安全议题之ACL实验.docVIP

目录 目录 2 基本ACL实验 3 实验内容 3 实验拓扑 3 命令参考表 3 实验步骤 4 实验结果测试方法 4 实验结果 4 高级ACL实验 5 实验内容 5 实验拓扑 5 命令参考表 5 实验步骤 6 实验结果测试方法 7 实验结果 7 附： 8 IPv4 ACL匹配顺序 8 基本IPv4 ACL的“深度优先”顺序判断原则如下 8 高级IPv4 ACL的“深度优先”顺序判断原则如下 8 二层ACL的“深度优先”顺序判断原则如下 8  基本ACL实验 基本ACL实验 实验内容 在连接A和B网络的路由上设计安全策略；使得PCA只能在早上8点到下午6点访问PCB。 实验拓扑 拓扑说明和配置要求： （1、）有两个网络连接方法如上图所示；现需要按照实验内容作出相应的ACL配置。 命令参考表 命令 功能 备注 System-view 进入系统视图 Display current-configuration 显示系统的当前配置 Display this 显示当前视图配置 Interface {端口类型} {端口编号A} 进入端口A视图 Display interface {端口类型} {端口编号A} 显示当前A端口的所有工作信息 firewall enable 启用防火墙功能 必选 firewall default { permit | deny } 配置系统的默认过滤方式 可选 缺省情况下，缺省过滤方式为permit time-range time-name { start-time to end-time days [ from time1 date1 ] [ to time2 date2 ] | from time1 date1 [ to time2 date2 ] | to time2 date2 } 创建一个时间段 例如：[Sysname] time-range test 8:00 to 18:00； 指每日一天的早上8点到下午6点。 必选 display time-range { time-name | all } 显示时间段的配置和状态 可选 acl number acl-number [ name acl-name ] [ match-order { auto | config } ] 创建基本IPv4 ACL并进入基本IPv4 ACL视图； 注意基本的ACL规则编号从2000到2999 必选 rule [ rule-id ] { deny | permit } [ fragment | logging | source { sour-addr sour-wildcard | any } | time-range time-name | vpn-instance vpn-instance-name ] * ] 定义规则，如：rule 10 deny source 55 time-range test; 其中test，为已经定义好的时间段的引用。 必选 firewall packet-filter { acl-number | name acl-name } { inbound | outbound } [ match-fragments { normally | exactly } ] 在端口下配置，选择相应的ACL编号，应用IPv4报文过滤功能 必选 缺省情况下，不对通过接口的IPv4报文进行过滤 Quit 退出当前视图，或者返回上一层视图 Undo {配置命令A} 撤销配置命令A 实验步骤 按照拓扑图连接网络。 按照拓扑标注，配置Router A端口Ip，主机的Ip以及网关。 构造ACL number 规则，编号从2000到2999；并定义ACL策略。 将配置应用到g0/0端口或者g0/1端口。 实验结果测试方法 测试项目1：配置基本ACL使得PC A能Ping测试通PC B。 测试项目2：更改时间配置，使得PC A不能Ping测试通PC B。 实验结果 配置前PC A与PC B能正常通讯；配置后，PCA与PCB的通讯状况紧随着Router A的配置变化而变化。  高级ACL实验 高级ACL实验 实验内容 在PCB上启动FTP服务；并更改FTP服务的端口为3379。在连接A和B网络的路由上设计安全策略；使得PCA只能在早上8点到下午6点访问PCB的FTP服务。 实验拓扑 拓扑说明和配置要求： （1、）有两个网络连接方法如上图所示；现需要按照实验内容作出相应的ACL配置。 命令参考表 命令 功能 备注 System-view 进入系统视图 Display current-configuration 显示系统的当前配