十八高级访问控制列表.DOCVIP

实验十四 高级访问控制列表 实验1 基于时间的访问控制列表 【实验名称】 基于时间的访问控制列表 【实验目的】 掌握基于时间段进行控制的IP访问列表配置。 【背景描述】 某公司经理最近发现，有些员工在上班时间经常上网浏览与工作无关的网站，影响了工作，因此他通知网络管理员，在网络上进行设置，在上班时间只允许浏览与工作相关的几个网站，禁止访问其它网站。 本实验以1台S2126G交换机和1台R1762路由器为例。PC机的IP地址和缺省网关分别为172.16.1.1/24和172.16.1.2/24，服务器（server）的IP地址和缺省网关分别为160.16.1.1/24和160.16.1.2/24，路由器的接口F1/0和F1/1的IP地址分别为172.16.1.2/24和160.16.1.2/24。 【实现功能】 实现网段间相互访问的安全控制。 【实验拓扑】 【实验设备】 R1762路由器（1台），S2126G交换机（1台），计算机（2台）。 【实验步骤】 第一步：在路由器上定义基于时间的访问控制列表 Routerenable 14 Password?:admin Router#configure terminal Router(config)#int f1/0 Router(config-if)#ip add 172.16.1.2 255.255.255.0 Router(config-if)#no shut Router(config-if)#int f1/1 Router(config-if)#ip add 160.16.1.2 255.255.255.0 Router(config-if)#no shut Router(config-if)#exit Router(config)#access-list 100 permit ip any host 160.16.1.1 ！定义扩展访问列表，允许访问主机160.16.1.1 Router(config)#access-list 100 permit ip any any time-range t1 ！关联time-range 接口t1，允许在规定时间段访问任何网络 Router(config)# time-range t1 ！定义time-range 接口t1，即定义时间段 Router(config-time-range)#absolute start 8:00 1 Apr 2008 end 18:00 30 dec 2020 ！定义绝对时间 Router(config-time-range)#periodic daily 0:00 to 8:00 ！定义周期性时间段（非上班时间） Router(config-time-range)#periodic daily 18:00 to 23:59 各PC机IP可按上图示设置为： PC：IP 172.16.1.1 netmask 255.255.255.0 gateway 172.16.1.2 server：IP 160.16.1.1 netmask 255.255.255.0 gateway 160.16.1.2 验证测试：验证访问列表和time-range接口配置 Router# show access-lists ！显示所有访问列表配置 …… Router# show time-range ！显示time-range接口配置 Router# show clock ！显示路由器当前时间 第二步：把访问控制列表在接口下应用 Router(config)#int f1/1 Router(config-if)#ip access-group 100 out ！在接口出方向上调用访问控制列表 验证测试：验证接口上应用的访问列表 Router# show ip interface fastethernet 1/1 ...... 第三步：测试访问列表的效果 C\ping 160.16.1.1?！验证在工作时间PC机可以访问服务器160.16.1.1（能ping通），现在改变服务器的IP地址为160.16.1.5，再进行测试： C\ping 160.16.1.5?！验证在工作时间不能访问其它服务器（不能ping通） 现在改变路由器的时钟到非工作时间22：00，再进行测试： Router#clock set 22:00:00 17 November 2009 C\ping 160.16.1.5?！验证在非工作时间能访问其它服务器（能ping通） 【注意事项】 1．在定义时间接口前须先校正系统时钟； 2．Time-range接口上允许配置多条periodic规则（周