搜索
基于时间的访问控制列表【实验名称】基于时间的访问控制列表。【实验目的】掌握基于时间段进行控制的IP访问列表配置。【背景描述】你是某公司网管，为了保证公司上班时间的工作效率，公司要求上班时间只可以访问公司的内部网站。下班以后员工可以随意放松，访问网络不受限制。本实验以1台1762路由器为例。PC机的IP地址和缺省网关分别为172.16.1.1/24和172.16.1.2/24，服务器（Server）的IP地址和缺省网关分别为160.16.1.1/24和160.16.1.2/24，路由器的接口F1/0和F1/1的IP地址分别为172.16.1.2/24和160.16.1.2/24。【技术原理】基于时间的访问列表是指在标准或扩展的访问列表的基础上增加时间段的应用规则。Time-range时间段分为两种：绝对性时间段和周期性时间段。在周期时间段里有一些常见参数：weekdays表示每周的工作日（周一至周五）、weekend表示周末（周六和周日）、daily表示每天。【实现功能】基于时间对网络访问进行控制，提高网络的使用效率和安全性。【实验设备】R1762路由器（1台）、直连线或交叉线（2条）【实验拓扑】PCServerRouterF1/1F1/0.2.1172.16.1.0/24160.16.1.0/24图1【实验步骤】步骤1.基本配置。Router#configureterminalRouter(config)#interfacefastethernet1/0Router(config-if)#ipaddress172.16.1.1255.255.255.0Router(config-if)#noshutdownRouter(config-if)#exitRouter(config)#interfacefastethernet1/1Router(config-if)#ipaddress160.16.1.2255.255.255.0Router(config-if)#noshutdownRouter(config-if)#exitRouter(config)#验证配置：查看路由器接口的状态。Router#showipinterfacebriefInterfaceIP-Address(Pri)OK?Statusserial1/2noaddressYESDOWNserial1/3noaddressYESDOWNFastEthernet1/0172.16.1.1/24YESUPFastEthernet1/1160.16.1.2/24YESUPNull0noaddressYESUP步骤2.配置路由器的时钟。Router#showclock!查看路由器当前时钟clock:1987-1-165:19:9Router#clockset16:03:4027april2006-4-27!重设路由器当前时钟和实际时钟同步Router#showclockclock:2006-4-2716:04:9步骤3.定义时间段。Router(config)#time-rangefreetimeRouter(config-time-range)#absolutestart8:001jan2006end18:0030dec2010!定义绝对时间段Router(config-time-range)#periodicdaily0:00to9:00!定义周期性时间段Router(config-time-range)#periodicdaily17:00to23:59!定义周期性时间段验证配置：查看时间段配置。Router#showtime-rangetime-rangeentry:freetime(inactive)absolutestart08:0001January2006end18:0030December2010periodicDaily0:00to9:00periodicDaily17:00to23:59步骤4.定义访问控制列表规则。Router(config)#access-list100permitipanyhost160.16.1.1!定义扩展访问控制列表，允许访问主机160.16.1.1Router(config)#access-list100permitipanyanytime-rangefreetime!关联time-range接口t1，允许在规定时间段访问任何网络注：访问控制列表的隐含规则是拒绝所有数据包。验证配置：查看访问控制列表配置。Router#showaccess-listsExtendedIPaccesslist100includes2items:permitipanyhost160.16.1.1permitipanyanytime-rangefreetime(active)步骤5.将访问列表规则应用在接口上。Router(config)#interfacefastethernet1/0Router(config-if)#ipaccess-group100in!在F1/0接口上进行入栈应用验证配置：查看F1/0接口上应用的规则。Router#showipinterfacefastethernet1/0FastEthernet1/0IPinterfacestateis:UPIPinterfacetypeis:BROADCASTIPinterfaceMTUis:1500IPaddressis:172.16.1.1/24(primary)IPaddressnegotiateis:OFFForwarddirect-boardcastis:ONICMPmaskreplyis:ONSendICMPredirectis:ONSendICMPunreachabledis:ONDHCPrelayis:OFFFastswitchis:ONRoutehorizontal-splitis:ONHelpaddressis:0.0.0.0ProxyARPis:ONOutgoingaccesslistisnotset.Inboundaccesslistis100.步骤6.验证测试。在服务器主机上配置Web服务器，服务器IP地址为160.16.1.1（详见选修实验内容）。1、验证在工作时间的服务器的访问。更改路由器的当前时间为上班时间，PC机可以访问160.16.1.1的Web服务。更改服务器的IP地址为160.16.1.5，PC机无法访问Web服务。2、验证在非工作时间的服务器的访问。更改路由器的当前时间为下班时间，PC机可以访问160.16.1.1的Web服务。更改服务器的IP地址为160.16.1.5，PC机同样可以访问Web服务。【注意事项】1、在定义时间接口前须先校正路由器系统时钟；2、Time-range接口上允许配置多条periodic规则（周期时间段），在ACL进行匹配时，只要能匹配任一条periodic规则即认为匹配成功，而不是要求必须同时匹配多条periodic规则；3、设置periodic规则时可以按以下日期段进行设置：day-of-the-week（星期几）、Weekdays（工作日）、Weekdays（周末，即周六和周日）、Daily（每天）；4、Time-range接口上只允许配置一条absolute规则（绝对时间段）；5、Time-range允许absolute规则与periodic规则共存，此时，ACL必须首先匹配absolute规则，然后再匹配periodic规则。【参考配置】Router#showrunning-configBuildingconfiguration...Currentconfiguration:925bytes!version8.32(building53)!time-rangefreetimeabsolutestart8:001January2006end18:0030December2010periodicDaily0:00to9:00periodicDaily17:00to23:59!access-list100permitipanyhost160.16.1.1access-list100permitipanyanytime-rangefreetime!interfaceserial1/2clockrate64000!interfaceserial1/3clockrate64000!interfaceFastEthernet1/0ipaccess-group100inipaddress172.16.1.1255.255.255.0duplexautospeedauto!interfaceFastEthernet1/1duplexautospeedauto!interfaceNull0!linecon0lineaux0linevty0loginpassword708103b1400linevty1loginpassword704240c072clinevty2loginpassword71559192000linevty3loginpassword70133574225linevty4loginpassword71316064b1f!end