基于上下文的访问控制

1. 拓扑

 

1. 地址表

Device	interface	IP Address	Subnet mask	Default Gateway
R1	F 0/0	172.20.1.1	/24	N/A
	S0/0/0	10.20.1.1	/24	N/A
R2	S0/0/0	10.20.1.2	/24	N/A
	S0/0/1	10.20.2.2	/24	N/A
R3	F 0/0	172.20.1.1	/24	N/A
	S0/0/1	10.20.2.1	/24	N/A
PC-A	Fa0	172.20.1.2	/24	172.20.1.1
PC-C	Fa0	172.20.2.2	/24	172.20.2.1

1. 接口配置

（1）采用静态路由将网络做通（以R1为例）

Router#configure terminal

Router(config)#interface FastEthernet0/0

Router(config-if)#no shutdown

Router(config-if)#ip address 172.20.1.1 255.255.255.0

Router(config-if)#exit

Router(config)#interface Serial0/0/0

Router(config-if)#no shutdown

Router(config-if)#ip address 10.20.1.1 255.255.255.0

Router(config)#hostname R1

R1(config)#ip route 10.20.2.0 255.255.255.0 10.20.1.2

R1(config)#ip route 172.20.2.0 255.255.255.0 10.20.1.2

 

（2）ping测试

 

说明：PC-A和PC-C之间能ping通，PC-A和路由器之间也能ping通，全网互通。

1. 路由器预配置

（1）启用密码

R3(config)# username zhua password zjwa                //用户名和密码

R3(config)# aaa new-model     //console登入本地数据库使用配置AAA认证

R3(config)# aaa authentication login default local

R3(config)# line console 0

R3(config-line)# login authentication default

验证用户EXEC登入使用本地数据库

 

说明：用户登陆成功。

（2）Vty行接入本地AAA认证

R3(config)# aaa authentication login ZTE local

R3(config)# line vty 0 4

R3(config-line)# login authentication ZTE

R3(config-line)# end

 

 

 

 

验证Telnet配置

 

说明：telnet登录成功

1. 阻隔外网流量

（1）在R3配置一个命名IP ACl阻隔所有外网产生的流量。

R3(config)#ip access-list extended OUT-IN

R3(config-ext-nacl)# deny ip any any

R3(config-ext-nacl)# exit

（1）在s0/0/1应用ACl

R3(config)# interface s0/0/1

R3(config-if)# ip access-group OUT-IN in

（2）确保进入s0/0/1接口的流量被阻隔

 

说明：PC-C ping PC-A被ACL阻隔。

 

1. 创建一个CBAC检测规则

（1）创建一个检测规则来检测ICMP，Telnet，和HTTP流量

R3(config)#ip inspect name IN-OUT-IN icmp

R3(config)#ip inspect name IN-OUT-IN telnet

R3(config)#ip inspect name IN-OUT-IN http

（2）开启时间戳记记录和CBAC审计跟踪信息。

R3(config)#ip inspect audit-trail

R3(config)#service timestamps debug datetime msec

R3(config)#logging host 172.20.2.2

（3）在s0/0/1的出口流量应用检测规则

R3(config-if)# ip inspect IN-OUT-IN out

（4）验证审计跟踪信息正被syslog服务器记录

在PC-C 成功ping、telnet访问PC-A来检测连通性。

 

 

 

 

在PC-A,ping,Telnet PC-C来检测连通性

 

说明：验证完成，连通性完好。就此基于上下文访问控制协议实验配置完成。

转载于:https://www.cnblogs.com/zhujinwei/p/10946371.html