Packet Tracer - 配置 IP ACL 来缓解攻击

已于 2023-05-20 19:24:46 修改
阅读量4.3k 收藏 37
点赞数 13
分类专栏： CCNA安全 思科实验 文章标签： 智能路由器 网络
于 2023-05-06 23:08:48 首次发布
Panta rhei
本文链接：https://blog.csdn.net/m0_63624418/article/details/130537136
版权

Packet Tracer - 配置 IP ACL 来缓解攻击

拓扑图

地址分配表

设备

接口

IP 地址

子网掩码

默认网关

交换机端口

R1

G0/1

192.168.1.1

255.255.255.0

不适用

S1 F0/5

S0/0/0 (DCE)

10.1.1.1

255.255.255.252

不适用

不适用

R2

S0/0/0

10.1.1.2

255.255.255.252

不适用

不适用

S0/0/1 (DCE)

10.2.2.2

255.255.255.252

不适用

不适用

Lo0

192.168.2.1

255.255.255.0

不适用

不适用

R3

G0/1

192.168.3.1

255.255.255.0

不适用

S3 F0/5

S0/0/1

10.2.2.1

255.255.255.252

不适用

不适用

PC-A

NIC

192.168.1.3

255.255.255.0

192.168.1.1

S1 F0/6

PC-C

NIC

192.168.3.3

255.255.255.0

192.168.3.1

S3 F0/18

目标

· 在配置防火墙之前先验证设备之间的连接。

· 使用 ACL，确保只能 从管理站 PC-C 远程访问路由器。

· 在 R1 和 R3 上配置 ACL 以缓解攻击。

· 验证 ACL 功能。

背景/场景

只允许 从管理站 PC-C 访问路由器 R1、R2 和 R3。PC-C 还可用于 PC-A 的连接测试 ，PC-A 是提供 DNS、SMTP、FTP 和 HTTPS 服务的服务器。

标准操作程序是在边缘 路由器上应用 ACL，以根据源和目的 IP 地址缓解常见威胁。 在本练习中，您需要在边缘路由器 R1 和 R3 上创建 ACL 以实现 此目标。然后，您需要验证内部和外部 主机的 ACL 功能。

路由器已采用以下信息进行预配置：

o    启用 密码：ciscoenpa55

o    控制台 密码：ciscoconpa55

o    SSH 登录 用户名和密码：SSHadmin/ciscosshpa55

o    IP 寻址

o    静态路由

第1 部分：验证基本网络连接

在配置 IP ACL 之前先验证网络连接。

步骤 1：      从 PC-A 验证与 PC-C 和 R2 的连接。

  1.      在命令提示符后，对 PC-C (192.168.3.3) 执行 ping 操作。

b.     在命令提示符后，使用用户名 SSHadmin 和密码 ciscosshpa55 与 R2 Lo0 接口 (192.168.2.1) 建立 SSH 会话。 完成后，退出 SSH 会话。

SERVER> ssh -l SSHadmin 192.168.2.1

步骤 2：      从 PC-C 验证与 PC-A 和 R2 的连接。

  1.      在命令提示符后，对 PC-A (192.168.1.3) 执行 ping 操作。

  1.      在命令提示符后，使用用户名 SSHadmin 和密码 ciscosshpa55 与 R2 Lo0 接口 (192.168.2.1) 建立 SSH 会话。 完成后关闭 SSH 会话。

C:\>ssh -l SSHadmin 192.168.2.1

  1.      打开 PC-A 服务器 (192.168.1.3) 的 Web 浏览器以显示 网页。完成后关闭浏览器。

第 2 部分：保护路由器访问的安全

步骤 1：      配置 ACL 10 以阻止除 PC-C 以外对路由器的所有远程访问。

使用 access-list 命令在 R1、R2 和 R3 上创建带编号的 IP ACL。

R1(config)#access-list 10 permit host 192.168.3.3

R2(config)#access-list 10 permit host 192.168.3.3

R3(config)# access-list 10 permit host 192.168.3.3

步骤 2：      向 VTY 线路上的入口流量应用 ACL。

使用 access-class 命令，将该访问 列表应用到 VTY 线路上的入口流量

R1(config)#line vty 0 4

R1(config-line)#access-class 10 in

R2(config)#line vty 0 4

R2(config-line)#access-class 10 in

R3(config)#line vty 0 4

R3(config-line)#access-class 10 in

步骤 3：      验证来自管理站 PC-C 的独占访问。

  1.      建立从 PC-C 到 192.168.2.1 的 SSH 会话（应该 成功）。

  1.      建立从 PC-A 到 192.168.2.1 的 SSH 会话（应该失败）。

第 3 部分：在 R1 上创建 编号为 120 的 IP ACL

使用以下规则 创建编号为 120 的 IP ACL：

o    允许任何外部主机访问服务器 PC-A 上的 DNS、SMTP 和 FTP 服务。

o    拒绝任何 外部主机访问 PC-A 上的 HTTPS 服务。

o    允许 PC-C 通过 SSH 访问 R1。

注意：在第 4 部分中进行修改之前，检查结果不显示 ACL 120 的正确 配置。

步骤 1：      验证 PC-C 是否可使用 Web 浏览器通过 HTTPS 访问 PC-A。

务必在 PC-A 上禁用 HTTP 并启用 HTTPS。

步骤 2：      配置 ACL 120 以明确允许和拒绝指定的流量。

使用 access-list 命令创建带编号的 IP ACL。

R1(config)#access-list 120 permit udp any host 192.168.1.3 eq domain

R1(config)#access-list 120 permit tcp any host 192.168.1.3 eq smtp

R1(config)#access-list 120 permit tcp any host 192.168.1.3 eq ftp

R1(config)#access-list 120 deny tcp any host 192.168.1.3 eq 443

R1(config)#access-list 120 permit tcp host 192.168.3.3 host 10.1.1.1 eq 22

步骤 3：      将 ACL 应用到接口 S0/0/0。

使用 ip access-group 命令将该访问 列表应用到接口 S0/0/0 上的传入流量。

R1(config)#interface s0/0/0

R1(config-if)#ip access-group 120 in

步骤 4：      验证 PC-C 无法使用 Web 浏览器通过 HTTPS 访问 PC-A。

第 4 部分：在 R1 上修改 现有 ACL

允许来自外部网络的 ICMP 回应应答和目的地不可达消息（相对于 R1 ）。拒绝所有其他 传入的 ICMP 数据包。

R1(config)#access-list 120 permit icmp any any echo-reply

R1(config)#access-list 120 permit icmp any any unreachable

R1(config)#access-list 120 permit ip any any

R1(config)#access-list 120 deny icmp any any

步骤 1：      验证 PC-A 无法成功 ping 通 R2 上的环回接口。

步骤 2：      对 ACL 120 进行任何必要的更改，以允许和拒绝指定的 流量。

使用 access-list 命令创建带编号的 IP ACL。

R1(config)#access-list 120 permit udp any host 192.168.1.3 eq domain

R1(config)#access-list 120 permit tcp any host 192.168.1.3 eq smtp

R1(config)#access-list 120 permit tcp any host 192.168.1.3 eq ftp

R1(config)#access-list 120 permit tcp host 192.168.3.3 host 10.1.1.1 eq 22

R1(config)#access-list 120 deny tcp any host 192.168.1.3 eq 443

步骤 3：      验证 PC-A 可成功 ping 通 R2 上的环回接口。

第 5 部分：在 R3 上创建 编号为 110 的 IP ACL

拒绝源地址超出 R3 上的内部 IP 地址范围的所有出站数据包。

步骤 1：      将 ACL 110 配置为只允许来自内部网络的流量。

使用 access-list 命令创建带编号的 IP ACL。

R3(config)#access-list 110 permit ip 192.168.3.0 0.0.0.255 any

步骤 3：      将 ACL 应用到接口 G0/1。

使用 ip access-group 命令将该访问 列表应用到接口 G0/1 上的传入流量。

R3(config)#interface g0/1

R3(config-if)#ip access-group 110 in

第 6 部分：在 R3 上创建 编号为 100 的 IP ACL

在 R3 上，阻止来自以下地址池的包含源 IP 地址的所有数据包：任何 RFC 1918 专用地址、127.0.0.0/8 以及任何 IP 组播地址。由于 PC-C 将用于远程 管理，因此允许将来自 10.0.0.0/8 网络的 SSH 流量返回到 主机 PC-C。

步骤 1：      将 ACL 100 配置为阻止来自外部 网络的所有指定流量。

如果不是 RFC 1918 地址，您还应阻止来自您自己的 内部地址空间的流量。在本练习中，您的 内部地址空间是 RFC 1918 中指定的专用地址空间的一部分。

使用 access-list 命令创建带编号的 IP ACL。

R3(config)#access-list 100 permit tcp 10.0.0.0 0.255.255.255 eq 22 host 192.168.3.3

R3(config)#access-list 100 deny ip 10.0.0.0 0.255.255.255 any

R3(config)#access-list 100 deny ip 172.16.0.0 0.15.255.255 any

R3(config)#access-list 100 deny ip 192.168.0.0 0.0.255.255 any

R3(config)#access-list 100 deny ip 127.0.0.0 0.255.255.255 any

R3(config)#access-list 100 deny ip 224.0.0.0 15.255.255.255 any

R3(config)#access-list 100 permit ip any any

步骤 2：      将 ACL 应用到接口 Serial 0/0/1。

使用 ip access-group 命令将该访问 列表应用到串行接口 0/0/1 上的传入流量。

R3(config)#interface s0/0/1

R3(config-if)#ip access-group 100 in

步骤 3：      确认已正确处理 进入串行接口 0/0/1 的指定流量。

  1.      在 PC-C 命令提示符后，对 PC-A 服务器执行 ping 操作。ICMP 回应 应答被 ACL 阻止，因为它们源自 192.168.0.0/16 地址空间。

  1.      建立从 PC-C 到 192.168.2.1 的 SSH 会话（应该 成功）。

步骤 4：      检查结果。

完成比例应为 100%。点击 CheckResults（检查结果）以查看反馈 并验证已完成的所需组件。

实验具体步骤：

R1:

R1>en

Password:

R1#conf

Configuring from terminal, memory, or network [terminal]?

Enter configuration commands, one per line. End with CNTL/Z.

R1(config)#access-list 10 permit host 192.168.3.3

R1(config)#line vty 0 4

R1(config-line)#access-class 10 in

R1(config-line)#exit

R1(config)#access-list 120 permit udp any host 192.168.1.3 eq domain

R1(config)#access-list 120 permit tcp any host 192.168.1.3 eq smtp

R1(config)#access-list 120 permit tcp any host 192.168.1.3 eq ftp

R1(config)#access-list 120 permit tcp host 192.168.3.3 host 10.1.1.1 eq 22
R1(config)#access-list 120 deny tcp any host 192.168.1.3 eq 443

R1(config)#interface s0/0/0

R1(config-if)#ip access-group 120 in

R1(config-if)#exit

R1(config)#access-list 120 permit icmp any any echo-reply

R1(config)#access-list 120 permit icmp any any unreachable

R1(config)#access-list 120 deny icmp any any

R1(config)#access-list 120 permit ip any any

R1(config)#

R2:

R2>en

Password:

R2#conf

Configuring from terminal, memory, or network [terminal]?

Enter configuration commands, one per line. End with CNTL/Z.

R2(config)#access-list 10 permit host 192.168.3.3

R2(config)#line vty 0 4

R2(config-line)#access-class 10 in

R3:

R3>en

Password:

R3#conf

Configuring from terminal, memory, or network [terminal]?

Enter configuration commands, one per line. End with CNTL/Z.

R3(config)# access-list 10 permit host 192.168.3.3

R3(config)#line vty 0 4

R3(config-line)#access-class 10 in

R3(config-line)#exit

R3(config)#access-list 110 permit ip 192.168.3.0 0.0.0.255 any

R3(config)#interface g0/1

R3(config-if)#ip access-group 110 in

R3(config-if)#exit

R3(config)#access-list 100 permit tcp 10.0.0.0 0.255.255.255 eq 22 host 192.168.3.3

R3(config)#access-list 100 deny ip 10.0.0.0 0.255.255.255 any

R3(config)#access-list 100 deny ip 172.16.0.0 0.15.255.255 any

R3(config)#access-list 100 deny ip 192.168.0.0 0.0.255.255 any

R3(config)#access-list 100 deny ip 127.0.0.0 0.255.255.255 any

R3(config)#access-list 100 deny ip 224.0.0.0 15.255.255.255 any

R3(config)#access-list 100 permit ip any any

R3(config)#interface s0/0/1

R3(config-if)#ip access-group 100 in

实验脚本：

R1:

conf

access-list 10 permit host 192.168.3.3

line vty 0 4

access-class 10 in

exit

access-list 120 permit udp any host 192.168.1.3 eq domain

access-list 120 permit tcp any host 192.168.1.3 eq smtp

access-list 120 permit tcp any host 192.168.1.3 eq ftp

access-list 120 deny tcp any host 192.168.1.3 eq 443

access-list 120 permit tcp host 192.168.3.3 host 10.1.1.1 eq 22

interface s0/0/0

ip access-group 120 in

exit

access-list 120 permit icmp any any echo-reply

access-list 120 permit icmp any any unreachable

access-list 120 deny icmp any any

access-list 120 permit ip any any

R2:

conf

access-list 10 permit host 192.168.3.3

line vty 0 4

access-class 10 in

R3:

conf

access-list 10 permit host 192.168.3.3

line vty 0 4

access-class 10 in

exit

access-list 110 permit ip 192.168.3.0 0.0.0.255 any

interface g0/1

ip access-group 110 in

exit

access-list 100 permit tcp 10.0.0.0 0.255.255.255 eq 22 host 192.168.3.3

access-list 100 deny ip 10.0.0.0 0.255.255.255 any

access-list 100 deny ip 172.16.0.0 0.15.255.255 any

access-list 100 deny ip 192.168.0.0 0.0.255.255 any

access-list 100 deny ip 127.0.0.0 0.255.255.255 any

access-list 100 deny ip 224.0.0.0 15.255.255.255 any

access-list 100 permit ip any any

interface s0/0/1

ip access-group 100 in

end

write

实验链接：https://pan.baidu.com/s/13VfrxjqYg9BUzD6Xt6RkMw?pwd=4125

提取码：4125

--来自百度网盘超级会员V2的分享

傻傻的心动
关注
  • 13
    点赞
  • 踩
  • 37
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 3
    评论
专栏目录
Cisco Packet Tracer（配置ACL）
Zhangguohao666的博客
07-18 1万+
【交换机】做ACL访问控制,要求只有PC1/PC2可以远程访问Sw1. 【路由器】在R1上做ACL访问限制:所有用户都可以ping通Server， 除PC1和PC4以外 ACL：access list 访问控制表 访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。该技术初...
关于Cisco Packet Tracer的HSRP热备份协议配置
weixin_58235104的博客
05-02 1452
步骤1：路由ip配置 路由r1配置 Router>en Router#conf t Router(config)#ho r1 r1(config)#int f0/0 r1(config-if)#ip add 10.1.1.252 255.255.255.0 r1(config-if)#no sh r1(config-if)#exit r1(config)#int f0/1 r1(config-if)#ip add 20.1.1.1 255.255.255.0 r1(config-if)#...
配置IP ACL
weixin_33885676的博客
12-06 917
实验1 配置标准 IP ACL【实验步骤】步骤 1 R1 基本配置。R1#configure terminalR1 (config)#interface fastEthernet 1/0R1 (config-if)#ip address 172.16.1.1 255.255.255.0R1 (config-if)#exitR1 (config)#interface fastE...
Cisco Packet Tracer中思科模拟器标准访问控制列表的配置（ACL）
Cisco Packet Tracer 思科模拟器知识分享
09-12 5639
本篇文章主要讲解的是思科模拟器中标准访问控制列表ACL的配置，每个步骤都有详细的配置步骤以及说明和解析，希望对你有帮助。
设置路由器ACL有效防范黑客与病毒
asdfjh的专栏
06-19 1327
简介： 大家都知道通过在路由器或交换机上设置访问控制列表ACL，可以在一定程度上起到提高安全，防范黑客与病毒攻击的效果，笔者所在公司也一直在使用这个方法。 　　然而，笔者却在实际工作中发现了一个影响安全的 ...关键字：黑客 病毒    大家都知道通过在路由器或交换机上设置访问控制列表ACL，可以在一定程度上起到提高安全，防范黑客与病毒攻击的效果，笔者所在公司也一直在使用这个方法。 　　然而，笔者
5.5.1 Packet Tracer - IPv4 ACL Implementation Challenge
05-27
5.5.1 Packet Tracer - IPv4 ACL Implementation Challenge 正确答案文件 可直接上交正确答案文件 本答案版权归mewhaku所有，严禁再次转载！！！ Copyright @mewhaku 2022 All Rights Reserved
6.8.1 Packet Tracer - Configure NAT for IPv4
05-27
6.8.1 Packet Tracer - Configure NAT for IPv4 Cisco Packet Tracer 思科模拟器 正确答案文件 可直接上交正确答案文件 本答案版权归mewhaku所有，严禁再次转载！！！ Copyright @mewhaku 2022 All Rights ...
4.1.1.11 Packet Tracer - Configuring Extended ACLs Scenario 2.pka
11-01
4.1.1.11 Packet Tracer - Configuring Extended ACLs Scenario 2.pka
11.6.1 Packet Tracer - Switch Security Configuration
05-27
11.6.1 Packet Tracer - Switch Security Configuration Cisco Packet Tracer 思科模拟器 正确答案文件 可直接上交正确答案文件 本答案版权归mewhaku所有，严禁再次转载！！！ Copyright @mewhaku 2022 All ...
7.4.1 Packet Tracer - Implement DHCPv4
05-27
7.4.1 Packet Tracer - Implement DHCPv4 Cisco Packet Tracer 思科模拟器 正确答案文件 由于程序问题无法保存激活DHCP端口配置 另加满分步骤截图 可直接上交正确答案文件 本答案版权归mewhaku所有，严禁再次...
Cisco 路由器ACL配置详解
12-02
给大家分享下： Cisco 路由器ACL配置详解，很详细，对大家应该有帮助
Cisco Packet Tracer acl实例
02-16
Cisco Packet Tracer 实例 要求： 1、配置所有设备的接口IP 2、配置静态路由，使网络互通 3、使PC1不能访问PC3
Packet Tracer - 配置编号标准 IPv4 ACL
傻傻的心动的博客
05-26 2693
Packet Tracer - 配置编号标准 IPv4 ACL
Packet Tracer - 配置扩展 ACL - 场景 1
傻傻的心动的博客
05-06 3665
Packet Tracer - 配置扩展 ACL - 场景 1
Packet Tracer – 配置命名标准 IPv4 ACL
傻傻的心动的博客
05-27 1256
Packet Tracer – 配置命名标准 IPv4 ACL
Packet Tracer 5.0建构CCNA实验攻略(15)——ACL简单的配置
weixin_34302798的博客
02-01 356
　　Packet Tracer 5.0是一款非常不错的Cisco(思科)网络设备模拟器，对于想考思科初级认证（如CCNA）的朋友们来说，Packet Tracer 5.0是非常不错的选择。通常我们周围并没有那么多思科的设备供我们学习调试，参加培训费用很贵，上机实践的机会还是有限的，利用Packet Tracer 5.0练习思科IOS操作命令很不...
网络安全---Packet Tracer - 配置扩展 ACL
最新发布
zdsxc_的博客
04-05 1133
通过此次实验，我们利用已经建立好的拓扑模型，通过相关操作建立了一个简单的防火墙，达到了防火墙的初步功能。
配置ACL
weixin_33676492的博客
05-23 115
刚跳槽到新公司，领导表示交换机的ACL不起作用，办公网段40和服务器网段30没有隔离。telnet进交换机查看配置后发现办公网段已经有access-list 10，内容如下：access-list 10 deny 192.168.40.0access-list 10 deny 192.168.20.0access-list 10 deny 192.168.21.0access...
12 配置标准IP ACL
wqy1837154675的博客
02-23 1742
配置标准IP ACL 网络拓扑图 1 配置R46 配置 查看interface 2 配置R47 配置 查看interface 3 配置VPC48（行政部） 4 配置VPC49（销售部） 5 配置VPC50（财务部） 6 验证测试 VPC48（行政部）ping VPC50（财务部） VPC49（销售部）ping VPC50（财务部） ...
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

傻傻的心动

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值