实验二十三 基于时间的ACL配置及策略
实验要求:
某公司通过router实现各部门之间的互连。公司要求禁止销售部门在上班时间(8:00 至18:00)访问工资查询服务器(IP地址为192.168.10.10),财务部门不受限制,可以 随时访问。
网络拓扑图:
![](https://i-blog.csdnimg.cn/blog_migrate/9a26aaa5a69f6b875ad406d6118e14ae.png)
实验步骤:
方法一、 使用VLANIF接口绑定ACL实现
1、主机接口IP分配表
主机 | IP地址 | 子网掩码 | 网关 | VLAN |
销售部PC | 192.168.1.10 | 255.255.255.0 | 192.168.1.1 | 10 |
财务部PC | 192.168.2.10 | 255.255.255.0 | 192.168.2.1 | 20 |
工资查询服务器 | 192.168.10.10 | 255.255.255.0 | 192.168.10.1 | 100 |
2、配置接口加入VLAN,并配置VLANIF接口的IP地址
#将GE0/0/1、GE0/0/2分别加入VLAN10、VLAN20,GE0/0/0加入VLAN100,并配置各VLANIF 接口的IP地址。
![](https://i-blog.csdnimg.cn/blog_migrate/f2c8818d9bb3fbf0786a82342ca8c780.png)
![](https://i-blog.csdnimg.cn/blog_migrate/a8f5fecdbdf1baa2debe8eb020a72b23.png)
此时各PC和工资查询服务器之间都是可以互通的
![](https://i-blog.csdnimg.cn/blog_migrate/1ce7f5f852c315778ebf8a3b5ebfbc4b.png)
![](https://i-blog.csdnimg.cn/blog_migrate/a6a93544eb849ce52b09c47a5d996363.png)
![](https://i-blog.csdnimg.cn/blog_migrate/16e4a398758ba4bee33e9305ec0ccfb5.png)
![](https://i-blog.csdnimg.cn/blog_migrate/8799827c443b1681a87ac7bf3b7546e9.png)
3、配置时间段
#配置工作日8:00至18:00的周期时间段
![](https://i-blog.csdnimg.cn/blog_migrate/5417069996f423baecb150db43f53054.png)
备注: 如果要配置绝对时间, 格式为
time-range satime from 8:00 2023/01/06 to 18:00 2023/01/07
4、配置ACL规则
#配置销售部门到工资查询服务器的访问规则
![](https://i-blog.csdnimg.cn/blog_migrate/882687d19840bda65b6f8afa2e088066.png)
5、在VLANIF 10接口应用ACL 3001,方向是inbound
![](https://i-blog.csdnimg.cn/blog_migrate/2883c7c0f8bf74bb328cbba0035375de.png)
6、测试
#首先检查路由器的系统时间
![](https://i-blog.csdnimg.cn/blog_migrate/ce3916b4f4f0de337e8583d82fdcf47f.png)
#在系统时间是工作日的8:00至18:00之间测试销售部门PC和工资查询服务器之间的连通 性。和查看ACL3001。
![](https://i-blog.csdnimg.cn/blog_migrate/458e94128dcae821b6275feca70cc839.png)
![](https://i-blog.csdnimg.cn/blog_migrate/525556b3d13568617579cd3c01ee1584.png)
#设置系统时间为工作日的8:00至18:00之间以外的时间,测试销售部门PC和工资查询服务 器之间的连通性。和查看ACL3001
![](https://i-blog.csdnimg.cn/blog_migrate/d83e9daed57b49a059ab661ce43d6ecb.png)
![](https://i-blog.csdnimg.cn/blog_migrate/692ae9aebb14d680b661ec2e38463ac3.png)
![](https://i-blog.csdnimg.cn/blog_migrate/790f10e1fcf319512b89f7454ed8336c.png)
方法二、配置基于 ACL 流策略实现
1、取消 VLANIF10 接口的 ACL 应用
![](https://i-blog.csdnimg.cn/blog_migrate/6ed9b70041213fa042cfe39ae48431f5.png)
2、配置基于 ACL 的流分类
#配置流分类 C_XS,对匹配 ACL3001 的报文进行分类
![](https://i-blog.csdnimg.cn/blog_migrate/f2794cef26d7728a52062ef960329b76.png)
3、配置流行为
#配置流行为b_xs,动作为拒绝报文通过
![](https://i-blog.csdnimg.cn/blog_migrate/8838697aceec97c6a7a6cad4236f67fe.png)
4、配置流策略
#定义流策略,绑定流分类c_xs和流行为b_xs
![](https://i-blog.csdnimg.cn/blog_migrate/e25f7263895f8d02608cfc18a69d776a.png)
5、应用流策略
![](https://i-blog.csdnimg.cn/blog_migrate/d5d8a80b14def08baa2b5fb0bca9d13b.png)
6、检查配置结果
#查看ACL规则的配置信息
![](https://i-blog.csdnimg.cn/blog_migrate/95e8a518bec3bf898d68bc79ca432f6b.png)
#查看流策略的应用信息
![](https://i-blog.csdnimg.cn/blog_migrate/f76bdf87ba8fbe2ab2b585c73e800ee9.png)