《网络工程设计与项目实训》_06 交换机端口安全与访问控制列表.ppt

*第*页课程内容 交换机端口安全ACL配置——标准与扩展ACLACL高级配置——自反ACLACL高级配置——基于时间的ACL*第*页4ACL高级配置—基于时间的ACL主要内容基于时间的访问控制列表基于时间的访问控制列表配置基于时间的访问控制列表案例*第*页4.1基于时间的访问控制列表通过前面的访问控制列表的学习，应该可以解决网络中大部分过滤网络数据包的要求了。但在实际工作中，有时会遇到要求根据时间的不同，执行不同的数据包的过滤策略，这就要用到基于时间的访问控制列表。基于时间的访问控制列表属于访问控制列表的高级技巧之一。基于时间的访问控制列表是根据定义的特定时间段对网络中传输的数据包进行过滤的一种技术。特定时间段可以是绝对时间段，也可以相对时间段。绝对时间段是指比如从具体的某年某月某时到某年某月某时。相对时间段可以是一周的不同星期，或者一天中的不同时间，或者两者的结合。*第*页基于时间的访问控制列表，其实是扩展访问控制列表的一个高级扩展功能，它具备以下作用：根据时间允许或拒绝用户对资源的访问，提供了更加精细与灵活的访问控制。在Internet服务提供商对上网收费根据时间变化时，可以利用基于时间的访问控制列表调节网络数据流量。可以根据时间不同，实施不同的服务质量，为各种网络应用提供更好的服务。通过基于时间的访问控制列表可以控制日志消息的记录时段，从而避开访问高峰时段，方便管理的分析。*第*页4.2基于时间的访问控制列表的配置基于时间的访问控制列表的配置可以分成三大步。首先确定时间范围；其次定义带有时间范围的扩展访问控制列表；最后，将扩展访问控制列表作用在指定的路由器接口上。1）路由器的时间及时间范围的设置（1）设置时区要使用基于时间的访问控制列表，首先必须在路由器上配置正确的时间。要正确设置一个路由器（或交换机）的时间，首要的第一步是设定正确的时区。这成为第一步的理由是：如果你先设定了时间，而后再设定时区，那么你将不得不再次重新设定时间。设备时区的命令格式及参数说明如下：*第*页命令格式：Router(config)#clocktimezone时区名称时间偏移参数说明：时区名称：由管理员自定义；时间偏移：是指你当前所在的地区相对格林威治标准时间（GMT，GreenwichMeanTime）相差多少小时。此字段的数值范围为-23~23。比如我们在东8区，这个时间偏移为8。例：中国某地的某路由器，可以如下设置时区：Router(config)#clocktimezoneABC8上面的命令，将路由器的时区名称设置为ABC，时间偏移设置为8。*第*页（2）设置时钟设定完毕时区后，就可以设定路由器的时间了。你必须在特权模式（PrivilegedMode），而不是全局配置模式（GlobalConfigurationMode）。设置时间的命令格式及参数说明如下：*第*页命令格式：Router#clockset时:分:秒日月年参数说明：时间：指当前的时:分:秒。日：当前日期，数值在1~31之间。月：一年12个月的英文名称。January、February、March、April、May、June、July、August、September、October、November、December。年：当前所处的年份。*第*页注意：绝大多数Cisco路由器和交换机都没有内部时钟，所以无法保存时间，也就是说机器断电或重启，将会丢失时间设置。唯一不会改变的是时区设置，因为路由器在它的配置文件中对其进行了保存。例：某路由器的时间可以如下设置：Router#clockset8:0:012nov2015上面的命令将路由器的时间设置为2015年11月12日8:00:00。*第*页（3）定义时间范围基于时间的访问控制列表，必须要先定义好特定的时段，即需要进行特殊处理的时间范围。时间范围的定义包括二方面的内容：时间范围的名称定义、时间范围定义。时间范围可以是绝对时间范围，也可以是周期性的时间范围。具体命令格式及参数如下：*第*页I．定义时间范围名称命令格式：Router(config)#time-range时间范围名称Router(config-tmie-range)#参数说明：时间范围名称：由管理员自行对时间范围进行命名。此命令执行后，后进行时间范围设置子模式中，在时间范围设置子模式中，可以设置绝对时间范围、周期性时间范围、默认时间范围等。*第*页II．绝对时间范围的定义命令格式：Router(config-t