host not responding % Connection timed out; remote host

15、not responding 在 R1 上 telnet R2 不成功。 % Connection refused by remote host % Connection refused by remote host % Connection refused by remote host Teacher 机： % Connection timed out; remote host not responding % Connection timed out; remote host not responding R3en % Connection timed out; remote host n

16、ot responding % Connection refused by remote host % Connection refused by remote host % Connection refused by remote host % Connection timed out; remote host not responding % Connection refused by remote host SERVER 2 扩展 ACL实验：实验目标：学生不能访问 ftp, 但能访问 www，教师不受限制 实验拓补图如下： 实验配置如下： R2#sh access-lists Stan

17、dard IP access list 1 55 permit any (11 match(es) Standard IP access list 2 R2#sh run interface Serial0/0/1 ip access-group 1 in ! line vty 0 4 access-class 2 in password 501 login ! 删除 ACL： R2#conf t Enter configuration commands, one per line. End with CNTL/Z. R2(config)#int s0/0/1 R2(config

18、-if)#no ip access-group 1 in R2(config-if)#exit R2(config)#no access-list 1 R2(config)#line vty 0 4 R2(config-line)#no access-class 2 in R2(config-line)#no password R2(config-if)#exit R2(config)#no access-list 2 可以用 sh access-lists和 sh run 查看。 R2#sh access-lists R2#sh run R2#copy run start Destinati

19、on filename startup-config? Building configuration. OK 配 ACL之前测试： student 的 pc 机测试结果如下： Packets: Sent = 4, Received = 4, Lost = 0 (0% loss), Approximate round trip times in milli-seconds: Minimum = 141ms, Maximum = 203ms, Average = 161ms student 机上测试： 220- Welcome to PT Ftp server Username:cisco 331

20、- Username ok, need password Password:cisco 230- Logged in (passive mode On) ftp ftpctrl+c Packet Tracer PC Command Line 1.0 PC 的对应关系之后，也可以以域名的方式登录到 ftp 服务器 220- Welcome to PT Ftp server Username:cisco 331- Username ok, need password Password:cisco 230- Logged in (passive mode On) ftpexit Invalid or

21、 non supported command. ftpctrl+c Packet Tracer PC Command Line 1.0 PC Packets: Sent = 4, Received = 4, Lost = 0 (0% loss), Approximate round trip times in milli-seconds: Minimum = 172ms, Maximum = 188ms, Average = 183ms 配 dns 之前， ping teacher 的 ip 地址，但 ping 不了域名；配 dns 之后，ip 地址 和域名都可以 ping 通。 Teache

22、r 的域名，服务器的域名， student 的域名。 Packets: Sent = 4, Received = 4, Lost = 0 (0% loss), Approximate round trip times in milli-seconds: Minimum = 156ms, Maximum = 172ms, Average = 160ms Packets: Sent = 4, Received = 4, Lost = 0 (0% loss), Approximate round trip times in milli-seconds: Minimum = 125ms, Maximu

23、m = 157ms, Average = 144ms 在 student 上测试 www服务。 在 student 机的桌面，在 WEB浏览器的地址栏里输入 显示网页内容： Cisco Packet Tracer Welcome to njupt film site. you can download films. Quick Links: A small page Copyrights Image page Image 在 student 机的桌面，在 WEB浏览器的地址栏里输入，同样可以显示网页内容 teacher 的 pc 机测试结果如下： Request timed out. Pack

24、ets: Sent = 4, Received = 3, Lost = 1 (25% loss), Approximate round trip times in milli-seconds: Minimum = 127ms, Maximum = 143ms, Average = 136ms 在 R1 上配 ACL。 0.0.0 0.0.0 55 any R1(config)#int f0/0 R1(config-if)#ip access-group 101 in R1#sh access-lists Extended IP access list 101 0.0.0 0.0.

25、0 55 any R1#sh run Building configuration. Current configuration : 2004 bytes ! version 12.4 no service timestamps log datetime msec no service timestamps debug datetime msec no service password-encryption hostname R1 interface FastEthernet0/0 ip access-group 101 in duplex auto speed auto Stu

26、dent 上配好 acl 后，再测 Student 能否访问服务器的 ftp 服务和 www服务 Packet Tracer PC Command Line 1.0 PC(Disconnecting from ftp server) Packet Tracer PC Command Line 1.0 PC(Disconnecting from ftp server) Packet Tracer PC Command Line 1.0 说明 student 机已不能访问服务器的 ftp 服务了 高级 ACL 扩展 ACL的应用 1. 防止地址欺骗。 R1是内网的边界路由器， R2是外网的边界路由

27、器。 外部网络的用户可能会伪装自己的 ip 地址，比如使用内部网的合法 IP 地址或者回环地 址作为源地址，从而实现非法访问。解决办法：将可能伪装到的 ip 地址拒绝掉。 Router(config)#host R1 R1(config)#int s0/0/1 R1(config-if)#clock rate 64000 R1(config-if)#no shut R1(config)#int f0/0 R1(config-if)#no shut R1(config)#router eigrp 100 (Serial0/0/1) is up: new adjacency R1(config-r

28、outer)#no auto /*May 10 11:29:57.010: IP-EIGRP(Default-IP-Routing-Table:100): Neighbor 192.168.1 .1 not on common subnet for FastEthernet0/0 R1(config-router)# (Serial0/0/1) is resync: summary configured R1(config-router)# (Serial0/0/1) is resync: summary configured *May 10 11:30:10.942: IP-EIGRP(De

29、fault-IP-Routing-Table:100): 192.168.1 .1 not on common subnet for FastEthernet0/0 *May 10 11:30:24.934: IP-EIGRP(Default-IP-Routing-Table:100): 192.168.1 .1 not on common subnet for FastEthernet0/0 *May 10 11:30:38.838: IP-EIGRP(Default-IP-Routing-Table:100): 192.168.1 .1 not on common subnet for F

30、astEthernet0/0 *May 10 11:30:53.090: IP-EIGRP(Default-IP-Routing-Table:100): 192.168.1 .1 not on common subnet for FastEthernet0/0 *May 10 11:31:07.222: IP-EIGRP(Default-IP-Routing-Table:100): Neighbor Neighbor Neighbor Neighbor Neighbor 192.168.1 .1 not on common subnet for FastEthernet0/0 / 以上系统显示

31、异常的原因是网络有环路，这里产生环路的连接是因为 3560 交换机和两 台 2950 交换机分别用交叉线连接，三台路由器两两连接，三台路由器分别与三台交换 机连接。 R1(config)#ip access-list extended ingress-antspoof R1(config-ext-nacl)#deny ip 10.0.0 R1(config-ext-nacl)#deny ip host any / 阻止没有列出源地址的通信流。 R1(config-ext-nacl)#permit ip any any R1(config-ext-nacl)#ex R1(conf

32、ig)#int s0/0/1 R1(config-if)#ip access-group ingress-antspoof in Router(config)#host R2 Router(config)#int s0/0/1 Router(config-if)#no shut Router(config-if)#ex R2(config)#int f0/0 R2(config-if)#no shut R2(config-if)#ex R2(config)#router eigrp 100 R2(config-router)#no auto 在 R1 上，配好 acl ，从 pc2 ping

33、pc1 , 显示 的网关)，显示： Request time out Request time out 能 ping 通。 防止非法探测 外部网络的非法访问者对内部网络发起攻击前，通常会用 ping 或其他命令探测 网络，所以只要禁止从外部用 ping 、traceroute 等探测就可以防范。可使用如下的 访问列表: access-list 102 deny icmp any any echo 阻止用 ping 探测网络。 access-list 102 deny icmp any any time-exceeded 阻止用 traceroute 探测网络。 防止病毒传播和黑客攻击 针对操作

34、系统的漏洞，有些病毒程序和漏洞扫描软件通过 UDP端口 135、137、138、 1434和TCP端口135、137、139、445、4444、5554、9995、9996等进行病毒传播和攻 击，可设置如下的访问控制列表阻止病毒传播和黑客攻击。有两个路由器组建的网 络就可以完成本实验。 access-list 101 deny udp any any eq 135 access-list 101 deny udp any any eq 137 access-list 101 deny udp any any eq 138 access-list 101 deny udp any any eq

35、1434 access-list 101 deny tcp any any eq 135 access-list 101 deny tcp any any eq 137 access-list 101 deny tcp any any eq 139 access-list 101 deny tcp any any eq 445 access-list 101 deny tcp any any eq 4444 access-list 101 deny tcp any any eq 5554 access-list 101 deny tcp any any eq 9995 access-list

36、101 deny tcp any any eq 9996 access-list 101 permit ip any any 把 ACL应用到路由器接口上： interface s0/0/1 ip access-group 101 in 高级 ACL实验： 控制上网时间，可以用基于时间的 ACL来实现 ? 1 定义时间范围的名称 time-range time-range-name time-range? ： 用来定义时间范围的命令。 time-range-name? ： 时间范围名称，用来标识时间范围，以便于在后面的访问列表中 引用。 ? 2 指定该时间范围何时生效 定义一个时间周期 per

37、iodic days-of-the-week hh:mm to days-of-the-week hh:mm periodic? 主要是以星期为参数来定义时间范围的一个命令。它的参数主要有Monday、 Tuesday、Wednesday、Thursday 、Friday 、Saturday 、Sunday中的一个或者几个的组合， 也可以是 daily （每天）、 weekday（周一至周五），或者 weekend（周末）。 定义一个绝对时间 absolute start hh:mm day month year?end hh:mm day month year absolute? 该命令用来

38、指定绝对时间范围。它后面紧跟着 start 和 end 两个关键字。在 这两个关键字后面的时间要以 24 小时制 hh:mm表示，日期要按照日 / 月/ 年来表示。如 果省略 start 及其后面的时间， 则表示与之相联系的 permit? 或 deny 语句立即生效， 并 一直作用到 end 处的时间为止。如果省略 end 及其后面的时间，则表示与之相联系的 permit? 或 deny 语句在 start 处表示的时间开始生效，并且一直进行下去。一个时间范 围只能有一个 absolute 语句，但是可以有几个 periodic 语句。 例如如果我们需要在上图中的 R5上配置基于时间的 AC

39、L，允许在星期一到星期五的 8：00至 17： 00的时间内可以远程登录 R2，则需要以下命令： R5(config)#time-range weekdays R5(config-time-range)#periodic monday friday 8:00 to 17:00 R5(config-time-range)# access-list 1055 eq telnet time-range weekdays R5(config)#int s0/0 R5(config-if)#ip access-group 101 in Routeren Router#conf t Ent

40、er configuration commands, one per line. End with CNTL/Z. Router(config)#host R3 R3(config)#int s0/0/0 R3(config-if)#clock rate 64000 R3(config-if)#no shut R3(config-if)# *Apr 6 06:21:25.911: %LINK-3-UPDOWN: Interface Serial0/0/0, changed state to up *Apr 6 06:21:28.911:%LINEPROTO-5-UPDOWLNi:n e pro

41、tocol on Interface Serial0/0/ 0, changed state to up R3(config-if)#exit R3(config)#int f0/0 R3(config-if)#no shut R3(config-if)# *Apr 6 06:22:48.183: %LINK-3-UPDOWNIn: terface FastEthernet0/0, changed state t o up *Apr 6 06:22:49.183: %LINEPROTO-5-UPDOWLNi:n e protocol on Interface FastEthern et0/0,

42、 changed state to up Routeren Router#conf t Enter configuration commands, one per line. End with CNTL/Z. Router(config)#ho R2 R2(config)#int s0/0/0 R2(config-if)#no shut R2(config-if)# *Apr 6 06:24:01.563: %LINK-3-UPDOWN: Interface Serial0/0/0, changed state to up *Apr 6 06:24:04.563: %LINEPROTO-5-U

43、PDOWLNi:n e protocol on Interface Serial0/0/ 0, changed state to up R2(config-if)#exit R2(config)#int loop0 R2(config-if)#ip add 2.2.2 Apr 6 06:24:24.559:%LINEPROTO-5-UPDOWLNi:n e protocol on Interface Loopback0, changed state to up R2(config-if)#exit R2(config-if)#exit R2(config)#router eigrp 1 R2(

44、config-router)#net 2.2.2 R3(config)#router eigrp 1 erial0/0/0) is up: new . 55 / R3(config)#int loop0 Interface R3(config-if)#ip add 3.3.3 *Apr 6 06:41:58.639: %LINEPROTO-5-UPDOWLNi:n e protocol on Loopback0, changed state to up R3(config-if)#exit R3(config)#router eigrp 1 R3(config-router)#n

45、et 3.3.3 R3(config-router)#no auto R2(config)#router eigrp 1 R2(config-router)#no auto R2(config-router)# erial0/0/0) is resync: summary configured R3(config)#time-range time R3(config-time-range)#periodic weekdays 8:00 to 18:00 eq telnet time-range time R3(config)#int f0/0 R3(config-if)#ip

46、access-group 111 in R3#clock read-calendar R3# *Apr 6 07:02:16.000: %SYS-6-CLOCKUPDATE: System clock has been updated from 07: 02:13 UTCF ri Apr 6 2012 to 07:02:16 UTCF ri Apr 6 2012, configured from console by console. R3#clock set 15:06:01 06 Apr 2012 R3# *Apr 6 15:06:01.000: %SYS-6-CLOCKUPDATE: S

47、ystem clock has been updated from 07: 02:48 UTCF ri Apr 6 2012 to 15:06:01 UTCF ri Apr 6 2012, configured from console by console. 失去了跟主机的联系。 R2(config)#line vty 0 4 R2(config-line)#password 501 R2(config-line)#login R2(config-line)#end R2(config)#en password 501 R2(config)#end R2# *Apr 6 07:29:22.8

48、07: %SYS-5-CONFIG_I: Configured from console by console 显示 User Access Verification password：501 R2en password：501 R2# R3#sh access-lists Extended IP access list 111 eq telnet time-range time (active ) ctive) (27 matches) R3#sh time-range time-range entry: time (active) periodic weekdays 8:0

49、0 to 18:00 used in: IP ACL entry used in: IP ACL entry used in: IP ACL entry R3#clock set 15:53:01 07 Apr 2012 R3# Apr 7 15:53:01.000: %SYS-6-CLOCKUPDATSEy:s tem clock has been updated from 15:4 9:59 UTC Fri Apr 6 2012 to 15:53:01 UTC Sat Apr 7 2012, configured from console by console. pc3 的 telnet

50、R2 的界面上 R2#exit 失去了跟主机的链接。 R3#sh access-lists Extended IP access list 111 eq telnet time-range time (inacti ve) nactive) (27 matches) R3#sh time-range time-range entry: time (inactive) periodic weekdays 8:00 to 18:00 used in: IP ACL entry used in: IP ACL entry R3#clock set 16:03:01 06 Apr 20

51、12 R3# Apr 6 16:03:01.000: %SYS-6-CLOCKUPDATSEy:s tem clock has been updated from 16:0 4:24 UTC Sat Apr 7 2012 to 16:03:01 UTC Fri Apr 6 2012, configured from console by console. 在 pc3 上再 telnet R2 的 ，同样很成功。 自反 ACL Routeren Router#conf t Enter configuration commands, one per line. End with C

52、NTL/Z. Router(config)#host R3 R3(config)#int s0/0/0 R3(config-if)#clock rate 64000 R3(config-if)#no shut R3(config-if)#end *Apr 6 02:22:50.959: %LINK-3-UPDOWN: Interface Serial0/0/0, changed state to do wn R3# *Apr 6 02:22:54.787: %SYS-5-CONFIG_I: Configured from console by console R3#conf t Enter c

53、onfiguration commands, one per line. End with CNTL/Z. R3(config)#line console 0 R3(config-line)#logging syn R3(config-line)#exit R3(config)#no ip domain-lookup R3(config)#int loop0 *Apr 6 02:26:09.067: %LINEPROTO-5-UPDOWLNi:n e protocol on Interface Loopback0, changed state to up R3(config-if)#ip ad

54、d 3.3.3 R3(config-if)#end R3# *Apr 6 02:27:03.291: %SYS-5-CONFIG_I: Configu *Apr 6 02:27:03.291: %SYS-5-CONFIG_I: Configu Interface Serial0/0/0 Hardware is GT96K DCE V.35, clock rate 64000 Routeren Router#conf t Enter configuration commands, one per line. End with CNTL/Z. Router(config)#ho R2 R2(con

55、fig)#int s0/0/0 R2(config-if)#no shut R2(config-if)# Apr 6 02:23:28.007: %LINK-3-UPDOWN: Interface Serial0/0/0, changed state to up *Apr 6 02:23:31.007: %LINEPROTO-5-UPDOWLNi:n e protocol on Interface Serial0/0/ 0, changed state to up R2(config-if)#exit R2(config)#int s0/0/1 R2(config-if)#no shut R2

56、(config-if)# *Apr 6 02:25:01.811: %LINK-3-UPDOWN: Interface Serial0/0/1, changed state to do wn Routeren Router#conf t Enter configuration commands, one per line. End with CNTL/Z. Router(config)#host R1 R1(config)#int s0/0/1 R1(config-if)#clock rate 64000 R1(config-if)#no shut R1(config-if)# *Apr 6

57、03:37:08.047: %LINK-3-UPDOWN: Interface Serial0/0/1, changed state to up *Apr 6 03:37:09.047:%LINEPROTO-5-UPDOWLNi:n e protocol on Interface Serial0/0/ 1, changed state to up R1(config-if)#exit R1(config)#int f0/0 R1(config-if)#no shut R1(config-if)#e *Apr 6 03:38:26.155: %LINK-3-UPDOWNIn:t erface F

58、astEthernet0/0, changed state t o up *Apr 6 03:38:27.155:%LINEPROTO-5-UPDOWLNi:n e protocol on Interface FastEthern et0/0, changed state to up R1(config)#ip route 0.0.0 R3(config)#ip route 0.0.0 R2en R2#conf t Enter configuration commands, one per line. End with CNTL/Z. R2(config)#ip access-list ext

59、ended ACLOUT R2(config-ext-nacl)#permit tcp any any reflect REF R2(config-ext-nacl)#permit udp any any reflect REF R2(config-ext-nacl)#exit R2(config)#ip access-list extended ACLIN R2(config-ext-nacl)#evaluate REF R2(config-ext-nacl)#exit R2(config)#int s0/0/0 R2(config-if)#ip access-group ACLOUT ou

60、t R2(config-if)#ip access-group ACLIN in R2(config-if)#exit R2(config)#ip route 3.3.3 R1en R1#telnet Trying . Open Password required, but none set Connection to closed by foreign host R2#sh access-lists Extended IP access list ACLIN 10 evaluate REF Extended IP access list ACL