CBAC配置实验

 
做了个CBAC实验:
如下图:
 
步骤一:接口连通性配置
R1(config)#int s0
R1(config-if)#ip add 10.1.1.1 255.255.255.0
R1(config-if)#clock rate 64000
R1(config-if)#no shutdown
R1(config)#ip route 20.1.1.0 255.255.255.0 10.1.1.2  à启用静态路由使R3可达
 
由于R2全部是相连接口不需配置路由
R2(config)#int s1
R2(config-if)#ip address 10.1.1.2 255.255.255.0
R2(config-if)#no shutdown
R2(config-if)#int s0
R2(config-if)#ip add 20.1.1.1 255.255.255.0
R2(config-if)#clock rate 64000
R2(config-if)#no shutdown
 
R3(config)#int s1
R3(config-if)#ip add 20.1.1.2 255.255.255.0
R3(config-if)#clock rate 64000
R3(config-if)#no sh
R3(config)#ip route 10.1.1.0 255.255.255.0 20.1.1.1  à启用静态路由使R1可达
 
步骤二:测试连通性
R1#ping 20.1.1.2  àR3的接口地址
!!!!!
 
 
 
R3#ping 10.1.1.1  àR1的接口地址
!!!!!
 
步骤三:配置R3为telnet SERVER,并设置特权密码
R3(config)#username cisco password cisco  à设置用户名及密码
R3(config)#enable secret cisco   à特权密码,否则不允许远程连接
R3(config)#line vty 0 4
R3(config-line)#login local   à远程登录使用本地数据库
                                      
步骤四:测试telnet配置
R1#telnet 20.1.1.2   telnetR3,已经连接上了
Trying 20.1.1.2 ... Open
 
 
User Access Verification
 
Username: cisco  à输入设置的用户名及密码
Password:
R3>en
Password:
R3#
 
步骤五:设置CBAC及访问控制
R2(config)#access-list 100 permit ip 10.1.1.0 0.0.0.255 any à允许内网所有流量
R2(config)#access-list 101 permit icmp any 10.1.1.0 0.0.0.255 echo-reply
à允许ping的回流
R2(config)#access-list 101 deny ip any any  à拒绝其它所有流量
R2(config)#ip inspect name cbac_telnet tcp  à定义CBAC开启TCP和UDP,允许ip不代表允许TCP和UDP
R2(config)#ip inspect name cbac_telnet udp
R2(config)#int s1
R2(config-if)#ip access-group 100 in à内网加载访问列表,但没加CBAC
R2(config)#int s0
R2(config-if)#ip access-group 101 in  à外网加载列表
 
步骤六:测试没有加载CBAC的效果,并查看R2的访问列表
R1#telnet 20.1.1.2  à没有成功的进行远程连接
Trying 20.1.1.2 ...
% Connection timed out; remote host not responding
 
R2#show ip access-lists  à查看R2的访问列表
Extended IP access list 100
    permit ip 10.1.1.0 0.0.0.255 any (30 matches)
Extended IP access list 101
    
 
permit icmp any 10.1.1.0 0.0.0.255 echo-reply (5 matches)
deny ip any any  à没有加载任何条目
 
步骤七:将CBAC加载到接口
R2(config)#int s1
R2(config-if)#ip inspect cbac_telnet in  à加载CBAC
 
步骤八:在R1测试telnet连接并在R2上查看访问列表条目
R1#telnet 20.1.1.2
Trying 20.1.1.2 ... Open  à连接成功
 
 
User Access Verification
 
Username: cisco
Password:
R3>en
Password:
R3#
 
R2#show ip access-lists à查看访问列表条目
Extended IP access list 100
    permit ip 10.1.1.0 0.0.0.255 any (65 matches)
Extended IP access list 101
permit tcp host 20.1.1.2 eq telnet host 10.1.1.1 eq 11005 (27 matches)
               à发现动态的加载条目,CBAC实验成功
    permit icmp any 10.1.1.0 0.0.0.255 echo-reply (5 matches)
    deny ip any any
 
步骤九:显示当前配置
R1#show run
hostname R1
!
interface Serial0
 ip address 10.1.1.1 255.255.255.0
 clockrate 64000
!
ip route 20.1.1.0 255.255.255.0 10.1.1.2
!
end
 
R2#show run
hostname R2
!
ip inspect name cbac_telnet tcp
ip inspect name cbac_telnet udp
!
interface Serial0
 ip address 20.1.1.1 255.255.255.0
 ip access-group 101 in
!
interface Serial1
 ip address 10.1.1.2 255.255.255.0
 ip access-group 100 in
 ip inspect cbac_telnet in
!
access-list 100 permit ip 10.1.1.0 0.0.0.255 any
access-list 101 permit icmp any 10.1.1.0 0.0.0.255 echo-reply
access-list 101 deny   ip any any
!
end
 
R3#show run
hostname R3
!
enable secret 5 $1$61vK$zLV502ahdm0EMkg/rhcHW1
!
username cisco password 0 cisco
!
interface Serial1
 ip address 20.1.1.2 255.255.255.0
 clockrate 64000
!
ip route 10.1.1.0 255.255.255.0 20.1.1.1
!
line vty 0 4
 login local
!
end
 
本文转自http://dnsdhcp.blog.51cto.com/1280638/287044

你可能感兴趣的:(计算机网络)