扩展ACL
拓扑:
地址表:
设备名 | 端口 | 地址 |
R1 | Fa 0/0 | 172.92.1.1/24 |
Fa 0/1 | 172.92.2.1/24 | |
Se 0/0/0 | 172.92.12.1/24 | |
R2 | Se 0/0/0 | 172.92.12.2/24 |
Se 0/0/1 | 172.92.23.2/24 | |
R3 | Se 0/0/1 | 172.92.23.3/24 |
Fa 0/0 | 172.92.3.3/24 | |
PC1 | Fa0 | 172.92.1.100/24 |
PC2 | Fa0 | 172.92.2.100/24 |
SERVER1 | Fa0 | 172.92.3.100/24 |
配置步骤
为R1,R2,R3配置静态路由,使他们互通
R1pingR3
R3pingR1
R2pingR3和R1
(一)配置路由器 R1
R1(config)#access-list 110 remark this is an example for extended acl
R1(config)#access-list 110 deny tcp 172.92.1.0 0.0.0.255 host 172.92.3.100 eq 80
R1(config)#access-list 110 deny tcp 172.92.2.0 0.0.0.255 host 172.92.3.100 eq 21
R1(config)#access-list 110 deny tcp 172.92.2.0 0.0.0.255 host 172.92.3.100 eq 20
R1(config)#access-list 110 deny tcp 172.92.1.0 0.0.0.255 host 172.92.3.100 eq 1433
R1(config)#access-list 110 deny tcp 172.92.1.0 0.0.0.255 host 172.92.23.3 eq 23
R1(config)#access-list 110 deny tcp 172.92.1.0 0.0.0.255 host 172.92.3.3 eq 23
R1(config)#access-list 110 deny tcp 172.92.2.0 0.0.0.255 host 172.92.12.2 eq 80
R1(config)#access-list 110 deny tcp 172.92.2.0 0.0.0.255 host 172.92.23.2 eq 80
R1(config)#access-list 110 deny icmp 172.92.1.0 0.0.0.255 host 172.92.3.100
R1(config)#access-list 110 deny icmp 172.92.2.0 0.0.0.255 host 172.92.3.100
R1(config)#access-list 110 permit ip any any
R1(config)#int s0/0/0
R1(config-if)#ip access-group 110 out //接口下应用ACL
(二)配置路由器R3
R3(config)#access-list 120 deny icmp host 172.92.23.2 host 172.92.23.3 echo
R3(config)#access-list 120 permit ip any any
R3(config)#int s0/0/1
R3(config-if)#ip access-group 120 in
四、实验调试
(一)路由器R1 上查看ACL110
R1#show ip access-lists 110
(二)R3pingR2
R3#ping 172.92.23.2
(三)路由器R3 查看ACL 120
R3#show ip access-lists 120
(四)配置命令扩展ACL
R3(config)#ip access-list extended acl120
R3(config-ext-nacl)#deny icmp host 172.92.23.2 host 172.92.23.3 echo
R3(config-ext-nacl)#permit ip any any
R3(config-ext-nacl)#int s0/0/1
R3(config-if)#ip access-group acl120 in
R3#show ip access-lists
自反ACL
拓扑:
动态ACL与基于时间的ACL都使用该拓扑
地址表:
设备名 | 端口 | 地址 |
R1 | F 0/0 | 10.92.1.1/24 |
F 0/1 | 14.92.1.1/24 | |
R2 | F 0/0 | 10.92.1.2/24 |
R3 | F 0/0 | 10.92.1.3/24 |
R4 | F 0/1 | 14.92.1.4/24 |
Ethernetswitch-1 |
|
动态ACL与基于时间的ACL都使用该地址表
配置步骤:
为R1,R2,R3,R4配置静态路由
R3pingR4
R3pingR2
R4pingR3
1.配置拒绝外网主动访问内网
(1)配置允许ICMP可以不用标记就进入内网,其它的必须被标记才返回
r1(config)#ip access-list extended come
r1(config-ext-nacl)#permit icmp any any
r1(config-ext-nacl)#evaluate abc
(2)应用ACL
r1(config)#int f0/1
r1(config-if)#ip access-group come in
2.测试实验结果
(1)测试外网R4的ICMP访问内网
r4#ping 10.92.1.2
ICMP可以访问
(2)测试外网R4 telnet内网
r4#telnet 10.92.1.2
除ICMP之外,其它流量不能进入内网。
(1) 测试内网R2的ICMP访问外网
r2#ping 14.92.1.4
内网发ICMP到外网,正常返回。
(2) 测试内网R2发起telnet到外网
r2#telnet 14.92.1.4
除ICMP之外,其它流量不能通过
配置内网向外网发起的Telnet 被返回
(1)配置内网出去时,telnet被记录为abc,将会被允许返回
r1(config)#ip access-list extended goto
r1(config-ext-nacl)#permit tcp any any eq telnet reflect abc timeout 60
r1(config-ext-nacl)#permit ip any any
(2)应用ACL
r1(config)#int f0/1
r1(config-if)#ip access-group goto out
4.测试结果
(1)查看R2到外网的ICMP
r2#ping 14.92.1.4
ICMP正常
(3)查看内网向外网发起telnet
r2#telnet 14.92.1.4
(4)查看ACL
r1#sh ip access-lists
动态ACL
拓扑与地址表与自反ACL相同
为R1,R2,R3,R4配置静态路由
1.配置Dynamic ACL
(1)配置默认不需要认证就可以通过的数据
r1(config)#access-list 100 permit tcp an an eq telnet
(2)配置认证之后才能通过的数据,如ICMP,绝对时间为2分钟。
r1(config)#access-list 100 dynamic ccie timeout 2 permit icmp any any
(3)应用ACL
r1(config)#int f0/0
r1(config-if)#ip access-group 100 in
2.测试访问
(1)测试内网R2 telnet外网R4
r2#telnet 14.92.1.4
telnet不受限制。
(2)测试测试内网R2 ping外网R4
r2#ping 14.92.1.4
内网在没有认证之前,ICMP无法通过。
3.配置本地用户数据库
r1(config)#username ccie password cisco
4.配置所有人的用户名具有访问功能
r1(config)#line vty 0 181
r1(config-line)#login local
r1(config-line)#autocommand access-enable 这条必加
5.内网R2做认证
r2#telnet 10.92.1.1
telnet路由器认证成功后,关闭会话。
6.测试内网到外网的ICMP通信功能
r2#ping 14.92.1.4
认证通过之后,ICMP被放行。
7.查看ACL状态
r1#sh ip access-lists
可以看到动态允许的流量已放行。
基于时间的ACL
拓扑与地址表与自反ACL相同
为R1,R2,R3,R4配置静态路由
实验步骤
在R1路由器上配置好正确的时间
R1#clock set 9:30:00 April 29 2019
1.配置time-range
r1(config)#time-range TELNET
r1(config-time-range)#periodic weekdays 9:00 to 15:00
说明:定义的时间范围为每周一到周五的9:00 to 15:00
2.配置ACL
配置R1在上面的时间范围内拒绝R2到R4的telnet,其它流量全部通过。
r1(config)#access-list 150 deny tcp host 10.92.1.2 any eq 23 time-range TELNET
r1(config)#access-list 150 permit ip any any
3.应用ACL
r1(config)#int f0/0
r1(config-if)#ip access-group 150 in
4.测试时间范围内的流量情况
(1)查看当前R1的时间
r1#sh clock
9:34:33.002 GMT Thu Apr 29 2019
当前时间为周一9:34,即在所配置的时间范围内。
(2)测试R2向R4发起telnet会话
r2#telnet 14.92.1.4
在规定的时间范围内,R2向R4发起telnet会话被拒绝。
(3)测试除telnet外的其它流量
r2#ping 14.92.1.4
在规定的时间范围内,除了telnet之外,其它流量不受限制。
(4)测试除R2之外的设备telnet情况
r3#telnet 14.92.1.4
Trying 14.92.1.4 ... Open
除R2之外,其它设备telnet不受限制。
5.测试时间范围外的流量情况
(1)查看当前R1的时间
r1#sh clock
9:34:33.002 GMT Thu Apr 29 2019
(2)测试R2向R4发起telnet会话
r2#telnet 14.92.1.4
在时间范围之外,所限制的流量被放开。
基于上下文的访问控制
拓扑:
地址表:
Device |
Interface |
IP Address |
Subnet Mask |
Default Gateway |
R1 | Fa0/1 | 192.92.1.1 | 255.255.255.0 | N/A |
S0/0/0 | 10.92.1.1 | 255.255.255.252 | N/A | |
R2 | S0/0/0 | 10.92.1.2 | 255.255.255.252 | N/A |
S0/0/1 | 10.92.2.2 | 255.255.255.252 | N/A | |
R3 | Fa0/1 | 192.92.3.1 | 255.255.255.0 | N/A |
S0/0/1 | 10.92.2.1 | 255.255.255.252 | N/A | |
PC-A | NIC | 192.92.1.3 | 255.255.255.0 | 192.168.1.1 |
PC-C | NIC | 192.92.3.3 | 255.255.255.0 | 192.168.3.1 |
配置步骤
为R1,R2,R3配置静态路由
R1pingR3
R3pingR1
在R3配置一个命名IP ACl阻隔所有外网产生的流量。
R3(config)# ip access-list extended OUT-IN R3(config-ext-nacl)# deny ip any any R3(config-ext-nacl)# exit
在s0/0/1应用ACl
R3(config)# interface s0/0/1
R3(config-if)# ip access-group OUT-IN in
创建一个检测规则来检测ICMP,Telnet,和HTTP流量。
开启时间戳记记录和CBAC审计跟踪信息。
R3(config)# ip inspect audit-trail
R3(config)# service timestamps debug datetime msec
R3(config)# logging host 192.168.1.3
对在s0/0/1的出口流量用检测规则。
R3(config-if)# ip inspect IN-OUT-IN out
R3# show ip inspect sessions
R3# show ip inspect interfaces
R3# show ip inspect config
R3# debug ip inspect detailed
配置区域策略防火墙
拓扑和地址表与基于上下文的访问配置相同
实验步骤
为R1,R2,R3配置静态路由
R1pingR3
R3pingR1
使用AAA认证为路由器配置用户名与密码
用户名:luser
Console 密码: ciscoconpa55
vty 密码: ciscovtypa55
Enable密码: ciscoenpa55
创建一个内部区域。
R3(config)# zone security IN-ZONE
创建外部区域
R3(config-sec-zone)# zone security OUT-ZONE
R3(config-sec-zone)# exit
创建一个用来定义内部流量的ACL
R3(config)# access-list 101 permit ip 192.168.3.0 0.0.0.255 any
创建一个涉及内部流量ACL的class map
R3(config)# class-map type inspect match-all IN-NET-CLASS-MAP
R3(config-cmap)# match access-group 101
R3(config-cmap)# exit
创建一个策略图来确定对匹配的流量干啥。
R3(config)# policy-map type inspect IN-2-OUT-PMAP
定义一个检测级别类型和参考策略图。
R3(config-pmap)# class type inspect IN-NET-CLASS-MAP
定义检测策略图
R3(config-pmap-c)# inspect
回到全局模式
R3(config-pmap-c)# exit
R3(config-pmap)# exit
创建一对区域
R3(config)# zone-pair security IN-2-OUT-ZPAIR source IN-ZONE destination OUT-ZONE
定义策略图来控制两个区域的流量。
R3(config-sec-zone-pair)# service-policy type inspect IN-2-OUT-PMAP
把端口调用到合适的安全区域。
R3(config)# interface fa0/1
R3(config-if)# zone-member security IN-ZONE
R3(config-if)# exit
R3(config)# interface s0/0/1
R3(config-if)# zone-member security OUT-ZONE
R3(config-if)# exit
R3# show policy-map type inspect zone-pair sessions
实验完成
实验总结:
包过滤防火墙、应用层网关(代理技术)防火墙。
包过滤的优点:一个过滤路由器能协助保护整个网络;数据包过滤对用户透明;过滤路由器速度快、效率高。缺点:不能彻底防止地址欺骗;一些应用协议不适合于数据包过滤;正常的数据包过滤路由器无法执行某些安全策略。
代理技术的优点:代理易于配置;代理能生成各项记录;代理能灵活、完全地控制进出的流量、内容;代理能过滤数据内容;代理能为用户提供透明的加密机制;代理可以方便地与其他安全手段集成。缺点:代理速度较路由器慢;代理对用户不透明;代理服务不能保证你免受所有协议弱点的限制;代理不能改进底层协议的安全性。
通过这次的作业,我学会了防火墙的配置,ACL的配置,虽然实验过程没有遇到很大的问题,很好地完成了实验,但是之后我依然刻苦学习知识,提高自己的实践水平,争取下一次能更好地完成实验。