CBAC配置
做了个CBAC实验：
如下图：
步骤一：接口连通性配置
R1(config)#int s0
R1(config-if)#ip add 10.1.1 .1 255.255.255.0
R1(config-if)#clock rate 64000
R1(config-if)#no shutdown
R1(config)#ip route 20.1.1 .0 255.255.255.0 10.1.1.2
à
启用静态路由使
R3
可达
由于
R2
全部是相连接口不需配置路由
R2(config)#int s1
R2(config-if)#ip address 10.1.1 .2 255.255.255.0
R2(config-if)#no shutdown
R2(config-if)#int s0
R2(config-if)#ip add 20.1.1 .1 255.255.255.0
R2(config-if)#clock rate 64000
R2(config-if)#no shutdown
R3(config)#int s1
R3(config-if)#ip add 20.1.1 .2 255.255.255.0
R3(config-if)#clock rate 64000
R3(config-if)#no sh
R3(config)#ip route 10.1.1 .0 255.255.255.0 20.1.1.1
à
启用静态路由使
R1
可达
步骤二：测试连通性
R1#ping 20.1.1 .2
à
R3
的接口地址
!!!!!
R3#ping 10.1.1 .1
à
R1
的接口地址
!!!!!
步骤三：配置
R3
为
telnet SERVER,
并设置特权密码
R3(config)#username cisco password cisco
à
设置用户名及密码
R3(config)#enable secret cisco
à
特权密码，否则不允许远程连接
R3(config)#line vty 0 4
R3(config-line)#login local
à
远程登录使用本地数据库
步骤四：测试
telnet
配置
R1#telnet 20.1.1 .2
à
telnetR3
，已经连接上了
Trying 20.1.1 .2 ... Open
User Access Verification
Username: cisco
à
输入设置的用户名及密码
Password:
R3>en
Password:
R3#
步骤五：设置
CBAC
及访问控制
R2(config)#access-list 100 permit i p 10.1.1 .0 0.0.0.255 any
à
允许内网所有流量
R2(config)#access-list 101 permit icmp any 10.1.1 .0 0.0.0.255 echo-reply
à
允许
ping
的回流
R2(config)#access-list 101 deny ip any any
à
拒绝其它所有流量
R2(config)#ip inspect name cbac_telnet tcp
à
定义
CBAC
开启
TCP
和
UDP
R2(config)#ip inspect name cbac_telnet udp
R2(config)#int s1
R2(config-if)#ip access-group 100 in
à
内网加载访问列表，但没加
CBAC
R2(config)#int s0
R2(config-if)#ip access-group 101 in
à
外网加载列表
步骤六：测试没有加载
CBAC
的效果，并查看
R2
的访问列表
R1#telnet 20.1.1 .2
à
没有成功的进行远程连接
Trying 20.1.1 .2 ...
% Connection timed out; remote host not responding
R2#show ip access-lists
à
查看
R2
的访问列表
Extended IP access list 100
permit i p 10.1.1 .0 0.0.0.255 any (30 matches)
Extended IP access list 101
permit icmp any 10.1.1 .0 0.0.0.255 echo-reply (5 matches)
deny ip any any
à
没有加载任何条目
步骤七：将
CBAC
加载到接口
R2(config)#int s1
R2(config-if)#ip inspect cbac_telnet in
à
加载
CBAC
步骤八：在
R1
测试
telnet
连接并在
R2
上查看访问列表条目
R1#telnet 20.1.1 .2
Trying 20.1.1 .2 ... Open
à
连接成功
User Access Verification
Username: cisco
Password:
R3>en
Password:
R3#
R2#show ip access-lists
à
查看访问列表条目
Extended IP access list 100
permit i p 10.1.1 .0 0.0.0.255 any (65 matches)
Extended IP access list 101
permit tcp host 20.1.1 .2 eq telnet host 10.1.1.1 eq 11005 (27 matches)
à
发现动态的加载条目，
CBAC
实验成功
permit icmp any 10.1.1 .0 0.0.0.255 echo-reply (5 matches)
deny ip any any
步骤九：显示当前配置
R1#show run
hostname R1
!
interface Serial0
ip address 10.1.1 .1 255.255.255.0
clockrate 64000
!
ip route 20.1.1 .0 255.255.255.0 10.1.1.2
!
end
R2#show run
hostname R2
!
ip inspect name cbac_telnet tcp
ip inspect name cbac_telnet udp
!
interface Serial0
ip address 20.1.1 .1 255.255.255.0
ip access-group 101 in
!
interface Serial1
ip address 10.1.1 .2 255.255.255.0
ip access-group 100 in
ip inspect cbac_telnet in
!
access-list 100 permit i p 10.1.1 .0 0.0.0.255 any
access-list 101 permit icmp any 10.1.1 .0 0.0.0.255 echo-reply
access-list 101 deny ip any any
!
end
R3#show run
hostname R3
!
enable secret 5 $1$61vK$zLV502ahdm0EMkg/rhcHW1
!
username cisco password 0 cisco
!
interface Serial1
ip address 20.1.1 .2 255.255.255.0
clockrate 64000
!
ip route 10.1.1 .0 255.255.255.0 20.1.1.1
!
line vty 0 4
login local
!
end