实训5-7_配置访问控制列表限制网络流量.pptVIP

第5章 路由器安全配置 实训5-7：配置访问控制列表限制网络流量 实训目的 1.掌握标准访问控制列表的配置和作用。 2.掌握扩展的访问控制列表的配置。 3.掌握基于时间段进行控制的IP访问列表配置。 实训背景 某公司规定除了经理之外的其它员工在上班时间只能浏览与工作相关的网站1.1.1.1，并且公司内部服务器192.168.2.1只能在公司内部进行访问，如果你是该公司的一个网络管理员，你如何为公司的网络进行合理的配置。 实训拓扑 实训设备 设备类型 数量 路由器 2台 V.35线缆 1条 双绞线 4根 计算机 3台 交换机 1台 实训步骤 1.配置计算机和服务器的IP地址（略） 2.配置路由器端口的IP地址（略） 3.配置R1到ISP的默认路由和ISP到R1的汇总静态路由 4.配置外网不能访问公司服务器192.168.2.1 5.配置公司员工不能在上班时间访问除1.1.1.1之外的外网 1.配置计算机和服务器的IP地址（略） 2.配置路由器端口的IP地址（略） 3.配置R1到ISP的默认路由和ISP到R1的汇总静态路由 3.配置R1到ISP的默认路由和ISP到R1的汇总静态路由 （1）配置R1到ISP的默认路由 R1(config)#ip route 0.0.0.0 0.0.0.0 213.1.1.2 （2）配置ISP到R1的汇总静态路由 ISP(config)#ip route 192.168.0.0 255.255.0.0 213.1.1.1 （3）测试配置结果： 所有计算机能够访问1.1.1.1和2.2.2.2 4.配置外网不能访问公司服务器192.168.2.1 4.配置外网不能访问公司服务器192.168.2.1 （1）创建访问控制列表 R1(config)# access-list 1 permit 192.168.1.0 0.0.0.255 （2）将访问列表应用到端口 R1(config)#int f0/1 R1(config)#ip access-group 1 out （3）测试配置 isp无法ping通192.168.2.1 5.配置公司员工不能在上班时间访问 除1.1.1.1之外的外网 5.配置公司员工不能在上班时间访问除1.1.1.1之外的外网 （1）创建时间范围worktime ①指定时间范围名称为worktime R1(config)#time-range worktime ②指定时间范围 R1(config- time-range)#absolute start 8:00 1 oct 2010 end 18:00 30 dec 2020 ③指定每天的非上班时间 R1(config- time-range)#periodic daily 0:00 to 8:00 R1(config- time-range)#periodic daily 17:00 to 23:59 5.配置公司员工不能在上班时间访问除1.1.1.1之外的外网 （2）创建访问控制列表100 ①允许访问1.1.1.1 R1(config)#access-list 100 permit ip any host 1.1.1.1 ②允许经理访问外网 R1(config)#access-list 100 permit ip 192.168.1.0 0.0.0.15 any ③允许工作时间外访问外网 R1(config)#access-list 100 permit ip any any time-range worktime （3）将访问列表应用到端口 R1(config)#int s4/0 R1(config-if)#ip access-group 100 out 5.配置公司员工不能在上班时间访问除1.1.1.1之外的外网 （4）测试配置结果： 按所示修改R1路由器的时间，来测试经理和员工是否能够访问1.1.1.1和2.2.2.2。 时间 人员 能否访问.1 能否访问.2 2010年9月 任何时间 员工 经理 2010年10月3点 员工 经理 2010年10月9点 员工 经理 2010年10月17点 员工 经理 2010年10月19点 员工 经理 *