基于時間的訪問 控制列表

1、基于時間的訪問控制列表【實(shí)驗名稱】基于時間的訪問控制列表?！緦?shí)驗?zāi)康摹空莆栈跁r間段進(jìn)行控制的IP訪問列表配置?！颈尘懊枋觥磕闶悄彻揪W(wǎng)管，為了保證公司上班時間的工作效率，公司要求上班時間只可以訪問公司的內(nèi)部網(wǎng)站。下班以后員工可以隨意放松，訪問網(wǎng)絡(luò)不受限制。本實(shí)驗以1臺1762路由器為例。PC機(jī)的IP地址和缺省網(wǎng)關(guān)分別為172.16.1.1/24和172.16.1.2/24，服務(wù)器（Server）的IP地址和缺省網(wǎng)關(guān)分別為160.16.1.1/24和160.16.1.2/24，路由器的接口F1/0和F1/1的IP地址分別為172.16.1.2/24和160.16.1.2/24?！炯夹g(shù)原理】基于

2、時間的訪問列表是指在標(biāo)準(zhǔn)或擴(kuò)展的訪問列表的基礎(chǔ)上增加時間段的應(yīng)用規(guī)則。Time-range時間段分為兩種：絕對性時間段和周期性時間段。在周期時間段里有一些常見參數(shù)：weekdays表示每周的工作日（周一至周五）、weekend表示周末（周六和周日）、daily表示每天?！緦?shí)現(xiàn)功能】基于時間對網(wǎng)絡(luò)訪問進(jìn)行控制，提高網(wǎng)絡(luò)的使用效率和安全性?！緦?shí)驗設(shè)備】R1762路由器（1臺）、直連線或交叉線（2條）【實(shí)驗拓?fù)洹繄D 1【實(shí)驗步驟】步驟1. 基本配置。Router#configure terminalRouter(config)#interface fastethernet 1/0Router(con

3、fig-if)#ip address 172.16.1.1 255.255.255.0Router(config-if)#no shutdownRouter(config-if)#exitRouter(config)#interface fastethernet 1/1Router(config-if)#ip address 160.16.1.2 255.255.255.0Router(config-if)#no shutdownRouter(config-if)#exitRouter(config)# 驗證配置：查看路由器接口的狀態(tài)。Router#show ip interface brie

4、fInterface IP-Address(Pri) OK? Statusserial 1/2 no address YES DOWNserial 1/3 no address YES DOWNFastEthernet 1/0 172.16.1.1/24 YES UPFastEthernet 1/1 160.16.1.2/24 YES UPNull 0 no address YES UP步驟2. 配置路由器的時鐘。Router#show clock !查看路由器當(dāng)前時鐘clock: 1987-1-16 5:19:9Router#clock set 16:03:40 27 april 2006-

5、4-27 !重設(shè)路由器當(dāng)前時鐘和實(shí)際時鐘同步Router#show clockclock: 2006-4-27 16:04:9步驟3. 定義時間段。Router(config)#time-range freetimeRouter(config-time-range)#absolute start 8:00 1 jan 2006 end 18:00 30dec 2010 !定義絕對時間段Router(config-time-range)#periodic daily 0:00 to 9:00 !定義周期性時間段Router(config-time-range)#periodic daily 17

6、:00 to 23:59 !定義周期性時間段驗證配置：查看時間段配置。Router#show time-rangetime-range entry: freetime (inactive) absolute start 08:00 01 January 2006 end 18:00 30 December 2010 periodic Daily 0:00 to 9:00 periodic Daily 17:00 to 23:59步驟4. 定義訪問控制列表規(guī)則。Router(config)#access-list 100 permit ip any host 160.16.1.1 !定義擴(kuò)展訪問

7、控制列表，允許訪問主機(jī)160.16.1.1Router(config)#access-list 100 permit ip any any time-range freetime ! 關(guān)聯(lián)time-range接口t1，允許在規(guī)定時間段訪問任何網(wǎng)絡(luò) 注：訪問控制列表的隱含規(guī)則是拒絕所有數(shù)據(jù)包。驗證配置：查看訪問控制列表配置。Router#show access-listsExtended IP access list 100 includes 2 items: permit ip any host 160.16.1.1 permit ip any any time-range freetime

8、(active)步驟5. 將訪問列表規(guī)則應(yīng)用在接口上。Router(config)#interface fastethernet 1/0Router(config-if)#ip access-group 100 in !在F1/0接口上進(jìn)行入棧應(yīng)用驗證配置：查看F1/0接口上應(yīng)用的規(guī)則。Router#show ip interface fastethernet 1/0FastEthernet 1/0 IP interface state is: UP IP interface type is: BROADCAST IP interface MTU is: 1500 IP address is:

9、 172.16.1.1/24 (primary) IP address negotiate is: OFF Forward direct-boardcast is: ON ICMP mask reply is: ON Send ICMP redirect is: ON Send ICMP unreachabled is: ON DHCP relay is: OFF Fast switch is: ON Route horizontal-split is: ON Help address is: 0.0.0.0 Proxy ARP is: ON Outgoing access list is n

10、ot set. Inbound access list is 100.步驟6. 驗證測試。在服務(wù)器主機(jī)上配置Web服務(wù)器，服務(wù)器IP地址為160.16.1.1（詳見選修實(shí)驗內(nèi)容）。1、驗證在工作時間的服務(wù)器的訪問。 更改路由器的當(dāng)前時間為上班時間，PC機(jī)可以訪問160.16.1.1的Web服務(wù)。更改 服務(wù)器的IP地址為160.16.1.5，PC機(jī)無法訪問Web服務(wù)。2、驗證在非工作時間的服務(wù)器的訪問。 更改路由器的當(dāng)前時間為下班時間，PC機(jī)可以訪問160.16.1.1的Web服務(wù)。更改 服務(wù)器的IP地址為160.16.1.5，PC機(jī)同樣可以訪問Web服務(wù)?！咀⒁馐马棥?、 在定義時間接口前須先

11、校正路由器系統(tǒng)時鐘；2、 Time-range接口上允許配置多條periodic規(guī)則（周期時間段），在ACL進(jìn)行匹配時，只要能匹配任一條periodic規(guī)則即認(rèn)為匹配成功，而不是要求必須同時匹配多條periodic規(guī)則；3、 設(shè)置periodic規(guī)則時可以按以下日期段進(jìn)行設(shè)置：day-of-the-week（星期幾）、Weekdays（工作日）、Weekdays（周末，即周六和周日）、Daily（每天）；4、 Time-range接口上只允許配置一條absolute規(guī)則（絕對時間段）；5、 Time-range允許absolute規(guī)則與periodic規(guī)則共存，此時，ACL必須首先匹配abso

12、lute規(guī)則，然后再匹配periodic規(guī)則?！緟⒖寂渲谩縍outer#show running-configBuilding configuration.Current configuration : 925 bytes!version 8.32(building 53)!time-range freetime absolute start 8:00 1 January 2006 end 18:00 30 December 2010 periodic Daily 0:00 to 9:00 periodic Daily 17:00 to 23:59!access-list 100 permit

13、 ip any host 160.16.1.1access-list 100 permit ip any any time-range freetime!interface serial 1/2 clock rate 64000!interface serial 1/3 clock rate 64000!interface FastEthernet 1/0 ip access-group 100 in ip address 172.16.1.1 255.255.255.0 duplex auto speed auto!interface FastEthernet 1/1 duplex auto speed auto!interface Null 0!line co